Решена John (taskhost.exe, RealtekHD) после AV block remover.

[xlamovsky]

В силу некоторых обстоятельств я на время потерял доступ к интернету через ПК. Решил на телефон скачать игру с торрента и закинуть этот репак на комп через usb, но по всей видимости, попался левый репак, где таился этот гадёныш. Рыскал инфу, нашёл ав блокера и провёл им очистку в безопасном режиме Windows. И я так понимаю, от этого Джона могут остаться "хвосты" в системе. Прошу помочь с этим.

 

[akok]

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O22 - Tasks: \Microsoft\Windows\WindowsBackup\OnlogonCheck - C:\Programdata\ReaItekHD\taskhostw.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\RealtekCheck - C:\Programdata\ReaItekHD\taskhost.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\TaskCheck - C:\Programdata\ReaItekHD\taskhostw.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\WinlogonCheck - C:\Programdata\ReaItekHD\taskhost.exe (file missing)

После уже в обычном режиме.
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[xlamovsky]

Вот

 

[akok]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKU\S-1-5-21-4271506204-4064182069-3747760150-1001\...\Policies\Explorer: []
  HKU\S-1-5-21-4271506204-4064182069-3747760150-1001\...\MountPoints2: {40d7b84a-f25d-11e9-a6a4-50465d6f1f5a} - "G:\Setup.exe"
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  AlternateDataStreams: C:\ProgramData:NT [40]
  AlternateDataStreams: C:\ProgramData:NT2 [812]
  AlternateDataStreams: C:\Users\All Users:NT [40]
  AlternateDataStreams: C:\Users\All Users:NT2 [812]
  AlternateDataStreams: C:\Users\Все пользователи:NT [40]
  AlternateDataStreams: C:\Users\Все пользователи:NT2 [812]
  AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
  AlternateDataStreams: C:\ProgramData\Application Data:NT2 [812]
  AlternateDataStreams: C:\ProgramData\MTA San Andreas All:NT [40]
  AlternateDataStreams: C:\ProgramData\MTA San Andreas All:NT2 [812]
  AlternateDataStreams: C:\ProgramData\Reprise:wupeogjxlctlfudivq`qsp`20hfm [0]
  AlternateDataStreams: C:\Users\Xlam\Application Data:NT [40]
  AlternateDataStreams: C:\Users\Xlam\Application Data:NT2 [812]
  AlternateDataStreams: C:\Users\Xlam\AppData\Roaming:NT [40]
  AlternateDataStreams: C:\Users\Xlam\AppData\Roaming:NT2 [812]
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Пополните, пожалуйста, базу безопасных файлов антивирусной утилиты AVZ:

1. Запустите AVZ.
2. Запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины).
3. В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт №8 ("VirusInfo.Info: Скрипт сбора файлов для экспресс-анализа ПК") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_files_<имя_ПК>.zip
4. Закачайте полученный архив, как описано на этой странице.
5. Если размер архива превышает 250 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: Яндекс.Диск, Zippyshare, My-Files.RU, karelia.ru, Ge.tt или WebFile) и укажите ссылку на скачивание в своём следующем сообщении.

 

[xlamovsky]

Вот

 

[xlamovsky]

virusinfo_auto_DESKTOP-NBQAP4A.zip

Посмотреть и скачать с Яндекс.Диска

disk.yandex.ru

Ссыль на базу файлов. Чёт не получилось его просто так залить, пришлось в Яндекс диск

 

[akok]

Проверяйте, есть ли признаки майнера.

 

[xlamovsky]

Вроде как нет. RealtekHD Audio в автозагрузке не висит, проц не наргружен, COM Surrogate не висит в диспечере, а диспетчер сам не вылетает, так же как и редактор групповой политики. Спасибо большое! Отныне буду более внимателен в выборе торрент трекеров))

 

[akok]

Тогда финальные шаги
Подготовьте лог лог SecurityCheck by glax24

Чтобы автоматически удалить все файлы и папки, созданные FRST, в том числе сам инструмент, переименуйте FRST/FRST64.exe в uninstall.exe и запустите его. Процедура требует перезагрузки

 

[xlamovsky]

FRST деинсталлирован, вот чек

 

[xlamovsky]

И ещё вот вопрос: как я описывал в своём первом сообщении, у меня на некоторое время пропал инет, и тем самым, мне приходилось все эти утилиты сначала скачивать на телефон, а уже после, через usb, загружать их на ПК, и наоборот, логи перекидывать на телефон и заливать их на сайт. Может ли на телефон передаться эта зараза?

 

[regist]

Может ли на телефон передаться эта зараза?

нет.

 

[xlamovsky]

нет.

Хорошо, спасибо!

 

[akok]

Исправьте по возможности найденное.

--------------------------- [ OtherUtilities ] ----------------------------
NVIDIA GeForce Experience 3.25.1.27 v.3.25.1.27 Внимание! Скачать обновления
Steam v.2.10.91.91
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.91 (64-bit) v.5.91.0 Внимание! Скачать обновления
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 281 (64-bit) v.8.0.2810.9 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u351-windows-x64.exe - Windows Offline (64-bit))^
--------------------------------- [ SPY ] ---------------------------------
Radmin Viewer 3.5.2 v.3.52.1.0000 Внимание! Программа удаленного доступа!