Возможный скрытый майнинг.

[Pavel - 1]

Привет.

С http://www.playground.ru/cheats/long_dark/ скачал чит для оффиц. версии игры. При установке было предложено установить якусь программу (по запарке согласился), через 2-3 недели при обычной работе ОС WIN-7 сильно активизировались вентиляторы в ПК, похоже видеокарта загружена. При попытке скачивания видео с Ютуб, быстро открылось/закрылось отдельное окно и пошла загрузка видео, раньше такого не было, и после этого началась активная работа вентиляторов.

В ноябре, а так же ок. 6-10 мес.назад (щас не помню точно), я где то подхватил вырус по форумом разобрался, что это скрытый майнинг, каждый раз при открытии окна браузера быстро открывалось/закрывалось отдельное окно, и резко ПК включался на полную мощность, вылечилось только с помощью формат-"С".

Думаю что всёж это замечательный PLAYGROUND.RU раздаёт файлы с вирусами.

Здесь https://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url] взял совет как разобраться с данной темой, прикрепляю файл.

Вот сейчас пытаюсь скачать видео, переводит сюда ссылка скрыта.

CollectionLog-2019.01.18-12.00.zip

Изменено 18 января, 2019 пользователем SQ
скрыл ссылку

[SQ]

Здравствуйте,

В логах активного вредоносного ПО не видна.

Однако в логах замечены какие-то системные ошибки:
 

WMI error encountered
WMI error encountered
...
WMI error encountered
WMI error encountered

- Подготовьте лог AdwCleaner и приложите его в теме.
 

[Pavel - 1]

Прикрепляю.

 

AdwCleanerS00.txt

[SQ]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Pavel - 1]

Что про скрытый майнинг скажете в моих отчётах?

AdwCleanerC01.txt

Изменено 18 января, 2019 пользователем Pavel - 1

[SQ]

В предыдущих логах не было видно скрытого майнера. Возможно в браузере имеется подмена расширения, вы пробовали воспроизвести проблему с выключенными расширениями?

- Скачайте Farbar Recovery Scan Tool  и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Pavel - 1]

Два файла получилось.

FRST.txt

Addition.txt

[SQ]

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  Start::
  CreateRestorePoint:
  CloseProcesses:
  File: C:\Program Files (x86)\Ashampoo\Ashampoo WinOptimizer 12\DfSdkS64.exe
  File: C:\Program Files (x86)\Media Key\MagicKey.exe
  File: C:\Windows\system32\ampa.sys
  File: C:\Windows\system32\rrr.lnk
  File: C:\Windows\Activator.exe
  Reboot:
  End::

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.
  

 

Как было ранее сказано попробуйте выключить все расширения в браузерах начните например с Tampermonkey, далее сообщите результат.

[Pavel - 1]

Файл Fixlog.txt не создался. ПК не перегрузился.

Отправлю то, что появилось. Расширения отключил.

 

 

И так же архив файла на который у меня подозрение.

Addition.txt

FRST.txt

the_long_dark_v1.42_trainer_12_mrantifun.zip

Изменено 20 января, 2019 пользователем Pavel - 1

[SQ]

Если верить результатам независимой системе virustotal, то это вредоносное ПО.

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  Start::
  CreateRestorePoint:
  CloseProcesses:
  Folder: C:\Users\Pavel\dwhelper
  File: C:\Windows\system\vbrun100.dll
  Folder: C:\Windows\hsperfdata_Pavel
  Folder: C:\Windows\system
  File: C:\Windows\system32\rrr.lnk
  File: C:\Windows\Activator.exe
  Reboot:
  End::

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.
  

[Pavel - 1]

Всё то же самое.

Не знаю, как сохранить с поддержкой Unicod.

[SQ]

 

Не знаю, как сохранить с поддержкой Unicod.

Вот пример:

 

[Pavel - 1]

При попытке посмотреть, пишет: "У вас не достаточно прав для загрузки данного прикрепленного файла."

[regist]

вот

[SQ]

И так же архив файла на который у меня подозрение.

Вирлабе не нашли угрозы в вашем архиве.