Перейти к содержанию
Правила раздела

Майнер. блокирвет KVRT и запуск avz

Janei

От Janei
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

Janei Новичок

Janei

Опубликовано
Опубликовано

Здраствуйте. Недавно осознал, что на компьютере установлен майнер. 
Пытался создать тему по правилам... Но проблема в том, что майнер не дает запустить два антивируса из предложенных. Они сразу закрываются. А также препятствует обновлению базы в AVZ. (для того чтобы собрать логи). Автологгер не получается использовать. Спешу заметить, что вирус закрывает AVZ сам после запуска программы. Собственно, почему понял что майнер. В моменте сёрфинга интернета картинка просто намертво замирает, очень сильно всё лагает до момента пока не открыть диспетчер задач. Картину которую вижу в стандартном диспетчере - загрузка ЦП 99% и через секунду 3%. Отсюда сделал некоторые выводы. Скачал два кастомных ДЗ. Process hacker 2 ( который майнер также распознал и успешно закрывался сам после открытия данного ДЗ) и system explorer. Последний и дал мне понять, что мой железный конь хапнул вируса. в процессах висел файл Microsofthost.exe который грузил 90% процессора. Также вирус сам закрывал оригинальный ДЗ через минуту буквально. Данный вирус прописался в папку windowstask. был скрытым системным файлом.  Обнаружил такую вещь: при попытке сделать видимыми системные файлы. После нажатия кнопки "применить" системные файлы не становятся видимыми навсегда. Как только окошко закрывается, вирус заново ставит галочку "скрывать системные файлы". 
После остановки процесса удалил из папки все файлы.  (майнер запускал два процесса. один не загружал систему вообще.) Момент истины - Перезагрузка компьютера - ДЗ - майнер снова работает.
Теперь о проблемах: 
Антивирусы закрываются через секунду.
АВЗ закрывается через секунду.
Майнер закрывается при открытии некоторых ДЗ. 
После удаления и перезагрузки - майнер восстанавливается. 
Связано или нет - данный сайт опера гх не может открыть. зашел сюда только под впн. 
на картинке два процесса из папки майнера.

Прошу помощи. Логгер запустить не получается. 

ss (2021-04-20 at 06.34.54).png

ss (2021-04-20 at 06.34.26).png

ss (2021-04-20 at 06.34.19).png

ss (2021-04-20 at 07.23.08).png

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям.
После перезагрузки системы попробуйте собрать логи Autologger.

Ссылка на комментарий
Поделиться на другие сайты
Janei Новичок

Janei

Опубликовано
  • Автор
Опубликовано
Только что, thyrex сказал:

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям.
После перезагрузки системы попробуйте собрать логи Autologger.

программа запустилась. удалила два пользователя, а также некоторые файлы. Автологгер выдает ту же ошибку. 

ss (2021-04-20 at 08.57.47).png

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.
3munStB.png
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

1. Выделите следующий код: 

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-3982597794-3902628180-1030321098-1000\...\MountPoints2: E - E:\HiSuiteDownLoader.exe
HKU\S-1-5-21-3982597794-3902628180-1030321098-1000\...\MountPoints2: {71f7d08b-4186-11e9-be53-94de80a5242c} - F:\HiSuiteDownLoader.exe
HKU\S-1-5-21-3982597794-3902628180-1030321098-1000\...\MountPoints2: {86ae24fd-ae1f-11ea-906e-94de80a5242c} - E:\HiSuiteDownLoader.exe
HKU\S-1-5-21-3982597794-3902628180-1030321098-1000\...\MountPoints2: {b932bdc7-0ec4-11e9-bfcf-806e6f6e6963} - E:\acer.exe.exe
HKU\S-1-5-21-3982597794-3902628180-1030321098-1000\...\MountPoints2: {cf2a287b-57dc-11eb-9cdc-94de80a5242c} - E:\HiSuiteDownLoader.exe
HKU\S-1-5-21-3982597794-3902628180-1030321098-1000\...\MountPoints2: {d1b9af60-9683-11e9-a724-94de80a5242c} - E:\setup.exe
HKU\S-1-5-21-3982597794-3902628180-1030321098-1000\...\MountPoints2: {d1b9af63-9683-11e9-a724-94de80a5242c} - F:\Setup.exe
HKU\S-1-5-21-3982597794-3902628180-1030321098-1000\...\MountPoints2: {d8229d89-88e4-11eb-a017-94de80a5242c} - E:\HiSuiteDownLoader.exe
HKU\S-1-5-21-3982597794-3902628180-1030321098-1000\...\MountPoints2: {d8229d90-88e4-11eb-a017-94de80a5242c} - E:\HiSuiteDownLoader.exe
HKU\S-1-5-21-3982597794-3902628180-1030321098-1000\...\MountPoints2: {fa435b77-543c-11e9-8bfd-94de80a5242c} - E:\HiSuiteDownLoader.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH () C:\ProgramData\kz.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH () C:\ProgramData\lsass.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH () C:\ProgramData\lsass2.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH () C:\ProgramData\olly.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH () C:\ProgramData\script.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH C:\Windows\boy.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH C:\Windows\java.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH C:\Windows\SysWOW64\Drivers\conhost.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH C:\ProgramData\kz.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH C:\ProgramData\lsass.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH C:\ProgramData\lsass2.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH C:\ProgramData\olly.exe
2020-12-30 22:33 - 2020-12-30 22:33 - 000000000 ___SH C:\ProgramData\script.exe
CustomCLSID: HKU\S-1-5-21-3982597794-3902628180-1030321098-1000_Classes\CLSID\{6D264B70-DA18-401D-910C-B202D89670C6}\InprocServer32 -> C:\Users\Bimbogones\AppData\Local\Google\Update\1.3.36.32\psuser_64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-3982597794-3902628180-1030321098-1000_Classes\CLSID\{CA919489-0396-4164-A6E7-94CDED45A707}\InprocServer32 -> C:\Users\Bimbogones\AppData\Local\Google\Update\1.3.36.52\psuser_64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-3982597794-3902628180-1030321098-1000_Classes\CLSID\{E9E7529D-7F09-410B-AF2A-CC154473B19C}\InprocServer32 -> C:\Users\Bimbogones\AppData\Local\Google\Update\1.3.35.452\psuser_64.dll => Нет файла
ShellIconOverlayIdentifiers: [ MEGA (Pending)] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} => C:\Users\Bimbogones\AppData\Local\MEGAsync\ShellExtX64.dll -> Нет файла
ShellIconOverlayIdentifiers: [ MEGA (Synced)] -> {05B38830-F4E9-4329-978B-1DD28605D202} => C:\Users\Bimbogones\AppData\Local\MEGAsync\ShellExtX64.dll -> Нет файла
ShellIconOverlayIdentifiers: [ MEGA (Syncing)] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} => C:\Users\Bimbogones\AppData\Local\MEGAsync\ShellExtX64.dll -> Нет файла
ShellIconOverlayIdentifiers-x32: [ MEGA (Pending)] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} => C:\Users\Bimbogones\AppData\Local\MEGAsync\ShellExtX64.dll -> Нет файла
ShellIconOverlayIdentifiers-x32: [ MEGA (Synced)] -> {05B38830-F4E9-4329-978B-1DD28605D202} => C:\Users\Bimbogones\AppData\Local\MEGAsync\ShellExtX64.dll -> Нет файла
ShellIconOverlayIdentifiers-x32: [ MEGA (Syncing)] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} => C:\Users\Bimbogones\AppData\Local\MEGAsync\ShellExtX64.dll -> Нет файла
ContextMenuHandlers1: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\Bimbogones\AppData\Local\MEGAsync\ShellExtX64.dll -> Нет файла
ContextMenuHandlers2: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\Bimbogones\AppData\Local\MEGAsync\ShellExtX64.dll -> Нет файла
ContextMenuHandlers3: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\Bimbogones\AppData\Local\MEGAsync\ShellExtX64.dll -> Нет файла
ContextMenuHandlers4: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} => C:\Users\Bimbogones\AppData\Local\MEGAsync\ShellExtX64.dll -> Нет файла
AlternateDataStreams: C:\Users\Bimbogones\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [362]
AlternateDataStreams: C:\Users\Bimbogones\Application Data:fbd50e2f7662a5c33287ddc6e65ab5a1 [394]
AlternateDataStreams: C:\Users\Bimbogones\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [362]
AlternateDataStreams: C:\Users\Bimbogones\AppData\Roaming:fbd50e2f7662a5c33287ddc6e65ab5a1 [394]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [472]
FirewallRules: [{FB052039-B93E-4D3B-9758-B6F359DF81A0}] => (Allow) D:\Programs\MT4\metatester64.exe => Нет файла
FirewallRules: [{D6527ECD-352E-4016-A347-726FF4A3E09C}] => (Allow) C:\ProgramData\RealtekHD\taskhostw.exe => Нет файла
FirewallRules: [{FDA07E8F-6F7E-4900-93F8-46923F57D7E1}] => (Allow) C:\ProgramData\WindowsTask\MicrosoftHost.exe => Нет файла
FirewallRules: [{A9A54159-388D-4CAD-828B-B453A476A51A}] => (Allow) C:\ProgramData\rundll\system.exe => Нет файла
FirewallRules: [{FAB2E3F8-1414-4788-B9E4-99806091465D}] => (Allow) C:\ProgramData\WindowsTask\AMD.exe => Нет файла
FirewallRules: [{E1B72492-D914-4C68-8BA5-043403E2DC99}] => (Allow) C:\ProgramData\WindowsTask\AppModule.exe => Нет файла
FirewallRules: [{96B97A58-8438-4220-8597-3B9D2844CA52}] => (Allow) C:\ProgramData\WindowsTask\AMD.exe => Нет файла
FirewallRules: [{E0E5F8F4-74D8-4E2C-A6E9-5BA044AB62A9}] => (Allow) C:\ProgramData\WindowsTask\MicrosoftHost.exe => Нет файла
FirewallRules: [{2D6F298F-0538-4E40-A0D9-D5534A58D6E9}] => (Allow) C:\ProgramData\rundll\Doublepulsar-1.3.1.exe => Нет файла
FirewallRules: [{69D2E5B0-B34F-4CAA-850E-AEBF1129D8D5}] => (Allow) C:\ProgramData\rundll\rundll.exe => Нет файла
FirewallRules: [{F5779DDD-FF1D-4872-BE30-2BE2A3E6FD60}] => (Allow) C:\ProgramData\rundll\Eternalblue-2.2.0.exe => Нет файла
FirewallRules: [{93A367B2-5EC2-446A-99B8-9B939977A461}] => (Allow) C:\ProgramData\WindowsTask\AppModule.exe => Нет файла
Reboot:
End::


2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

  • Обратите внимание: будет выполнена перезагрузка компьютера.
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано (изменено)

Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт): 

var PathAutoLogger, CMDLine : string;

begin
clearlog;
PathAutoLogger := Copy(GetAVZDirectory, 0, (Length(GetAVZDirectory)-3));
AddToLog('start time ' + FormatDateTime('yyyy.mm.dd-hh:mm:ss', now)+#13#10+ PathAutoLogger);
SaveLog(PathAutoLogger+'report3.log');
if FolderIsEmpty(PathAutoLogger+'CrashDumps')
 then CMDLine := 'a "' + PathAutoLogger + 'Report.7z" "' + PathAutoLogger + '\report*.log" "' + PathAutoLogger + 'HiJackThis\HiJackThis*.log"'
 else CMDLine := 'a "' + PathAutoLogger + 'Report.7z" "' + PathAutoLogger + '\report*.log" "' + PathAutoLogger + 'CrashDumps\"';
  ExecuteFile('7za.exe', CMDLine, 0, 180000, false);
AddLineToTxtFile(PathAutoLogger+'report3.log', '7z ReturnCode ' + IntToStr(GetLastExitCode)+#13#10+'end time ' + FormatDateTime('yyyy.mm.dd-hh:mm:ss', now));
end.

архив Report.zip из папки с AutoLogger, пожалуйста, прикрепите к своему сообщению.

Изменено пользователем regist
Ссылка на комментарий
Поделиться на другие сайты
Janei Новичок

Janei

Опубликовано
  • Автор
Опубликовано

 

7 часов назад, regist сказал:

Попробуйте скачать Автологер заново и собрать им логи

та же самая ошибка. не обновляет базу. видимо проблема в самом avz уже...

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Если вы сегодня скачали, то и не должен обновлять, там уже свежие базы должны быть. Перед тем как попросить вас перекачать ещё специально пнул обновление.

Вы по какой ссылке скачивали?
На всякий случай удалите старые файлы от Автологера и лучше старый скачанный файл (чтобы не было никаких накладок), скачайте по ссылке из правил и проверьте проблему.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ из папки Autologger 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Windows\svchost.exe','');
 DeleteFile('C:\Windows\svchost.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
  • Обратите внимание: будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678

Полученный после загрузки ответ сообщите здесь.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

 

 

Ссылка на комментарий
Поделиться на другие сайты
Janei Новичок

Janei

Опубликовано
  • Автор
Опубликовано
3 часа назад, thyrex сказал:

Полученный после загрузки ответ сообщите здесь.

Архив был пустой при открытии. Результат таков. Название менял несколько раз

ss (2021-04-22 at 12.23.43).png

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • kiperenok
      [РЕШЕНО] Майнер
      От kiperenok
      Добрый вечер ! Та же проблема. Выполнил первые 2 пункта со скриптами а AVZ. Вот файл карантина 2024.12.22_Quarantine_27237554ca4507fb7f620afc014cd433.7z
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • November 11
      [РЕШЕНО] Майнер
      От November 11
      Я не знаю от куда появился майнер. Пк был не у меня какое-то время
      Но это точно что-то из этого так как начался сильный нагрев, а также сайты с антивирусом закрывает
      Доступа к сайту нет
      4.zip
    • jiil
      Вирус или Майнер
      От jiil
      Обнаружил на пк вирус или майнер, подозрения начались после общего замедления работы системы, забитый под 100% ЦП, после попыток использовать антивирус, он не запускался, при попытке скачать новый антивирус браузер вылетает, после попыток зайти в проводник в скрытые папки (Program Data) проводник тоже вылетает, смог воспользоваться AVbr с изменение имени исполняемого файла получил следующий лог
       

    • Control
      [РЕШЕНО] Подозрение на майнер
      От Control
      Здравствуйте, недавно скачивал с торрентов сериал и пару игр, через пару дней заметил что ноутбук(acer nitro v15) начал шуметь при бездействии, заглянул в диспетчер задач, там сразу нагрузка на цп составляла около 100%, через мгновенье стала на уровне 2-3%, пробовал переустанавливать систему, поставил вместо 11 винды 10ую, изменений не увидел, помогите пожалуйста.
      CollectionLog-2024.12.29-16.01.zip
    • Марко32
      Предположительно Майнер
      От Марко32
      Начал замечать, что без ничего видеокарта работает на 20 процентов. Но когда открываю диспетчер задач оно сразу же пропадает (но видно на долю секунду).
      Сделал анализ в FRST. Пожалуйста, помогите.
      Addition.txt FRST.txt
×
×
  • Создать...