Решена Стиллер/вирус крадёт сессию телеграмм

murachy · Воскресенье в 13:26

Один раз взломали тг аккаунт, появилась сессия несанкционированная и меня выкидывало несколько раз со всех устройств, кроме того несанкционированного. Пришлось удалять аккаунт, а когда создал новый подобное повторилось. Благо успел завершить тот сеанс. Подозрения падают на ПК, ибо после авторизации в нём такая шняга появилась. Пробовал через Dr. Web Cure It просканировать, но не помогло. Что можно сделать в такой ситуации?

Severnyj · Воскресенье в 13:30

Подготовьте логи по правилам: https://safezone.cc/pravila/

murachy · Воскресенье в 14:30

Severnyj написал(а):
Подготовьте логи по правилам: https://safezone.cc/pravila/

Мне новый пост создавать или здесь прикрепить?

Severnyj · Воскресенье в 14:31

Прикрепляйте здесь

murachy · Воскресенье в 14:34

Severnyj написал(а):
Прикрепляйте здесь

Severnyj · Воскресенье в 14:55

Пофиксите в HJT (некоторые строки могут отсутствовать):

Код:

O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 4
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Real-Time Protection: [DisableRealtimeMonitoring] = 1
O7 - Windows Defender Exclusion - Paths: C:\Program Files (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Program Files (x86) (Directory)
O7 - Windows Defender Exclusion - Paths: C:\ProgramData (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\BtPw (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\csPE (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\CyjOU (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\CzxCo (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\rjIKkD (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\Temp\ (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\tFkAT (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\XTST (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\zwOFA (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Roaming (Directory)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive6: (no name) - {9AA2F32D-362A-42D9-9328-24A483E2CCC3} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive6: (no name) - {9AA2F32D-362A-42D9-9328-24A483E2CCC3} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file)
O22 - BITS Job: (download) {330D6332-3AF7-4323-BF03-A6514440E823} - hxxps://dl.google.com/diffgen-puffin/gcmjkmgdlgnkkcocmoeiminaijmmjnii/93d241e87603e2aac20e9e6ab2a12f1dd352be0faabae7597f3872f3267db430 -> C:\Users\muratych\AppData\Local\Temp\chromium_chrome_BITS_24692_911604564\93d241e87603e2aac20e9e6ab2a12f1dd352be0faabae7597f3872f3267db430
O22 - BITS Job: Fix all (including legit)
O22 - Tasks: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\PowerToys (empty)
O26 - Office Addin: HKLM\..\NativeShim - (Inquire) -> (no file)
O26 - Tools: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs\ScreenTint [StartExe] = screentint (file missing)

Далее:

Скачайте утилиту DoesNotBelong и сохраните её на Рабочем столе.

Пожалуйста, сохраните все несохраненные файлы и закройте все программы, так как этот инструмент попытается закрыть все некритические процессы в ходе сканирования. Это касается и интернет-браузеров.

Щелкните правой кнопкой мыши по DoesNotBelong.exe и запустите его от имени администратора.
После прочтения заявления об отказе от ответственности нажмите «Да», чтобы начать сканирование
Скрипт создаст точку восстановления системы и приступит к сканированию, которое может занять некоторое время.
По завершении работы программы окно командной строки закроется, и в корневом каталоге диска C: будет создан журнал под названием DoesNotBelong_[дата]_[время].txt.
Пожалуйста, запакуйте отчет DoesNotBelong_[дата]_[время].txt. и прикрепите к своему следующему сообщению.

Далее:

Скачайте Farbar Recovery Scan Tool или с зеркала сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую по разрядности с Вашей операционной системой.
Как узнать разрядность моей системы?

Запустите программу. Когда программа запустится, нажмите Yes (Да) для соглашения с предупреждением об отказе от ответственности.
Убедитесь, что в разделе Optional Scan (Дополнительное Сканирование) отмечены галочки List BCD (Список BCD) и 90 Days Files (Файлы за 90 дней).
Нажмите кнопку Scan (Сканировать).

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Запакуйте отчеты в архив и прикрепите его к своему следующему сообщению.

murachy · Воскресенье в 15:16

Severnyj написал(а):
Пофиксите в HJT (некоторые строки могут отсутствовать):

Код:

O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 4 O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Real-Time Protection: [DisableRealtimeMonitoring] = 1 O7 - Windows Defender Exclusion - Paths: C:\Program Files (Directory) O7 - Windows Defender Exclusion - Paths: C:\Program Files (x86) (Directory) O7 - Windows Defender Exclusion - Paths: C:\ProgramData (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\BtPw (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\csPE (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\CyjOU (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\CzxCo (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\rjIKkD (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\Temp\ (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\tFkAT (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\XTST (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Local\zwOFA (Directory) O7 - Windows Defender Exclusion - Paths: C:\Users\muratych\AppData\Roaming (Directory) O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file) O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file) O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file) O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file) O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file) O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive6: (no name) - {9AA2F32D-362A-42D9-9328-24A483E2CCC3} - (no file) O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file) O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file) O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file) O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file) O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file) O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file) O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive6: (no name) - {9AA2F32D-362A-42D9-9328-24A483E2CCC3} - (no file) O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file) O22 - BITS Job: (download) {330D6332-3AF7-4323-BF03-A6514440E823} - hxxps://dl.google.com/diffgen-puffin/gcmjkmgdlgnkkcocmoeiminaijmmjnii/93d241e87603e2aac20e9e6ab2a12f1dd352be0faabae7597f3872f3267db430 -> C:\Users\muratych\AppData\Local\Temp\chromium_chrome_BITS_24692_911604564\93d241e87603e2aac20e9e6ab2a12f1dd352be0faabae7597f3872f3267db430 O22 - BITS Job: Fix all (including legit) O22 - Tasks: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\PowerToys (empty) O26 - Office Addin: HKLM\..\NativeShim - (Inquire) -> (no file) O26 - Tools: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs\ScreenTint [StartExe] = screentint (file missing)

Далее:

Скачайте утилиту DoesNotBelong и сохраните её на Рабочем столе.

Пожалуйста, сохраните все несохраненные файлы и закройте все программы, так как этот инструмент попытается закрыть все некритические процессы в ходе сканирования. Это касается и интернет-браузеров.

Щелкните правой кнопкой мыши по DoesNotBelong.exe и запустите его от имени администратора.

После прочтения заявления об отказе от ответственности нажмите «Да», чтобы начать сканирование

Скрипт создаст точку восстановления системы и приступит к сканированию, которое может занять некоторое время.

По завершении работы программы окно командной строки закроется, и в корневом каталоге диска C: будет создан журнал под названием DoesNotBelong_[дата]_[время].txt.

Пожалуйста, запакуйте отчет DoesNotBelong_[дата]_[время].txt. и прикрепите к своему следующему сообщению.

Далее:

Скачайте Farbar Recovery Scan Tool или с зеркала сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую по разрядности с Вашей операционной системой.
Как узнать разрядность моей системы?

Запустите программу. Когда программа запустится, нажмите Yes (Да) для соглашения с предупреждением об отказе от ответственности.

Убедитесь, что в разделе Optional Scan (Дополнительное Сканирование) отмечены галочки List BCD (Список BCD) и 90 Days Files (Файлы за 90 дней).

Нажмите кнопку Scan (Сканировать).

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Запакуйте отчеты в архив и прикрепите его к своему следующему сообщению.

"Пофиксите в HJT (некоторые строки могут отсутствовать):" - при переходе через ссылку ничего не происходит. Просто переносит на главный сайт

Severnyj · Воскресенье в 15:20

A

Тема 'Как "пофиксить" с помощью HiJackThis+'

13 Июл 2013

Запустите HiJackThis+ (утилита находится в папке Автологера - ...\AutoLogger\HiJackThis\)
Нажмите кнопку "Do a system scan only"
В открывшемся логе сканирования поставить галочки напротив указанных консультантом строк и нажать кнопку "Fix сhecked".

В данном случае галочки стоят возле совершенно случайных строк, это пример. У Вас это будут другие строки, которые порекомендует консультант.

_________________________________

У HiJackThis есть возможность...

murachy · Воскресенье в 15:52

Severnyj написал(а):
A

Тема 'Как "пофиксить" с помощью HiJackThis+'

13 Июл 2013

Запустите HiJackThis+ (утилита находится в папке Автологера - ...\AutoLogger\HiJackThis\)

Нажмите кнопку "Do a system scan only"

В открывшемся логе сканирования поставить галочки напротив указанных консультантом строк и нажать кнопку "Fix сhecked".

В данном случае галочки стоят возле совершенно случайных строк, это пример. У Вас это будут другие строки, которые порекомендует консультант.

_________________________________

У HiJackThis есть возможность...

antispy

hijackthis hijackthis+

Ответы: 0

Форум: Инструкции по утилитам лечения

FRST.txt, Addition.txt сразу отправить ?

Severnyj · Воскресенье в 15:56

Да. Присылайте.

murachy · Воскресенье в 16:43

Severnyj написал(а):
Да. Присылайте.

Severnyj · Воскресенье в 17:02

Примите к сведению - после выполнения скрипта временные файлы, корзина, история браузеров, куки и кэш будут очищены.
Отключите до перезагрузки антивирус.
Выделите следующий код:

Код:

Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
Unlock: C:\FRST\
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
S3 cpuz159; \??\C:\WINDOWS\temp\cpuz159\cpuz159_x64.sys (Нет файла) <==== ВНИМАНИЕ
S3 HWiNFO_206; \??\C:\Users\muratych\AppData\Local\Temp\HWiNFO_x64_206.sys (Нет файла) <==== ВНИМАНИЕ
S3 HWiNFO_215; \??\C:\Users\muratych\AppData\Local\Temp\HWiNFO_x64_215.sys (Нет файла) <==== ВНИМАНИЕ
2026-09-14 18:39 - 2026-09-17 13:30 - 000000000 ____D C:\Users\muratych\AppData\Local\CyjOU
2026-09-14 17:13 - 2026-09-14 17:13 - 000000000 ____D C:\Users\muratych\AppData\Local\CzxCo
2026-09-14 00:35 - 2026-09-14 00:35 - 000000000 ____D C:\Users\muratych\AppData\Local\zwOFA
2026-09-13 18:35 - 2026-09-13 18:35 - 000000000 ____D C:\Users\muratych\AppData\Local\tFkAT
2026-09-13 18:34 - 2026-09-13 18:34 - 000000000 ____D C:\Users\muratych\AppData\Local\rjIKkD
2026-09-13 17:14 - 2026-09-13 17:17 - 000000000 ____D C:\Users\muratych\AppData\Local\Info
2026-09-13 17:14 - 2026-09-13 17:14 - 000000000 ____D C:\Users\muratych\AppData\Local\csPE
StartPowershell:
Set-MpPreference -DisableAutoExclusions $true -Force
Set-MpPreference -Mapsreporting basic -Force
Set-MpPreference -DisableArchiveScanning $false -Force
Set-MpPreference -DisableBehaviorMonitoring $false -Force
Set-MpPreference -DisableRealtimeMonitoring $false -Force
Set-MpPreference -DisablePrivacyMode $true -Force
Set-MpPreference -DisableIOAVProtection $false -Force
Set-MpPreference -UILockdown 0
Set-MpPreference -ScanPurgeItemsAfterDelay 1
Set-MpPreference -CheckForSignaturesBeforeRunningScan $true -Force
Set-MpPreference -PUAProtection enabled -Force
Update-MpSignature
Get-MpComputerStatus
Get-MpPreference
Get-AppxPackage Microsoft.SecHealthUI -AllUsers | Reset-AppxPackage
Get-AppxPackage Microsoft.SecHealthUI -AllUsers|select Name, Status
EndPowershell:
Reg: reg export HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Defaults\FirewallPolicy\FirewallRules C:\Firewall.reg
C:\Firewall.reg
CMD: netsh advfirewall reset
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Запакуйте его в архив и прикрепите к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.
Компьютер будет перезагружен автоматически.

По-видимому имело место быть заражение стилером на одной из платформ (Electron, NodeJS или RenPy). Стилеры на этих платформах часто обходят антивирусы, потому что это легитимные и широко распространённые инструменты. Вредоносный код прячется внутри упакованного приложения среди стандартных библиотек и ресурсов, а сами процессы (node.exe, рантайм Electron или Ren'Py) выглядят для антивируса обычными. Сигнатурный анализ почти не работает, а поведенческий срабатывает не всегда, особенно если стилер просто читает файлы браузеров, Discord или криптокошельков без явных эксплойтов.

Советую воспользоваться антивирусными сканерами и выполнить полное сканирование системы. Займет продолжительное время, но отнеситесь с терпением.

Подготовьте лог сканирования Malwarebytes:

Тема 'FAQ по работе с Malwarebytes v. 5'

27 Фев 2024

Как установить и подготовить лог сканирования Malwarebytes v. 5?

1. Скачайте установочный файл Malwarebytes v. 5 с сайта производителя или с зеркала.
2. Запустите и установите программу (Персональные устройства "Для меня и моего дома").

По желанию можно добавить браузерное расширение (или пропустить этот пункт)

На предложение купить или продлить активацию ответьте "Не сейчас".

3. По окончании установки запустите проверку нажатием соответствующей кнопки:

Дождитесь окончания...

murachy · Воскресенье в 19:40

Severnyj написал(а):
Примите к сведению - после выполнения скрипта временные файлы, корзина, история браузеров, куки и кэш будут очищены.
Отключите до перезагрузки антивирус.
Выделите следующий код:

Код:

Start:: CloseProcesses: SystemRestore: On CreateRestorePoint: Unlock: C:\FRST\ HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ S3 cpuz159; \??\C:\WINDOWS\temp\cpuz159\cpuz159_x64.sys (Нет файла) <==== ВНИМАНИЕ S3 HWiNFO_206; \??\C:\Users\muratych\AppData\Local\Temp\HWiNFO_x64_206.sys (Нет файла) <==== ВНИМАНИЕ S3 HWiNFO_215; \??\C:\Users\muratych\AppData\Local\Temp\HWiNFO_x64_215.sys (Нет файла) <==== ВНИМАНИЕ 2026-09-14 18:39 - 2026-09-17 13:30 - 000000000 ____D C:\Users\muratych\AppData\Local\CyjOU 2026-09-14 17:13 - 2026-09-14 17:13 - 000000000 ____D C:\Users\muratych\AppData\Local\CzxCo 2026-09-14 00:35 - 2026-09-14 00:35 - 000000000 ____D C:\Users\muratych\AppData\Local\zwOFA 2026-09-13 18:35 - 2026-09-13 18:35 - 000000000 ____D C:\Users\muratych\AppData\Local\tFkAT 2026-09-13 18:34 - 2026-09-13 18:34 - 000000000 ____D C:\Users\muratych\AppData\Local\rjIKkD 2026-09-13 17:14 - 2026-09-13 17:17 - 000000000 ____D C:\Users\muratych\AppData\Local\Info 2026-09-13 17:14 - 2026-09-13 17:14 - 000000000 ____D C:\Users\muratych\AppData\Local\csPE StartPowershell: Set-MpPreference -DisableAutoExclusions $true -Force Set-MpPreference -Mapsreporting basic -Force Set-MpPreference -DisableArchiveScanning $false -Force Set-MpPreference -DisableBehaviorMonitoring $false -Force Set-MpPreference -DisableRealtimeMonitoring $false -Force Set-MpPreference -DisablePrivacyMode $true -Force Set-MpPreference -DisableIOAVProtection $false -Force Set-MpPreference -UILockdown 0 Set-MpPreference -ScanPurgeItemsAfterDelay 1 Set-MpPreference -CheckForSignaturesBeforeRunningScan $true -Force Set-MpPreference -PUAProtection enabled -Force Update-MpSignature Get-MpComputerStatus Get-MpPreference Get-AppxPackage Microsoft.SecHealthUI -AllUsers | Reset-AppxPackage Get-AppxPackage Microsoft.SecHealthUI -AllUsers|select Name, Status EndPowershell: Reg: reg export HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Defaults\FirewallPolicy\FirewallRules C:\Firewall.reg C:\Firewall.reg CMD: netsh advfirewall reset ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions EmptyTemp: Reboot: End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Запакуйте его в архив и прикрепите к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.
Компьютер будет перезагружен автоматически.

По-видимому имело место быть заражение стилером на одной из платформ (Electron, NodeJS или RenPy). Стилеры на этих платформах часто обходят антивирусы, потому что это легитимные и широко распространённые инструменты. Вредоносный код прячется внутри упакованного приложения среди стандартных библиотек и ресурсов, а сами процессы (node.exe, рантайм Electron или Ren'Py) выглядят для антивируса обычными. Сигнатурный анализ почти не работает, а поведенческий срабатывает не всегда, особенно если стилер просто читает файлы браузеров, Discord или криптокошельков без явных эксплойтов.

Советую воспользоваться антивирусными сканерами и выполнить полное сканирование системы. Займет продолжительное время, но отнеситесь с терпением.

Подготовьте лог сканирования Malwarebytes:

Тема 'FAQ по работе с Malwarebytes v. 5'

27 Фев 2024

Как установить и подготовить лог сканирования Malwarebytes v. 5?

1. Скачайте установочный файл Malwarebytes v. 5 с сайта производителя или с зеркала.
2. Запустите и установите программу (Персональные устройства "Для меня и моего дома").

По желанию можно добавить браузерное расширение (или пропустить этот пункт)

На предложение купить или продлить активацию ответьте "Не сейчас".

3. По окончании установки запустите проверку нажатием соответствующей кнопки:

Дождитесь окончания...

Sandor

malwarebytes

Ответы: 1

Форум: Инструкции по утилитам лечения

Severnyj · Воскресенье в 19:50

Повторите сканирование и удалите:

Trojan.CoinMiner, C:\USERS\MURATYCH\APPDATA\LOCAL\XTST\SERVICE.EXE, Проигнорировано пользователем, 4335, 1429654, 1.0.116169, , ame, , B1AE5B433E3BB328A05B7E5CFEAED955, F138E8A48EF5F266279D580594DD91E058B0FD7D0649A1B027554C41AAE54BA9

Остальные на Ваше усмотрение.

Активных троянов и записей в автозагрузке нет.

Однако:
Советую еще провести сканирование системы антивирусными сканерами, например: Kaspersky Virus Removal Tool и ESET Online Scanner.

murachy · Воскресенье в 23:32

Severnyj написал(а):
Повторите сканирование и удалите:

Остальные на Ваше усмотрение.

Активных троянов и записей в автозагрузке нет.

Однако:
Советую еще провести сканирование системы антивирусными сканерами, например: Kaspersky Virus Removal Tool и ESET Online Scanner.

Сканирование провел. Также почистил. При повторном сканировании через эти же антивирусы и Malwarebytes никаких угроз не обнаружено. Больше ничего делать не недо? От стиллера избавился?

Severnyj · Вчера в 04:17

murachy написал(а):
От стиллера избавился?

Как я уже говорил:

Severnyj написал(а):
Активных троянов и записей в автозагрузке нет.

Однако:

Severnyj написал(а):
По-видимому имело место быть заражение стилером на одной из платформ (Electron, NodeJS или RenPy). Стилеры на этих платформах часто обходят антивирусы, потому что это легитимные и широко распространённые инструменты. Вредоносный код прячется внутри упакованного приложения среди стандартных библиотек и ресурсов, а сами процессы (node.exe, рантайм Electron или Ren'Py) выглядят для антивируса обычными. Сигнатурный анализ почти не работает, а поведенческий срабатывает не всегда, особенно если стилер просто читает файлы браузеров, Discord или криптокошельков без явных эксплойтов.

Поэтому наблюдайте за поведением Telegram: завершите все сессии, включите двухфакторную авторизацию и наблюдайте.

100% гарантию даст переустановка системы.

Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите.
Компьютер будет перезагружен автоматически.

Подготовьте лог SecurityCheck by glax24:
Скачайте архив, распакуйте в любую папку и запустите.
Дождитесь окончания сканирования, прикрепите лог C:\SecurityCheck\SecurityCheck.txt к своему следующему сообщению.

murachy · Вчера в 20:27

Severnyj написал(а):
Как я уже говорил:

Однако:

Поэтому наблюдайте за поведением Telegram: завершите все сессии, включите двухфакторную авторизацию и наблюдайте.

100% гарантию даст переустановка системы.

Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите.
Компьютер будет перезагружен автоматически.

Подготовьте лог SecurityCheck by glax24:
Скачайте архив, распакуйте в любую папку и запустите.
Дождитесь окончания сканирования, прикрепите лог C:\SecurityCheck\SecurityCheck.txt к своему следующему сообщению.

Severnyj · Вчера в 20:31

Обновите ПО:

AIDA64 Extreme v8.20 v.8.20 Внимание! Скачать обновления
Docker Desktop v.4.72.0 Внимание! Скачать обновления
Git v.2.45.1 Внимание! Скачать обновления
Oracle VirtualBox 7.2.8 v.7.2.8 Внимание! Скачать обновления
Node.js v.24.12.0 Внимание! Скачать обновления
NVIDIA App 11.0.9.251 v.11.0.9.251 Внимание! Скачать обновления
WinSCP 6.5.5 v.6.5.5 Внимание! Скачать обновления
Microsoft Visual C++ v14 Redistributable (x86) - 14.50.35719 v.14.50.35719.0 Внимание! Скачать обновления
Geeks3D FurMark 1.39.3.0 v.1.39.3.0 Внимание! Скачать обновления
TechPowerUp GPU-Z v.2.68.0 Внимание! Скачать обновления
Microsoft Visual C++ v14 Redistributable (x64) - 14.50.35719 v.14.50.35719.0 Внимание! Скачать обновления
WinRAR 7.13 (64-bit) v.7.13.0 Внимание! Скачать обновления
Happ - Proxy Utility 4.1.3(604) v.4.1.3(604) Внимание! Скачать обновления
WireGuard v.1.1 Внимание! Скачать обновления
Outline 1.21.0 v.1.21.0 Внимание! Скачать обновления
qBittorrent v.5.2.4 Внимание! Скачать обновления
Java 8 Update 491 (64-bit) v.8.0.4910.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u511-windows-x64.exe - Windows Offline (64-bit))^
REAPER (x64) v.7.69 Внимание! Скачать обновления
Mullvad Browser v.15.0.21 Внимание! Скачать обновления
Comet v.143.2.7499.37654 Внимание! Скачать обновления
Google Chrome v.155.0.8059.86 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^

Сбросьте настройки используемых браузеров:

Google Chrome
1. Откройте chrome://settings/reset
2. Нажмите «Восстановить настройки по умолчанию» → подтвердите.

Яндекс.Браузер
1. Откройте browser://settings/reset
2. Нажмите «Сбросить» → подтвердите.

Microsoft Edge
1. Откройте edge://settings/reset
2. Нажмите «Восстановить стандартные настройки» → подтвердите.

Mozilla Firefox
1. Откройте меню → Справка → Информация для решения проблем (или введите about:support)
2. Справа нажмите «Очистить Firefox…» → подтвердите.

Регулярно делайте резервные копии важных данных на внешние диски и в облачные хранилища — так Вы защитите их от возможной утери при проблемах с "железом" или при атаках троянов-шифровальщиков.

Для блокировки нежелательного контента советую установить расширения браузеров uBlock Origin (uBlock/uBO Lite), Privacy Badger и Browser Guard.
Скачивайте расширения только из официальных магазинов. Не устанавливайте слишком много расширений и регулярно проверяйте их список.

Ознакомьтесь со следующей информацией:

Рекомендации после удаления вредоносного ПО

murachy · Вчера в 22:42

Severnyj написал(а):
Обновите ПО:

AIDA64 Extreme v8.20 v.8.20 Внимание! Скачать обновления
Docker Desktop v.4.72.0 Внимание! Скачать обновления
Git v.2.45.1 Внимание! Скачать обновления
Oracle VirtualBox 7.2.8 v.7.2.8 Внимание! Скачать обновления
Node.js v.24.12.0 Внимание! Скачать обновления
NVIDIA App 11.0.9.251 v.11.0.9.251 Внимание! Скачать обновления
WinSCP 6.5.5 v.6.5.5 Внимание! Скачать обновления
Microsoft Visual C++ v14 Redistributable (x86) - 14.50.35719 v.14.50.35719.0 Внимание! Скачать обновления
Geeks3D FurMark 1.39.3.0 v.1.39.3.0 Внимание! Скачать обновления
TechPowerUp GPU-Z v.2.68.0 Внимание! Скачать обновления
Microsoft Visual C++ v14 Redistributable (x64) - 14.50.35719 v.14.50.35719.0 Внимание! Скачать обновления
WinRAR 7.13 (64-bit) v.7.13.0 Внимание! Скачать обновления
Happ - Proxy Utility 4.1.3(604) v.4.1.3(604) Внимание! Скачать обновления
WireGuard v.1.1 Внимание! Скачать обновления
Outline 1.21.0 v.1.21.0 Внимание! Скачать обновления
qBittorrent v.5.2.4 Внимание! Скачать обновления
Java 8 Update 491 (64-bit) v.8.0.4910.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u511-windows-x64.exe - Windows Offline (64-bit))^
REAPER (x64) v.7.69 Внимание! Скачать обновления
Mullvad Browser v.15.0.21 Внимание! Скачать обновления
Comet v.143.2.7499.37654 Внимание! Скачать обновления
Google Chrome v.155.0.8059.86 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^

Сбросьте настройки используемых браузеров:

Google Chrome
1. Откройте chrome://settings/reset
2. Нажмите «Восстановить настройки по умолчанию» → подтвердите.

Яндекс.Браузер
1. Откройте browser://settings/reset
2. Нажмите «Сбросить» → подтвердите.

Microsoft Edge
1. Откройте edge://settings/reset
2. Нажмите «Восстановить стандартные настройки» → подтвердите.

Mozilla Firefox
1. Откройте меню → Справка → Информация для решения проблем (или введите about:support)
2. Справа нажмите «Очистить Firefox…» → подтвердите.

Регулярно делайте резервные копии важных данных на внешние диски и в облачные хранилища — так Вы защитите их от возможной утери при проблемах с "железом" или при атаках троянов-шифровальщиков.

Для блокировки нежелательного контента советую установить расширения браузеров uBlock Origin (uBlock/uBO Lite), Privacy Badger и Browser Guard.
Скачивайте расширения только из официальных магазинов. Не устанавливайте слишком много расширений и регулярно проверяйте их список.

Ознакомьтесь со следующей информацией:

Рекомендации после удаления вредоносного ПО

Нужно ли удалять DoesNotBelong.exe? Если да, то как?

Severnyj · Сегодня в 04:08

В корзину.

Решена Стиллер/вирус крадёт сессию телеграмм

Переводчик Google

Новый пользователь

Новый пользователь

Новый пользователь

Вложения

Новый пользователь

Новый пользователь

Вложения

Новый пользователь

Вложения

Новый пользователь

Вложения

Новый пользователь

Новый пользователь

Вложения

Новый пользователь