Помогите удалить троян!

[vladimir83]

Всем добрый день, помогите удалить эту гадость!

1. Заметил, что у меня на компе стали подменяться Биткоин адреса при вставке.

2. При запуске браузера Opera постоянно появляется новое расширение yFeedExt версия 3.60

 

У расширения есть место нахождение C:\ProgramData\Cywgwiv\Vyjtwq\385F9A15

с файлами meds, background.js, background.js, icon128.png при удалении заного появляются через час или при перезагрузке, запускаются через rundll32.exe

Есть ещё не понятные файлы в c:\Windows\Temp\TmpFile1, etilqs_gADS5pvIIwfMHQ3, etilqs_Tya6mbUZrj7iwCg, klsc-BD2CF3E157CCF8BD.lck

 

Касперский не находит, Dr.Web CureIt тоже не находит!

 

Не могу найти как он запускается и что за троян.

 

[Sandor]

Здравствуйте!

 

Выполните Порядок оформления запроса о помощи

[vladimir83]

CollectionLog-2021.06.18-11.03.zip

[Sandor]

Kaspersky Endpoint Security 10 для Windows - версия устарела и уже не поддерживается. Обновите до актуальной.

 

Дополнительно:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Запустить проверку") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.
 

[vladimir83]

AdwCleaner[S00].txtAdwCleaner[C00].txt

[Sandor]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[vladimir83]

Запустил ещё раз проверку Kaspersky Virus Removal Tool 2020 и он нашёл HEUR:Trojan.MSIL.Kryptik.gen в каталоге C:\Program Files (x86)\ScoreStarted\ScripoUlifieg\ari8tm_Dxakor.dll

Удалил полностью каталог ScoreStarted перезапущу посмотрю будет результат

 

Ранее недели 3 назад проверял не находил.

Ура, получилось! похоже удалил троянца! Только не понял как он запускался, в автозагрузках не находил его.

 

Думаю что заразили комп после установки винды через DriverPack Solution. 

 

Спасибо большое за помощь!!!