[РЕШЕНО] Вирусы, майнер RobotDemo.exe, не скачиваются антивирусы

[Айдос]

ПК домашний, для просмотора ютуба, игр со стима и учёбы, начал очень сильно тормозить, при загрузке и отключении, выходит надпись подождите, скорее всего заражен руткитами, вылетает с игр, память и цп бывают загружены очень сильно.

Майнер RobotDemo.exe находится по адресу: C:\ProgramData\RobotDemo . Приходится его удалять при каждом запуске винды.

Разрешённые угрозы каждый раз появляются снова. 

Стоит служба удаленного рабочего стола не знаю как отключить.  

Также в диспетчере задач Runtime broker и другие подозрительные по, после их снятия снова появляются, а некоторые невозможно снять, т.к. недостаточно прав.

Ccleaner не может исправить ошибку реестера, скрин прилагается, возможно поможет в решении вопроса.

Заранее благодарю за помощь.

CollectionLog-2022.04.14-15.33.zip

[Sandor]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\RobotDemo\RobotDemo.exe', '');
 DeleteSchedulerTask('C:\WINDOWS\Task\randomPlay_Na.job');
 DeleteSchedulerTask('C:\WINDOWS\Task\randomPlay_O1.job');
 DeleteSchedulerTask('ptpijn');
 DeleteFile('C:\ProgramData\RobotDemo\RobotDemo.exe', '32');
 DeleteFileMask('c:\programdata\robotdemo', '*', false);
 DeleteDirectory('c:\programdata\robotdemo');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(21);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится.

 

 

Для повторной диагностики запустите снова AutoLogger. Прикрепите новый CollectionLog.zip

[Айдос]

robotdemo исчезю, загрузка прошла быстрее

CollectionLog-2022.04.14-16.52.zip

Изменено 14 апреля, 2022 пользователем Айдос

[Sandor]

Продолжим:

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Айдос]

FRST.txtAddition.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-917525596-75786074-1873650209-1001\...\MountPoints2: {a1d816a9-9384-11e8-836d-ace2d3645682} - "E:\LaunchCGS.exe" 
  GroupPolicy: Ограничение - Windows Defender <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-917525596-75786074-1873650209-1001\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
  Task: {39F5B5EF-8668-497E-943A-64C20E2FC09B} - System32\Tasks\Microsoft\Windows\Setup\EOSNotify => C:\WINDOWS\system32\EOSNotify.exe (Нет файла)
  Task: {475793C4-0C1E-4626-8A40-20181E247641} - System32\Tasks\Microsoft\Windows\rempl\shell => C:\Program Files\rempl\sedlauncher.exe (Нет файла)
  Task: {C8C28799-972E-4D05-B48D-C0C50C8F01BA} - System32\Tasks\Microsoft\Windows\WindowsUpdate\RUXIM\PLUGScheduler => C:\Program Files\RUXIM\PLUGscheduler.exe (Нет файла)
  Task: C:\WINDOWS\Tasks\randomPlay_Na.job => C:\ProgramData\RobotDemo\RobotDemo.exe <==== ВНИМАНИЕ
  Task: C:\WINDOWS\Tasks\randomPlay_O1.job => C:\ProgramData\RobotDemo\RobotDemo.exe <==== ВНИМАНИЕ
  uBlock Pro - #1 Adblocker 1.0.0.0 (HKLM-x32\...\{a6f0143f-540f-4921-9a2a-78030e1bde0f}) (Version: 1.0.0.0 - uBlock Pro) Hidden
  UmbrellaLoader (HKLM-x32\...\{CB6F6EDC-C426-40AA-AE85-BD0E38D999DA}) (Version: 1.0.0 - uc.zone) Hidden
  Year Totough 2.5.2.39 (HKLM-x32\...\{c064f7d5-ead8-4d90-be73-f19e6b3aa91e}) (Version: 2.5.2.39 - Da Costa S.A.) Hidden
  ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} =>  -> Нет файла
  AlternateDataStreams: C:\ProgramData\TEMP:58A5270D [406]
  URLSearchHook: HKU\S-1-5-21-917525596-75786074-1873650209-1001 - (Нет имени) - {C9423817-5DA7-494E-87E4-111F1B49A1FD} - Нет файла
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

В перечне установленных программ появятся скрытые ранее

Цитата

 

uBlock Pro - #1 Adblocker 1.0.0.0

UmbrellaLoader

Year Totough 2.5.2.39

 

Удалите.
Не сможете стандартно, удалите принудительно через Geek Uninstaller

[Айдос]

fixlog.txt

[Sandor]

Указанные программы удалили?

Что сейчас с проблемой?

[Айдос]

Программы удалил, после. Проблему считаю решённой, спасибо большое!

[Sandor]

Хорошо. Проделайте завершающие шаги:

 

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Айдос]

SecurityCheck.txt

[Sandor]

--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Защитника Windows (mpssvc) - Служба работает
Отключен доменный профиль Брандмауэра Windows
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Malwarebytes version 4.4.11.149 v.4.4.11.149 Внимание! Скачать обновления
--------------------------- [ OtherUtilities ] ----------------------------
Notepad++ (64-bit x64) v.7.6.6 Внимание! Скачать обновления
Microsoft Office 2007 Service Pack 3 (SP3) Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Office Excel Viewer v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком.
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 19.00 v.19.00 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
WinRAR 5.70 (32-bit) v.5.70.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Zoom v.5.8.7 (2058) Внимание! Скачать обновления
Skype, версия 8.58 v.8.58 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45826 Внимание! Клиент сети P2P с рекламным модулем!.
------------------------------- [ Browser ] -------------------------------
Mozilla Firefox 89.0.1 (x64 ru) v.89.0.1 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Firefox!^
---------------------------- [ UnwantedApps ] -----------------------------
CCleaner v.5.92 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
 

 

Учтите и по возможности исправьте указанное.

 

Читайте Рекомендации после удаления вредоносного ПО

[Айдос]

Спасибо большое, вы лучшие!

[Sandor]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".