Перейти к содержанию
Правила раздела
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

Скрытый майнер с защитником

Кирилл Иневатов

Автор Кирилл Иневатов
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Кирилл Иневатов Новичок

Кирилл Иневатов

Опубликовано
Опубликовано (изменено)

Обнаружил несколько процессов svchost.exe, которые запущены от пользователя. При попытке скачать AVZ или перейти на сайт касперского, моментально закрывает браузер один из процессов. При выключенном процессе-защитнике можно делать что угодно. В автозагрузке нет ничего подозрительного. У меня на компьютере стоит свой майнер, но после его выключения, заново он не включится и не будет майнить на других людей. Прилагаю логи AutoLogger.exe

К тому же, заметил на компьютере одну вещь, что иногда браузер сам по себе открывается и запускает рандомный сайт с рекламой, при включенном происходит то же самое.

Изменено пользователем Кирилл Иневатов
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

 

 


Прилагаю логи AutoLogger.exe
видно забыли нажать прикрепить.

 

 


У меня на компьютере стоит свой майнер
желательно укажите в какой папке он у вас стоит.
Ссылка на комментарий
Поделиться на другие сайты
Кирилл Иневатов Новичок

Кирилл Иневатов

Опубликовано
  • Автор
Опубликовано

 

Прилагаю логи AutoLogger.exe

видно забыли нажать прикрепить.

 

 

У меня на компьютере стоит свой майнер

желательно укажите в какой папке он у вас стоит.

 

Логи прикрепил, не знаю, почему в тот раз не получилось.

Папки с майнером:

C:\Users\Малой\AppData\Local\Kryptex

C:\Users\Малой\AppData\Roaming\Kryptex

CollectionLog-2018.08.21-16.08.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано (изменено)

Выполните скрипт в AVZ из папки Autologger

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Малой\AppData\Local\UpdaterProBrowser\UpdaterProBrowser.exe','');
 QuarantineFile('C:\Windows\SysWOW64\AsQnAEITmY.exe','');
 QuarantineFile('C:\Windows\SysWOW64\TGYoVFKBpyU.exe','');
 QuarantineFile('C:\Users\Малой\AppData\Roaming\SpeedSurf-client\speedsurf.exe','');
 QuarantineFile('C:\Users\Малой\AppData\Roaming\Sysfiles\Driver.exe','');
 QuarantineFile('C:\Users\Малой\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\AudioDriver.url','');
 QuarantineFile('C:\Users\Малой\AppData\Local\Kryptex\app-2.6.1\Kryptex.exe','');
 QuarantineFile('E:\Money\WEBISIDA\Webisida.Browser.exe','');
 QuarantineFile('C:\Program Files\inteldriverpack\intel.exe','');
 DeleteFile('C:\Program Files\inteldriverpack\intel.exe','64');
 DeleteFile('E:\Money\WEBISIDA\Webisida.Browser.exe','64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','WebisidaSecureSurf');
 DeleteFile('C:\Users\Малой\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\AudioDriver.url','64');
 DeleteFile('C:\Windows\SysWOW64\TGYoVFKBpyU.exe','64');
 DeleteFile('C:\Windows\SysWOW64\AsQnAEITmY.exe','64');
 DeleteFile('C:\Windows\system32\Tasks\{C9E61B28-BEEB-A8EF-9B35-479590EC2474}','x64');
 DeleteFile('C:\Windows\system32\Tasks\{66C4AB69-D39D-AA58-32AF-128EA24F0BB0}','x64');
 DeleteFile('C:\Windows\system32\Tasks\{16C35034-2999-D374-A49A-CE2DC61C8DFF}','x64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
  • Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678
Полученный после загрузки ответ сообщите здесь.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

Изменено пользователем regist
Ссылка на комментарий
Поделиться на другие сайты
Кирилл Иневатов Новичок

Кирилл Иневатов

Опубликовано
  • Автор
Опубликовано

Выполните скрипт в AVZ из папки Autologger

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Малой\AppData\Local\UpdaterProBrowser\UpdaterProBrowser.exe','');
 QuarantineFile('C:\Windows\SysWOW64\AsQnAEITmY.exe','');
 QuarantineFile('C:\Windows\SysWOW64\TGYoVFKBpyU.exe','');
 QuarantineFile('C:\Users\Малой\AppData\Roaming\SpeedSurf-client\speedsurf.exe','');
 QuarantineFile('C:\Users\Малой\AppData\Roaming\Sysfiles\Driver.exe','');
 QuarantineFile('C:\Users\Малой\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\AudioDriver.url','');
 QuarantineFile('C:\Users\Малой\AppData\Local\Kryptex\app-2.6.1\Kryptex.exe','');
 QuarantineFile('E:\Money\WEBISIDA\Webisida.Browser.exe','');
 QuarantineFile('C:\Program Files\inteldriverpack\intel.exe','');
 DeleteFile('C:\Program Files\inteldriverpack\intel.exe','64');
 DeleteFile('E:\Money\WEBISIDA\Webisida.Browser.exe','64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','WebisidaSecureSurf');
 DeleteFile('C:\Users\Малой\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\AudioDriver.url','64');
 DeleteFile('C:\Windows\SysWOW64\TGYoVFKBpyU.exe','64');
 DeleteFile('C:\Windows\SysWOW64\AsQnAEITmY.exe','64');
 DeleteFile('C:\Windows\system32\Tasks\{C9E61B28-BEEB-A8EF-9B35-479590EC2474}','x64');
 DeleteFile('C:\Windows\system32\Tasks\{66C4AB69-D39D-AA58-32AF-128EA24F0BB0}','x64');
 DeleteFile('C:\Windows\system32\Tasks\{16C35034-2999-D374-A49A-CE2DC61C8DFF}','x64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
  • Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678

Полученный после загрузки ответ сообщите здесь.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

Результат загрузки Файл сохранён как 180821_200305_quarantine_5b7c6ff957167.zip Размер файла 9335885 MD5 0ac62163c88a7d3074bbd90e95fd45fe Файл закачан, спасибо!

Прикрепляю новые логи

CollectionLog-2018.08.22-01.06.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

1. Я правильно понимаю, что C:\Users\Малой\AppData\Local\Kryptex\app-2.6.1\Kryptex.exe - нужный Вам майнер и его нельзя удалять?

 

2. Выложите ссылку на скриншот содержимого вашей Панели управления.

 

+ Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты
Кирилл Иневатов Новичок

Кирилл Иневатов

Опубликовано
  • Автор
Опубликовано

1. Я правильно понимаю, что C:\Users\Малой\AppData\Local\Kryptex\app-2.6.1\Kryptex.exe - нужный Вам майнер и его нельзя удалять?

 

2. Выложите ссылку на скриншот содержимого вашей Панели управления.

 

+ Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

 

Майнер Kryptex нужен мне, да, а вот скрытый не очень  :lol:

Ссылка на панель управления - http://prntscr.com/kldj3i/ http://prntscr.com/kldkd5

Logs.rar

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\...\Winlogon: [Userinit] C:\Windows\system32\userinit.exe,C:\Program Files\inteldriverpack\intel.exe
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
OPR Extension: (ScriptMonkey) - C:\Users\Малой\AppData\Roaming\Opera Software\Opera Stable\Extensions\lblbnlfhhblmfconjalikamamlgoobbe [2018-08-21]
2018-08-04 18:04 - 2018-08-04 18:04 - 000000000 ____D C:\Users\Малой\AppData\Roaming\Sysfiles
2018-08-04 18:04 - 2018-08-04 18:04 - 000000000 ____D C:\Users\Малой\AppData\Roaming\1337
2018-08-21 02:53 - 2018-08-21 02:53 - 000263168 _____ () C:\Users\Малой\AppData\Local\Temp\aqowar642z6gjj5.exe
2018-08-21 02:54 - 2018-08-21 02:54 - 000308736 _____ () C:\Users\Малой\AppData\Local\Temp\brz43jwxf8ht47x.exe
2018-08-21 02:39 - 2018-08-21 02:39 - 000152064 _____ () C:\Users\Малой\AppData\Local\Temp\d3v17lcbjve4nbh.exe
2018-08-21 02:55 - 2018-08-21 02:55 - 000263168 _____ () C:\Users\Малой\AppData\Local\Temp\fid3n12bffpxc1u.exe
2018-08-21 02:20 - 2018-08-21 02:20 - 001049656 _____ () C:\Users\Малой\AppData\Local\Temp\nbb_uyr.exe
FirewallRules: [{6A883132-D11B-4EFC-89EC-2A1D1FBDA3E5}] => (Allow) C:\Windows\SysWOW64\AsQnAEITmY.exe
FirewallRules: [{4E0BC902-8D8A-4902-ABF4-7DF38AFAA402}] => (Allow) C:\Windows\SysWOW64\TGYoVFKBpyU.exe
MSCONFIG\startupreg: speedsurf => C:\Users\Малой\AppData\Roaming\SpeedSurf-client\speedsurf.exe -up
Task: {84DA0C6F-112C-42DF-9A8C-E0CA59E7FB95} - System32\Tasks\UpdaterProBrowser => C:\Users\Малой\AppData\Local\UpdaterProBrowser\UpdaterProBrowser.exe [2018-08-02] () <==== ATTENTION
Task: {9FDF397C-9BBD-4EFF-9BB0-9A6ED44F70CE} - \{66C4AB69-D39D-AA58-32AF-128EA24F0BB0} -> No File <==== ATTENTION
Task: {A8980CD9-23B5-434D-A300-2E45EB4E2F26} - \4d2c2ecf-315c-573f-352d42e93e948951 -> No File <==== ATTENTION
Task: {413C5B53-AF39-4B24-83F0-2D3C625C5271} - \{C9E61B28-BEEB-A8EF-9B35-479590EC2474} -> No File <==== ATTENTION
Task: {2C77EBD1-09B7-48FD-B537-3C3547D14D56} - \{16C35034-2999-D374-A49A-CE2DC61C8DFF} -> No File <==== ATTENTION
Reboot:
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.
Ссылка на комментарий
Поделиться на другие сайты
Кирилл Иневатов Новичок

Кирилл Иневатов

Опубликовано
  • Автор
Опубликовано

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\...\Winlogon: [Userinit] C:\Windows\system32\userinit.exe,C:\Program Files\inteldriverpack\intel.exe
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
OPR Extension: (ScriptMonkey) - C:\Users\Малой\AppData\Roaming\Opera Software\Opera Stable\Extensions\lblbnlfhhblmfconjalikamamlgoobbe [2018-08-21]
2018-08-04 18:04 - 2018-08-04 18:04 - 000000000 ____D C:\Users\Малой\AppData\Roaming\Sysfiles
2018-08-04 18:04 - 2018-08-04 18:04 - 000000000 ____D C:\Users\Малой\AppData\Roaming\1337
2018-08-21 02:53 - 2018-08-21 02:53 - 000263168 _____ () C:\Users\Малой\AppData\Local\Temp\aqowar642z6gjj5.exe
2018-08-21 02:54 - 2018-08-21 02:54 - 000308736 _____ () C:\Users\Малой\AppData\Local\Temp\brz43jwxf8ht47x.exe
2018-08-21 02:39 - 2018-08-21 02:39 - 000152064 _____ () C:\Users\Малой\AppData\Local\Temp\d3v17lcbjve4nbh.exe
2018-08-21 02:55 - 2018-08-21 02:55 - 000263168 _____ () C:\Users\Малой\AppData\Local\Temp\fid3n12bffpxc1u.exe
2018-08-21 02:20 - 2018-08-21 02:20 - 001049656 _____ () C:\Users\Малой\AppData\Local\Temp\nbb_uyr.exe
FirewallRules: [{6A883132-D11B-4EFC-89EC-2A1D1FBDA3E5}] => (Allow) C:\Windows\SysWOW64\AsQnAEITmY.exe
FirewallRules: [{4E0BC902-8D8A-4902-ABF4-7DF38AFAA402}] => (Allow) C:\Windows\SysWOW64\TGYoVFKBpyU.exe
MSCONFIG\startupreg: speedsurf => C:\Users\Малой\AppData\Roaming\SpeedSurf-client\speedsurf.exe -up
Task: {84DA0C6F-112C-42DF-9A8C-E0CA59E7FB95} - System32\Tasks\UpdaterProBrowser => C:\Users\Малой\AppData\Local\UpdaterProBrowser\UpdaterProBrowser.exe [2018-08-02] () <==== ATTENTION
Task: {9FDF397C-9BBD-4EFF-9BB0-9A6ED44F70CE} - \{66C4AB69-D39D-AA58-32AF-128EA24F0BB0} -> No File <==== ATTENTION
Task: {A8980CD9-23B5-434D-A300-2E45EB4E2F26} - \4d2c2ecf-315c-573f-352d42e93e948951 -> No File <==== ATTENTION
Task: {413C5B53-AF39-4B24-83F0-2D3C625C5271} - \{C9E61B28-BEEB-A8EF-9B35-479590EC2474} -> No File <==== ATTENTION
Task: {2C77EBD1-09B7-48FD-B537-3C3547D14D56} - \{16C35034-2999-D374-A49A-CE2DC61C8DFF} -> No File <==== ATTENTION
Reboot:
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.

 

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Ну тогда отметьте в МВАМ все записи, не относящиеся к Kryptex, PROXYWEB и DriverPack Cloud (если тоже нужен), и поместите их в карантин

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Garguha
      [РЕШЕНО] Два dwm.exe процесса один из которых скрытый майнер
      Автор Garguha
      Заметил что в простое происходит сильный нагрев и съедается около 20% процессора. После поисков проблем обнаружил 2 dwm.exe процесса один из которых и берёт на себя нагрузку. После прочтения нескольких статей форума не смог лично разобраться в решении проблемы.
      CollectionLog-2025.07.18-20.40.zip
    • Artem1994
      Остатки вируса майнера и ограничения защитника Windows
      Автор Artem1994
      Здравствуйте. Установил по глупости вирус-майнер с зараженной игрой, путем поиска информации по разным форумам, с помощью Rkill разблокировал компьютер, чтобы он не вылетал с браузера и папки Program data (к чему приводил майнер), потом запустил DrWeb Cureit, который удалил вирусы, потом еще запустил AV block remover на поиск проблем, проблемы не найдены, также почистил, получив в ручном режиме отобранные разрешения, папки, созданные майнером в Program data/Program Files, которые были скрыты как системные и назывались именами антивирусов и других популярных программ. Хотел узнать есть ли остатки вируса на компьютере? И самое главное, не блокируется ли больше Windows Defender, потому что майнер его блокировал, хотя он работал, но майнера не видел и так не увидел вирус, даже после разблокировки компьютера rKillом. Это интересует, так как использую Windows Defender как единственный антивирус на компьютере. Логи прикрепляю. 
      CollectionLog-2025.04.26-22.44.zip
    • Vovkaproshka
      Подозрение на майнер
      Автор Vovkaproshka
      После установки лоадера впнов появился процесс setup нагружает только оперативку.
      Doctor  web antivirus удаляет три трояна, после сетап пропадает из процессов, после перезагрузки процесс снова появляется, думаю прикрепился к какому-то приложению, через безопасный режим также после удаления и перезагрузки загружается,  находится по пути AppData\Local\Temp\2xzjMMUGjeobOYtjoc0gOuMKKHC
    • DKOFFICIAL
      Скрытый вирус и не удаляемый
      Автор DKOFFICIAL
      Здравствуйте, помогите пожалуйста, переустанавливал windows несколько раз, пробовал жесткий диск менять, не помогает ничего, поймал какой то вирус, когда поймал не было никаких антивирусов скачанных, и пошло поехала, начали запускаться программы и потом вовсе рабочий стол пропал и черный экран был, перезагрузил ноутбук стало все нормально резко, и с тех пор греется ноутбук, цп нагружается щас на все 100 бывает после того как проверяет антивирус на вирусы и то ничего не находит и то редко поднимается до 100, в большинстве случаев до 60-70 грузиться, а в обычном режиме ноута, грузиться память на 50%, и гудит вентилятор и греется ноутбук, хотя до этого всего не было такого от слова совсем, антивирусы не находят, пробовал через dr web и kaspersky, в основном с kaspersky, так как куплена подписка, бывает даже иногда мышка сама по себе ходит, 1 раз когда перезагрузил ноутбук, создался учетная запись и пароль стоял на ноутбуке, пришлось менять винду,не знаю уже что делать. Браузер когда запускаю, в диспетчере задач показывает что браузер открыт аж целых 20-30раз одновременно.Стало более менее когда поставил винду урезанную пиратскую, где больше приложений от windows урезана и удаленный доступ отключен, ноутбук не старый, i5-12450h процессор, 16гб оперативки.
    • lostintired
      Вирус-майнер CAAServices.exe
      Автор lostintired
      Здравствуйте!
       
      Обращаюсь за помощью в полном удалении вредоносного ПО. Ранее на компьютере был обнаружен вирус, связанный с процессом CAAService.exe, который осуществлял майнинг. На тот момент мне удалось остановить вредоносную активность, и майнинг-процессы больше не наблюдаются.
      Однако, несмотря на это, файл CAAService.exe продолжает самовосстанавливаться по следующему пути: "C:\ProgramData\CAAService\CAAService.exe"
       
      Удалял вручную — файл вновь появляется сам, также сам себя добавляет в исключения защитника Windows. Также пытался выполнить рекомендации, приведённые в ТЕМЕ, но проблема не была полностью решена — папка и исполняемый файл восстанавливаются.
      Прошу помощи в полном удалении остаточных компонентов этой угрозы. Готов предоставить все необходимые логи и выполнить диагностику согласно требованиям форума.
      Заранее благодарю за помощь.
      CollectionLog-2025.07.18-23.17.zip
      Addition.txt FRST.txt
×
×
  • Создать...