[РЕШЕНО] Подозрение на вирусы и майнеры (Powershell 3x, wasping, и тп.)

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-3236992816-2036871011-1337975326-1002\...\MountPoints2: {c713ec9a-de26-11eb-8f4e-6cf049e520b3} - "F:\HiSuiteDownLoader.exe" 
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  C:\Users\vipkr\AppData\Local\Google\Chrome\User Data\Default\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\vipkr\AppData\Local\Google\Chrome\User Data\Default\Extensions\gndelhfhcfbdhndfpcinebijfcjpmpec
  CHR HKU\S-1-5-21-3236992816-2036871011-1337975326-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [gndelhfhcfbdhndfpcinebijfcjpmpec]
  CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
  Folder: C:\ProgramData\Windows
  Click Install if prompted (HKLM-x32\...\{40830C8E-936E-4E08-AE37-240FF3343927}) (Version: 1.0.6.0 - ExpressVpn) Hidden
  AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
  AlternateDataStreams: C:\ProgramData\Application Data:NT2 [654]
  AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [221]
  FirewallRules: [{2C57B5CC-619A-46EF-8291-D72F2F17965F}] => (Allow) d:\program files\txgameassistant\appmarket\GF186\TUpdate.exe => Нет файла
  FirewallRules: [{19DA413C-F02D-43ED-B4F8-01B9AA77ADE5}] => (Allow) d:\program files\txgameassistant\appmarket\GameDownload.exe => Нет файла
  FirewallRules: [{D60B9039-1809-417D-967B-360748475DA4}] => (Allow) d:\program files\txgameassistant\appmarket\QQExternal.exe => Нет файла
  FirewallRules: [{703D204B-1F0D-4FA2-B6B5-E7F2051DBFB3}] => (Allow) d:\program files\txgameassistant\appmarket\bugreport.exe => Нет файла
  FirewallRules: [{303C2DB3-DEAF-4184-80D6-DB225E942FA3}] => (Allow) d:\program files\txgameassistant\appmarket\TInst.exe => Нет файла
  FirewallRules: [{CBA30F56-C8B3-478B-B7D3-4D346B9E5AF6}] => (Allow) d:\program files\txgameassistant\appmarket\AppMarket.exe => Нет файла
  FirewallRules: [{2F75690F-554C-4D8B-A096-609E73EE7B90}] => (Allow) d:\program files\txgameassistant\ui\TxGaDcc.exe => Нет файла
  FirewallRules: [{AF6429AA-AE58-46D2-A3B5-7E3389E9B53D}] => (Allow) d:\program files\txgameassistant\ui\bugreport.exe => Нет файла
  FirewallRules: [{83C02D04-F68D-48A1-8763-A1FE26AC9666}] => (Allow) d:\program files\txgameassistant\ui\TInst.exe => Нет файла
  FirewallRules: [{739B5312-2ADD-4AC1-ACF8-4BD842566890}] => (Allow) d:\program files\txgameassistant\ui\adb.exe => Нет файла
  FirewallRules: [{B72F7754-7B72-40BA-B608-90F66B7B2260}] => (Allow) d:\program files\txgameassistant\ui\AndroidEmulatorEn.exe => Нет файла
  FirewallRules: [{E91D7D79-1B16-49E5-B4CC-42F19B64A9C9}] => (Allow) d:\program files\txgameassistant\ui\AndroidEmulatorEx.exe => Нет файла
  FirewallRules: [{829B6BEF-CCBA-464F-8B27-A09CC8D54FE1}] => (Allow) d:\program files\txgameassistant\ui\AndroidEmulator.exe => Нет файла
  FirewallRules: [{C1E40576-3838-4F8F-93E0-341BFFE257C6}] => (Allow) d:\program files\txgameassistant\ui\TxGaDcc.exe => Нет файла
  FirewallRules: [{46D921E7-562C-4D49-A0E1-67837FDA1446}] => (Allow) d:\program files\txgameassistant\ui\bugreport.exe => Нет файла
  FirewallRules: [{21A1C5D3-116A-490F-8936-75ECBD73AA7C}] => (Allow) d:\program files\txgameassistant\ui\TInst.exe => Нет файла
  FirewallRules: [{EC133087-A9A7-41B8-980B-ADD7A746E89B}] => (Allow) d:\program files\txgameassistant\ui\adb.exe => Нет файла
  FirewallRules: [{CDC72A2A-EBDC-43C0-8AF7-6246089A1C5C}] => (Allow) d:\program files\txgameassistant\ui\AndroidEmulator.exe => Нет файла
  FirewallRules: [{C75B33AD-5D37-4A6D-8DAB-E1B27A594B73}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
  FirewallRules: [{EF584D27-806B-4506-9791-A8EFF59ADA92}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
  FirewallRules: [{FDE910E6-4540-4911-83C6-DDB0B1346C1D}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
  FirewallRules: [{ECBB4593-9DBA-42BC-8ACB-37E1045B469F}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
  FirewallRules: [{74EA363D-A7D5-4EFA-BF1A-C640F9AE47F5}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
  FirewallRules: [{9CF2E8B2-D02F-40B0-8780-38F7EFF394D3}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
  FirewallRules: [{DE0D8F19-C6F7-48CE-A25D-41D5E9B9B1DD}] => (Allow) d:\program files\txgameassistant\appmarket\GF186\TUpdate.exe => Нет файла
  FirewallRules: [{394BB9CE-B6F5-49AB-AE51-3408824DFADD}] => (Allow) d:\program files\txgameassistant\appmarket\GameDownload.exe => Нет файла
  FirewallRules: [{9B1A0EB8-D706-4290-A3C7-DC8F0952E612}] => (Allow) d:\program files\txgameassistant\appmarket\QQExternal.exe => Нет файла
  FirewallRules: [{150F0130-42EF-4B28-925E-C5C301FC67FF}] => (Allow) d:\program files\txgameassistant\appmarket\bugreport.exe => Нет файла
  FirewallRules: [{B39405B6-FEBE-4D77-9251-00E9B11C41C1}] => (Allow) d:\program files\txgameassistant\appmarket\TInst.exe => Нет файла
  FirewallRules: [{C508AD93-A247-44EF-A885-E3A728D26EC4}] => (Allow) d:\program files\txgameassistant\appmarket\AppMarket.exe => Нет файла
  FirewallRules: [{F6D57C69-8366-4265-BE46-989D0CECB7AD}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
  FirewallRules: [{B31A12F1-4AEA-4374-AFD2-48454273B8D2}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
  FirewallRules: [{FAF3D27D-FFFA-45CC-A446-0D006DA62010}] => (Allow) C:\ProgramData\Windows\Profile\waspwing.exe => Нет файла
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

В перечне установленных программ появится скрытая ранее

Цитата

Click Install if prompted

Удалите. Не получится стандартно, удаляйте принудительно через Geek Uninstaller

[Maksimvini]

ПРикрепляю Fixlog.

Fixlog.txt

НАсчёт "Click install if prompted" - появилась таки в программах и компонентах, принадлежил "ExpressVPN", удалить не получается потому что требует установщик для удаления, позже поставлю вручную и удалю.

[Sandor]

1 час назад, Sandor сказал:

В перечне установленных программ появится скрытая ранее

Удалили?

[Maksimvini]

Нет, требует установщик "ExpressVPN" для удаления, а он снесёт давненько. Как с менеджером браузеров. Ещё антивирус начал на драйвер какой-то ругаться, приложу скрин.

И я не знаю, удалять ли драйвер антивирусом или в исключения..

[Sandor]

1 час назад, Sandor сказал:

удаляйте принудительно через Geek Uninstaller

Т.е. правой кнопкой по записи - Удалить принудительно.

[Maksimvini]

Удалил всё, спасибо.

[Sandor]

Дополнительно:

 

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  SystemRestore: On
  2021-10-25 16:25 - 2021-10-31 20:25 - 000000000 _RSHD C:\ProgramData\Windows
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Сообщите что с проблемой.

[Maksimvini]

ПРикрепляю ЛОГ файл, постоянно смотрю в диспетчере задач. Пока что не появляется ничего.

Fixlog.txt

[Sandor]

Завершаем:

 

1. Запустите AVZ - Файл - Стандартные скрипты - отметьте 6 и нажмите Выполнить отмеченные.

 

2. Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

3.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Maksimvini]

Маленький вопрос, обязательно ли удалять все утилиты?

Прикрепляю ЛОГ

SecurityCheck.txt

[Sandor]

Они часто обновляются, поэтому хранить нецелесообразно. Лучше запомнить ссылки на скачивание.

 

--------------------------- [ OtherUtilities ] ----------------------------
TeamViewer v.15.20.6 Внимание! Скачать обновления
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 21.03 beta (x64) v.21.03 beta Данная версия программы больше не поддерживается разработчиком.. Удалите старую версию, скачайте и установите новую.
WinRAR 5.91 (64-разрядная) v.5.91.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.0.0.309 Внимание! Скачать обновления
---------------------------- [ ProxyAndVPNs ] -----------------------------
ExpressVPN v.6.6.1.4227 Внимание! Это приложение может не работать в Российской Федерации в связи с ограничением работы или блокировкой. Используйте другое защитное ПО.
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.46096 Внимание! Клиент сети P2P с рекламным модулем!.
--------------------------------- [ SPY ] ---------------------------------
Radmin Viewer 3.5.2 v.3.52.1.0000 Внимание! Программа удаленного доступа!
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 281 (64-bit) v.8.0.2810.9 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u311-windows-x64.exe)^
Java SE Development Kit 8 Update 211 (64-bit) v.8.0.2110.12 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Java SE Development Kit (jdk-17_windows-x64_bin.exe).
-------------------------------- [ Media ] --------------------------------
Spotify v.1.1.45.621.gdddebadc Внимание! Скачать обновления
---------------------------- [ UnwantedApps ] -----------------------------
Ashampoo WinOptimizer 2020 v.17.00.25 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии.
Менеджер браузеров v.3.0.7.830 << Скрыта Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
 

 

Менеджер браузеров v.3.0.7.830 - также удалите принудительно.

 

Читайте Рекомендации после удаления вредоносного ПО

[Maksimvini]

Понял, сохраню ссылки где-нибудь и сделаю обновления, какие надо. Понаблюдал процессы диспетчером задач и альтернативным диспетчером, вроде-бы не появляется ничего больше. Спасибо за помощь, вроде всё решено.

[Sandor]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".