[РЕШЕНО] VM3Dservice не могу удалить

[prm]

Добрый день, помогите, пожалуйста, удалить майнер.

CollectionLog-2020.08.20-13.18.zip

[thyrex]

Здравствуйте.

 

Выполните скрипт в AVZ из папки Autologger

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
SetServiceStart('MBAMSvc', 4);
 TerminateProcessByName('c:\program files (x86)\net adblock\netadblock-svc.exe');
 QuarantineFile('c:\program files (x86)\net adblock\netadblock-svc.exe','');
 TerminateProcessByName('c:\program files (x86)\malwarebytes\mbam.exe');
  QuarantineFile('c:\program files (x86)\malwarebytes\mbam.exe','');
 DeleteFile('c:\program files (x86)\malwarebytes\mbam.exe','32');
 DeleteFile('C:\Program Files (x86)\Malwarebytes\Qt5Core.dll','32');
 DeleteFile('C:\Program Files (x86)\Malwarebytes\Qt5Help.dll','32');
 DeleteFile('C:\Program Files (x86)\Malwarebytes\Qt5WinExtras.dll','32');
DeleteService('MBAMSvc');
 DeleteSchedulerTask('AnVir Task Manager');
 DeleteSchedulerTask('Anvirlauncher');
 DeleteSchedulerTask('Net AdBlock Self Repair');
 DeleteSchedulerTask('Net AdBlock Updater');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678

Полученный после загрузки ответ сообщите здесь.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[prm]

По ссылке загрузил, пишет - 

Ошибка загрузки. Данный файл уже был загружен

 

CollectionLog-2020.08.20-20.53.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[prm]

FRST&Addition.zip

[thyrex]

1. Выделите следующий код:

Start::
CreateRestorePoint:
(Birmon Software) [File not signed] C:\Program Files (x86)\Net AdBlock\netadblock-svc.exe
(Malwarebytes Inc -> Malwarebytes) C:\Program Files (x86)\Malwarebytes\mbam.exe
(VMware, Inc. -> VMware, Inc.) [File not signed] C:\ProgramData\VMware\VMware Tools\vmtoolsd.exe
GroupPolicy: Restriction - Windows Defender <==== ATTENTION
Task: {0D462CE7-A8CA-4E26-B60F-B265D5E9048D} - \WPD\SqmUpload_S-1-5-21-1352982895-1833583774-1473946841-1001 -> No File <==== ATTENTION
Task: {15A96237-683C-47A6-ADA1-441D78AF1DA8} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {1CA17862-D9CC-4951-ADFF-28D572054792} - \Microsoft\Windows\UNP\RunCampaignManager -> No File <==== ATTENTION
Task: {29B7E1FB-0724-4DA3-A62E-3137F3D8ABEB} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {29CE83EA-5E03-474F-A004-75F6AC59EC91} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {33EBC3A4-9A24-4D6A-8C93-D80D2C99720E} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {3D42BF3A-17CC-4BCB-9C7E-7429BD45A244} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> No File <==== ATTENTION
Task: {3E56F285-ADDE-4D12-BE37-D95E7A133202} - \WPD\SqmUpload_S-1-5-21-1352982895-1833583774-1473946841-1004 -> No File <==== ATTENTION
Task: {48A8AF1D-C6A5-48B3-A575-500C67425561} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {596E194A-6AF8-4174-81BC-BAEB8494CEB4} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {6342981F-EB62-4110-87A4-8A7B27F801C4} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {7C71D1D3-4567-4EB0-99CB-61C3BA16D726} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {99E3CF21-71DC-4747-902B-014313A3610D} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> No File <==== ATTENTION
Task: {B5CF53C9-86BE-4161-B64B-3B66B93CE22D} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {F2AAED76-69FE-40E2-9AD9-1343AAF1958B} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Tcpip\..\Interfaces\{012dcdbe-e344-40e9-aed4-ef7c0b2145aa}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{0305fb69-087a-4597-9769-3a3c5e7d4780}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{1b871d07-a238-41ca-bf0a-ed11799e3cb5}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{266d8045-e8c8-4729-b295-d0ec60d0d67e}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{2ec219b8-ad7f-4919-bf02-a5fe4342ce85}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{704f07b2-5a9e-4ba3-b64d-0772dd8c1918}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{8718928d-cbeb-45ea-a621-800a9249001d}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{8722f846-fee9-4300-a223-b2d810b323df}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{a68d0ea7-e0d5-11e7-b4bf-806e6f6e6963}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{bab79807-6abe-49ce-b526-c0db48fbeca2}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{c84f9f54-07db-4905-9717-65a747b986eb}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{f020178d-fa81-46f9-9a2b-2369d32150fd}: [NameServer] 178.132.0.160,178.132.0.160
Tcpip\..\Interfaces\{f4cc4884-e66e-4939-9b28-59b3fe75c87e}: [NameServer] 178.132.0.160,178.132.0.160
BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-1352982895-1833583774-1473946841-1001 -> No Name - {093F479D-712E-46CD-9E06-62E734A05F68} -  No File
Toolbar: HKU\S-1-5-21-1352982895-1833583774-1473946841-1001 -> No Name - {C500C267-63BF-451F-8797-4D720C9A2ED9} -  No File
OPR StartupUrls: "hxxp:\/\/chatozov.ru\/?utm_content=706daf58c4c295e14015a61bf477685c&utm_source=startpm&utm_term=B4803FF0D0228CF90BCDCACCC463EDDA&utm_d=20160407","hxxps:\/\/www.yandex.ru\/?win=396&clid=2343464-100"
2020-08-12 20:32 - 2020-08-12 20:32 - 000000000 ____D C:\Users\Все пользователи\VMware
2020-08-12 20:32 - 2020-08-12 20:32 - 000000000 ____D C:\ProgramData\VMware
2020-08-12 20:14 - 2020-08-12 20:14 - 000000000 ____D C:\Users\Игорь\AppData\Local\mbam
2020-06-30 04:14 - 2020-08-20 18:03 - 000000000 ____D C:\Program Files (x86)\Malwarebytes
C:\Program Files (x86)\Net AdBlock
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[prm]

Fixlog.txt

[thyrex]

Проблема решена?

[prm]

да, благодарю за помощь

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Процитируйте содержимое файла в своем следующем сообщении.

 

[prm]

SecurityCheck by glax24 & Severnyj v.1.4.0.53 [27.10.17]
WebSite: www.safezone.cc
DateLog: 25.08.2020 22:14:48
Path starting: C:\Users\Игорь\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
Log directory: C:\SecurityCheck\
IsAdmin: True
User: Игорь
VersionXML: 7.78is-13.08.2020
___________________________________________________________________________

Windows 10(6.3.18362) (x64) CoreSingleLanguage Версия: 1903 Lang: Russian(0419)
Дата установки ОС: 12.12.2019 22:10:46
Статус лицензии: Windows(R), CoreSingleLanguage edition Постоянная активация прошла успешно.
Статус лицензии: Office 16, Office16StandardVL_KMS_Client edition Срок истечения многопользовательской активации: 229941 мин.
Режим загрузки: Normal
Браузер по умолчанию: Microsoft Edge (C:\WINDOWS\system32\LaunchWinApp.exe)
Системный диск: ? ФС: [NTFS] Емкость: [909.5 Гб] Занято: [275.4 Гб] Свободно: [634.1 Гб]
------------------------------- [ Windows ] -------------------------------
Internet Explorer 11.1016.18362.0 [+]
Контроль учётных записей пользователя включен (Уровень 3)
Загружать автоматически обновления и устанавливать по заданному расписанию
Центр обеспечения безопасности (wscsvc) - Служба работает
Удаленный реестр (RemoteRegistry) - Служба остановлена
Обнаружение SSDP (SSDPSRV) - Служба работает
Службы удаленных рабочих столов (TermService) - Служба остановлена
Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
------------------------------ [ MS Office ] ------------------------------
Microsoft Office 2016 x64 v.16.0.4266.1001
---------------------------- [ Antivirus_WMI ] ----------------------------
Windows Defender (включен и обновлен)
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Защитника Windows (mpssvc) - Служба работает
--------------------------- [ AntiSpyware_WMI ] ---------------------------
Windows Defender (включен и обновлен)
-------------------------- [ SecurityUtilities ] --------------------------
Ad Muncher v4.94.34121 (Free) 
--------------------------- [ OtherUtilities ] ----------------------------
Microsoft OneDrive v.20.134.0705.0008
Steam v.2.10.91.91
-------------------------------- [ Arch ] ---------------------------------
WinRAR 5.50 (64-bit) v.5.50.0 Внимание! Скачать обновления
--------------------------------- [ IM ] ----------------------------------
Discord v.0.0.306 Внимание! Скачать обновления
Skype™ 7.18 v.7.18.111 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45311 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 191 v.8.0.1910.12 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u261-windows-i586.exe)^
--------------------------- [ AppleProduction ] ---------------------------
iTunes v.12.9.2.6 Внимание! Скачать обновления
^Для проверки новой версии используйте приложение Apple Software Update^
Bonjour v.3.0.0.10
Служба Bonjour (Bonjour Service) - Служба работает
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Reader X (10.1.16) MUI v.10.1.16 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC.
------------------------------- [ Browser ] -------------------------------
Google Chrome v.84.0.4147.135 [+]
----------------------------- [ EmailClient ] -----------------------------
Windows Live Essentials v.16.4.3503.0728 Данная программа больше не поддерживается разработчиком.
------------------ [ AntivirusFirewallProcessServices ] -------------------
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2007.8-0\MsMpEng.exe v.4.18.2007.8
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2007.8-0\NisSrv.exe v.4.18.2007.8
Антивирусная программа "Защитника Windows" (WinDefend) - Служба работает
Служба проверки сети Windows Defender Antivirus (WdNisSvc) - Служба работает
---------------------------- [ UnwantedApps ] -----------------------------
Driver Reviver v.5.34.0.36 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
FileViewPro v.1.9.8.13 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии.
Registry Reviver v.4.22.1.6 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии.
Skype Click to Call v.8.5.0.9167 Внимание! Панель для браузера. Может замедлять работу браузера и иметь проблемы с нарушением конфиденциальности.
----------------------------- [ End of Log ] ------------------------------
 

[thyrex]

Выполните рекомендованное, и на этом закончим.

[regist]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, фан-клуб "Лаборатории Касперского".