Перейти к содержанию

[РЕШЕНО] Подозрение на вирусы и майнеры (Powershell 3x, wasping, и тп.)


Рекомендуемые сообщения

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    SystemRestore: On
    CreateRestorePoint:
    HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
    HKU\S-1-5-21-3236992816-2036871011-1337975326-1002\...\MountPoints2: {c713ec9a-de26-11eb-8f4e-6cf049e520b3} - "F:\HiSuiteDownLoader.exe" 
    GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    C:\Users\vipkr\AppData\Local\Google\Chrome\User Data\Default\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
    C:\Users\vipkr\AppData\Local\Google\Chrome\User Data\Default\Extensions\gndelhfhcfbdhndfpcinebijfcjpmpec
    CHR HKU\S-1-5-21-3236992816-2036871011-1337975326-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [gndelhfhcfbdhndfpcinebijfcjpmpec]
    CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
    Folder: C:\ProgramData\Windows
    Click Install if prompted (HKLM-x32\...\{40830C8E-936E-4E08-AE37-240FF3343927}) (Version: 1.0.6.0 - ExpressVpn) Hidden
    AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
    AlternateDataStreams: C:\ProgramData\Application Data:NT2 [654]
    AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [221]
    FirewallRules: [{2C57B5CC-619A-46EF-8291-D72F2F17965F}] => (Allow) d:\program files\txgameassistant\appmarket\GF186\TUpdate.exe => Нет файла
    FirewallRules: [{19DA413C-F02D-43ED-B4F8-01B9AA77ADE5}] => (Allow) d:\program files\txgameassistant\appmarket\GameDownload.exe => Нет файла
    FirewallRules: [{D60B9039-1809-417D-967B-360748475DA4}] => (Allow) d:\program files\txgameassistant\appmarket\QQExternal.exe => Нет файла
    FirewallRules: [{703D204B-1F0D-4FA2-B6B5-E7F2051DBFB3}] => (Allow) d:\program files\txgameassistant\appmarket\bugreport.exe => Нет файла
    FirewallRules: [{303C2DB3-DEAF-4184-80D6-DB225E942FA3}] => (Allow) d:\program files\txgameassistant\appmarket\TInst.exe => Нет файла
    FirewallRules: [{CBA30F56-C8B3-478B-B7D3-4D346B9E5AF6}] => (Allow) d:\program files\txgameassistant\appmarket\AppMarket.exe => Нет файла
    FirewallRules: [{2F75690F-554C-4D8B-A096-609E73EE7B90}] => (Allow) d:\program files\txgameassistant\ui\TxGaDcc.exe => Нет файла
    FirewallRules: [{AF6429AA-AE58-46D2-A3B5-7E3389E9B53D}] => (Allow) d:\program files\txgameassistant\ui\bugreport.exe => Нет файла
    FirewallRules: [{83C02D04-F68D-48A1-8763-A1FE26AC9666}] => (Allow) d:\program files\txgameassistant\ui\TInst.exe => Нет файла
    FirewallRules: [{739B5312-2ADD-4AC1-ACF8-4BD842566890}] => (Allow) d:\program files\txgameassistant\ui\adb.exe => Нет файла
    FirewallRules: [{B72F7754-7B72-40BA-B608-90F66B7B2260}] => (Allow) d:\program files\txgameassistant\ui\AndroidEmulatorEn.exe => Нет файла
    FirewallRules: [{E91D7D79-1B16-49E5-B4CC-42F19B64A9C9}] => (Allow) d:\program files\txgameassistant\ui\AndroidEmulatorEx.exe => Нет файла
    FirewallRules: [{829B6BEF-CCBA-464F-8B27-A09CC8D54FE1}] => (Allow) d:\program files\txgameassistant\ui\AndroidEmulator.exe => Нет файла
    FirewallRules: [{C1E40576-3838-4F8F-93E0-341BFFE257C6}] => (Allow) d:\program files\txgameassistant\ui\TxGaDcc.exe => Нет файла
    FirewallRules: [{46D921E7-562C-4D49-A0E1-67837FDA1446}] => (Allow) d:\program files\txgameassistant\ui\bugreport.exe => Нет файла
    FirewallRules: [{21A1C5D3-116A-490F-8936-75ECBD73AA7C}] => (Allow) d:\program files\txgameassistant\ui\TInst.exe => Нет файла
    FirewallRules: [{EC133087-A9A7-41B8-980B-ADD7A746E89B}] => (Allow) d:\program files\txgameassistant\ui\adb.exe => Нет файла
    FirewallRules: [{CDC72A2A-EBDC-43C0-8AF7-6246089A1C5C}] => (Allow) d:\program files\txgameassistant\ui\AndroidEmulator.exe => Нет файла
    FirewallRules: [{C75B33AD-5D37-4A6D-8DAB-E1B27A594B73}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
    FirewallRules: [{EF584D27-806B-4506-9791-A8EFF59ADA92}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
    FirewallRules: [{FDE910E6-4540-4911-83C6-DDB0B1346C1D}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
    FirewallRules: [{ECBB4593-9DBA-42BC-8ACB-37E1045B469F}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
    FirewallRules: [{74EA363D-A7D5-4EFA-BF1A-C640F9AE47F5}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
    FirewallRules: [{9CF2E8B2-D02F-40B0-8780-38F7EFF394D3}] => (Allow) D:\program files\txgameassistant\appmarket\DL\syzs_dl_svr.exe => Нет файла
    FirewallRules: [{DE0D8F19-C6F7-48CE-A25D-41D5E9B9B1DD}] => (Allow) d:\program files\txgameassistant\appmarket\GF186\TUpdate.exe => Нет файла
    FirewallRules: [{394BB9CE-B6F5-49AB-AE51-3408824DFADD}] => (Allow) d:\program files\txgameassistant\appmarket\GameDownload.exe => Нет файла
    FirewallRules: [{9B1A0EB8-D706-4290-A3C7-DC8F0952E612}] => (Allow) d:\program files\txgameassistant\appmarket\QQExternal.exe => Нет файла
    FirewallRules: [{150F0130-42EF-4B28-925E-C5C301FC67FF}] => (Allow) d:\program files\txgameassistant\appmarket\bugreport.exe => Нет файла
    FirewallRules: [{B39405B6-FEBE-4D77-9251-00E9B11C41C1}] => (Allow) d:\program files\txgameassistant\appmarket\TInst.exe => Нет файла
    FirewallRules: [{C508AD93-A247-44EF-A885-E3A728D26EC4}] => (Allow) d:\program files\txgameassistant\appmarket\AppMarket.exe => Нет файла
    FirewallRules: [{F6D57C69-8366-4265-BE46-989D0CECB7AD}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
    FirewallRules: [{B31A12F1-4AEA-4374-AFD2-48454273B8D2}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
    FirewallRules: [{FAF3D27D-FFFA-45CC-A446-0D006DA62010}] => (Allow) C:\ProgramData\Windows\Profile\waspwing.exe => Нет файла
    EmptyTemp:
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

В перечне установленных программ появится скрытая ранее

Цитата

Click Install if prompted

Удалите. Не получится стандартно, удаляйте принудительно через Geek Uninstaller

Ссылка на сообщение
Поделиться на другие сайты

ПРикрепляю Fixlog.

Fixlog.txt

НАсчёт "Click install if prompted" - появилась таки в программах и компонентах, принадлежил "ExpressVPN", удалить не получается потому что требует установщик для удаления, позже поставлю вручную и удалю.

Ссылка на сообщение
Поделиться на другие сайты

Нет, требует установщик "ExpressVPN" для удаления, а он снесёт давненько. Как с менеджером браузеров. Ещё антивирус начал на драйвер какой-то ругаться, приложу скрин.

Безымянный.png

И я не знаю, удалять ли драйвер антивирусом или в исключения..

Ссылка на сообщение
Поделиться на другие сайты
1 час назад, Sandor сказал:

удаляйте принудительно через Geek Uninstaller

Т.е. правой кнопкой по записи - Удалить принудительно.

Ссылка на сообщение
Поделиться на другие сайты

Дополнительно:

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    SystemRestore: On
    2021-10-25 16:25 - 2021-10-31 20:25 - 000000000 _RSHD C:\ProgramData\Windows
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Сообщите что с проблемой.

Ссылка на сообщение
Поделиться на другие сайты

Завершаем:

 

1. Запустите AVZ - Файл - Стандартные скрипты - отметьте 6 и нажмите Выполнить отмеченные.

 

2. Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

3.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Ссылка на сообщение
Поделиться на другие сайты

Они часто обновляются, поэтому хранить нецелесообразно. Лучше запомнить ссылки на скачивание.

 

--------------------------- [ OtherUtilities ] ----------------------------
TeamViewer v.15.20.6 Внимание! Скачать обновления
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 21.03 beta (x64) v.21.03 beta Данная версия программы больше не поддерживается разработчиком.. Удалите старую версию, скачайте и установите новую.
WinRAR 5.91 (64-разрядная) v.5.91.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.0.0.309 Внимание! Скачать обновления
---------------------------- [ ProxyAndVPNs ] -----------------------------
ExpressVPN v.6.6.1.4227 Внимание! Это приложение может не работать в Российской Федерации в связи с ограничением работы или блокировкой. Используйте другое защитное ПО.
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.46096 Внимание! Клиент сети P2P с рекламным модулем!.
--------------------------------- [ SPY ] ---------------------------------
Radmin Viewer 3.5.2 v.3.52.1.0000 Внимание! Программа удаленного доступа!
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 281 (64-bit) v.8.0.2810.9 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u311-windows-x64.exe)^
Java SE Development Kit 8 Update 211 (64-bit) v.8.0.2110.12 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Java SE Development Kit (jdk-17_windows-x64_bin.exe).
-------------------------------- [ Media ] --------------------------------
Spotify v.1.1.45.621.gdddebadc Внимание! Скачать обновления
---------------------------- [ UnwantedApps ] -----------------------------
Ashampoo WinOptimizer 2020 v.17.00.25 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии.
Менеджер браузеров v.3.0.7.830 << Скрыта Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
 

 

Менеджер браузеров v.3.0.7.830 - также удалите принудительно.

 

Читайте Рекомендации после удаления вредоносного ПО

Ссылка на сообщение
Поделиться на другие сайты

Понял, сохраню ссылки где-нибудь и сделаю обновления, какие надо. Понаблюдал процессы диспетчером задач и альтернативным диспетчером, вроде-бы не появляется ничего больше. Спасибо за помощь, вроде всё решено.

Ссылка на сообщение
Поделиться на другие сайты

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в ТурциюАрмениюСочиКамбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".

Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • GlockKatana
      От GlockKatana
      PowerShell в командной строке открывал файл .steam и какой-то код. Я его удалил, но он все же включается на несколько секунд и пытается найти и активировать этот файл.
      успел поймать
    • kurosakichel
      От kurosakichel
      Всем привет! Связался с такой проблемой, что скачал давным-давно вирус с майнером, который как я понял за некоторое время вшился в мой биос. Когда я убедился, что на моем компьютере есть майнер по двум признакам. Это когда с закрытым диспетчером задач вентиляторы в компьютере начинают шуметь и компьютер загружается на 60-70%, а когда я открываю диспетчер задач вентиляторы утихают и резко с 70% загруженности цп падает до низкого процента (10-30%). И еще один признак, когда мне посоветовали скачать антивирус Dr.Web он начал вечно блокировать приложение powershell.exe и тогда я понял, что благодаря нему майнер и сидит в моем компьютере и удалить его без посторонней помощи для меня - никак. Пробная подписка на Dr.Web истекла и я решился переустановить виндовс вновь с надеждой на везение, но увы, не помогло. Майнер так и остался в моем компьютере... Очень хочется удалить майнер без замены деталей в компьютере. Помогите пожалуйста!!
    • kotodrotin
      От kotodrotin
      Здравствуйте.
      Заметил что ноутбук начал шуметь в простое и нагружать процессор на 50-60 процентов, а нагрузка шла от программы Powershell, причем проверял в программе process explorer, потому что открывая просто диспетчер задач нагрузка процессора падала, а процесс powershell сбрасывался. Проверил антивирусом malware и drweb culteir и без результатно

    • JohnJohnson
      От JohnJohnson
      Привет! Подхватил майнер, уже знаю откуда, больше не подхвачу. Прогнал через dr web cureit, он несколько файлов нашёл и удалил, но майнер остался. Потом пошёл через AutoLogger, там в планировщке 3 файла вредоносного скрипта в powershell. Я сделал скрипт для удаления, ввёл его в АВЗ, ребутнул компьютер. Потом снова прогнал через AutoLogger, там эти файлы всё равно остались. Видимо, что-то ещё нужно добавить в скрипт. Тут я уже не компетентен(

      Заранее большое спасибо!
      CollectionLog-2022.06.25-23.31.zip
    • RevMirin
      От RevMirin
      Последнее время появилась в диспетчере задача powershell.exe. Нагружает систему так, что даже браузер хром позавидует (Скрин скину ниже). Что мне делать? Сама программа не появляется, появляется только в диспетчере
      Очень надеюсь на вашу помощь

×
×
  • Создать...