Вирус PowerShell

[shastliv4ik]

Здравствуйте, процессы PowerShell грузят цп под 100. Утилитой dr. web cureit выявил порядка 30 троянов. Удалил. На след тоже самое. Загрузился в безопасном - выявил 163 уже. Удалил, но не помогло. 
Логи скинул

Архив ZIP - WinRAR.zip

CollectionLog-2018.10.30-19.57.zip

[thyrex]

Выполните скрипт в AVZ из папки Autologger

begin
 DeleteSchedulerTask('System Log Security Check');
 DeleteSchedulerTask('WindowsLogTasks')
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

[shastliv4ik]

Выполните скрипт в AVZ из папки Autologger

begin
 DeleteSchedulerTask('System Log Security Check');
 DeleteSchedulerTask('WindowsLogTasks')
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

 

Ошибка при попытке запустить:http://rgho.st/8hxXHcXrt

 

Убрал строку Reboot и запустилось нормально. Написало, что скрипт выполнен без ошибок и я вручную перезагрузил. Вот логи: http://rgho.st/6Wbvx4hxR

[thyrex]

Логи прикрепляют к сообщению в теме (кнопка Расширенный режим), а не выкладывают на обменник.

 

Что с проблемой?

[shastliv4ik]

Логи прикрепляют к сообщению в теме (кнопка Расширенный режим), а не выкладывают на обменник.

 

Что с проблемой?

Извините не знал. Проблема все таже и не исчезла. Появляется 2 процесса PowerShell и грузят цп, после завершения - через час появляются снова. В первом сообщении там логи утилиты dr web (может пригодится) Удаление не помогло (дважды)

CollectionLog-2018.10.31-00.08.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[shastliv4ik]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

 

Логи frst.rar

[thyrex]

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{42da661d-a691-4a1e-a285-f08473c5470f} <==== ATTENTION (Restriction - IP)
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
BHO-x32: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> No File
ContextMenuHandlers1: [WinRAR] -> [CC]{B41DB860-64E4-11D2-9906-E49FADC173CA} =>  -> No File
ContextMenuHandlers1: [WinRAR32] -> [CC]{B41DB860-8EE4-11D2-9906-E49FADC173CA} =>  -> No File
ContextMenuHandlers6: [WinRAR] -> [CC]{B41DB860-64E4-11D2-9906-E49FADC173CA} =>  -> No File
ContextMenuHandlers6: [WinRAR32] -> [CC]{B41DB860-8EE4-11D2-9906-E49FADC173CA} =>  -> No File
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).

3. Запустите Farbar Recovery Scan Tool.

4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[shastliv4ik]

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{42da661d-a691-4a1e-a285-f08473c5470f} <==== ATTENTION (Restriction - IP)
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
BHO-x32: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> No File
ContextMenuHandlers1: [WinRAR] -> [CC]{B41DB860-64E4-11D2-9906-E49FADC173CA} =>  -> No File
ContextMenuHandlers1: [WinRAR32] -> [CC]{B41DB860-8EE4-11D2-9906-E49FADC173CA} =>  -> No File
ContextMenuHandlers6: [WinRAR] -> [CC]{B41DB860-64E4-11D2-9906-E49FADC173CA} =>  -> No File
ContextMenuHandlers6: [WinRAR32] -> [CC]{B41DB860-8EE4-11D2-9906-E49FADC173CA} =>  -> No File
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).

3. Запустите Farbar Recovery Scan Tool.

4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Fixlog.txt

[thyrex]

Ответить можно и без полного цитирования выдаваемых Вам рекомендаций. Что с проблемой?

[shastliv4ik]

Осталась. Также грузит цп 2 процесса

[thyrex]

Сделайте лог МВАМ

[shastliv4ik]

Вот этот троян COHERNECE.EXE утилитой dr web не обнаружил, я удалял его через HitmanPro, но видимо тоже безуспешно. Эти угрозы в карантин поместить? 

malware.txt

Изменено 2 ноября, 2018 пользователем shastliv4ik

[thyrex]

Удалите (поместите в карантин) в МВАМ все найденное.

 

Включите Windows Defender.

 

Заблокируйте в файле hosts обращение к адресам: update.7h4uk.com, info.7h4uk.com, 185.128.43.62, 185.234.217.139

[shastliv4ik]

Удалил) Вроде уже не запускается ничего    Спасибо вам)