Решена Как избежать майнера на своем устройстве?

[nikita5533]

Я очень доверчивый, уже 2 раз майнер подловил. Это MicrosoftHost и он даже ваш сайт блокирует. Я сейчас с телефона. Не знаю что делать.

 

[nikita5533]

И он ваш сайт помечает злым

 

[Sandor]

Здравствуйте!

Скачайте AV block remover. (Скачать можно на другом устройстве и флешкой перенести).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).
Как вариант, можно воспользоваться версией со случайным именем.
Если и так не сработает, запускайте из безопасного режима с поддержкой сети.
В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите CollectionLog Автологером по Правилам оформления запроса о помощи

 

[nikita5533]

Я каким-то образом смог зайти на ваш сайт, но av block remover не запускается ни каким образом. Просто идёт распаковка файлов и всё. Получилось только через безопасный режим. Но CollectionLog всё-таки удалось:

 

[Sandor]

Хорошо.
Деинсталлируйте нежелательное ПО:

MediaGet

Далее:
Файл CheckBrowserLnk.log
из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.



Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

Затем:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Запустить проверку") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

[nikita5533]

Утилита clearLNK не скачивается, у меня закрывается окно.

 

[Sandor]

Пробуйте скачать другим браузером.

 

[nikita5533]

Вот, но у меня два лога с началом Sxx и с началом Cxx, я скинул Sxx

 

[Sandor]

и с началом Cxx

Значит вы уже сделали очистку. Покажите и этот лог.

Затем:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[nikita5533]

Вот:

 

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус, а также все запущенные программы.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
  Task: {1FC13965-9A79-4342-B926-460A569A39D8} - System32\Tasks\Microsoft\Windows\WindowsBackup\TaskCheck => C:\Programdata\ReaItekHD\taskhostw.exe (Нет файла) <==== ВНИМАНИЕ
  Task: {3CBA5C85-2B7A-4A1F-BF18-1B9D1C0CAF62} - System32\Tasks\Microsoft\Windows\WindowsBackup\WinlogonCheck => C:\Programdata\ReaItekHD\taskhost.exe (Нет файла) <==== ВНИМАНИЕ
  Task: {7D6A4326-9B8E-4954-BE8C-FC7146613D7A} - System32\Tasks\Avira_Security_Installation => C:\Users\Asus\AppData\Local\Temp\.CR.10170\Avira.Spotlight.Bootstrapper.Runner.exe -> "C:\Users\Asus\AppData\Local\Temp\.CR.10170\avira_ru_sptl1_1575451382-1659687217__pavwws.exe" RunMode=Resume <==== ВНИМАНИЕ
  Task: {8909E56D-F91B-4668-B9FC-59C081159B35} - System32\Tasks\Microsoft\Windows\WindowsBackup\OnlogonCheck => C:\Programdata\ReaItekHD\taskhostw.exe (Нет файла) <==== ВНИМАНИЕ
  Task: {8C637998-44AC-4D41-A444-E45F90629D78} - System32\Tasks\Session agent for Process Lasso => C:\Program Files\Process Lasso\bitsumsessionagent.exe ---------------------------------------------------------------- (Нет файла)
  Task: {95FA7977-A1CE-4CBE-BEC6-8170A9F5CDB5} - System32\Tasks\Microsoft\Windows\WindowsBackup\RealtekCheck => C:\Programdata\ReaItekHD\taskhost.exe (Нет файла) <==== ВНИМАНИЕ
  Task: {DD6AEDA2-84A1-4461-9420-6C0564F32176} - System32\Tasks\Process Lasso Management Console (GUI) => C:\Program Files\Process Lasso\processlasso.exe (Нет файла)
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Profile 7\Extensions\hbkdeaccegiikknckeoppkblopjnljhf
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Profile 8\Extensions\lgdnilodcpljomelbbnpgdogdbmclbni
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Profile 9\Extensions\hbkdeaccegiikknckeoppkblopjnljhf
  CHR HKLM-x32\...\Chrome\Extension: [hbkdeaccegiikknckeoppkblopjnljhf]
  FirewallRules: [{12FF1E51-A85E-4514-8A8E-DC6593F1A9BF}] => (Allow) C:\Users\Asus\AppData\Local\MediaGet2\mediaget.exe => Нет файла
  FirewallRules: [{32277E4D-C67E-4ABD-BE05-BDF5366B30EF}] => (Allow) C:\Users\Asus\AppData\Local\MediaGet2\mediaget.exe => Нет файла
  FirewallRules: [{01D1B2C6-C89B-4053-929D-9B61CD00CAA4}] => (Allow) C:\Users\Asus\MediaGet2\mediaget.exe => Нет файла
  FirewallRules: [{6CC6D924-E355-4936-8093-D83CC805706E}] => (Allow) C:\Users\Asus\MediaGet2\mediaget.exe => Нет файла
  FirewallRules: [{76A1C59E-AA7B-4EC0-B33C-5DB26E60B3A6}] => (Allow) C:\Users\Asus\MediaGet2\QtWebEngineProcess.exe => Нет файла
  FirewallRules: [{2483A417-BC1D-4FD9-BCF6-4D4CA00AC429}] => (Allow) C:\Users\Asus\MediaGet2\QtWebEngineProcess.exe => Нет файла
  FirewallRules: [{3FD0931C-A8B6-45AE-911B-ADBC6B2556C5}] => (Allow) C:\ProgramData\WindowsTask\AppModule.exe => Нет файла
  FirewallRules: [{300D9737-EFA6-4BE0-8458-5B6D29C7A2B3}] => (Allow) C:\ProgramData\WindowsTask\AMD.exe => Нет файла
  FirewallRules: [{AE38DEFE-B1B3-46D7-87E9-411785F77077}] => (Block) LPort=445
  FirewallRules: [{0DFBBC71-0C3E-40BB-ABC5-8577324CD36D}] => (Block) LPort=445
  FirewallRules: [{433F591D-E4F2-4A3A-B370-6D7023C19481}] => (Block) LPort=139
  FirewallRules: [{C32D49F1-CE7F-4909-87FC-652B0E26DA9E}] => (Block) LPort=139
  FirewallRules: [{41FB5312-69AF-4B2F-B247-C4C5E19F4867}] => (Allow) LPort=3389
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[nikita5533]

Вот:

 

[Sandor]

Проблема решена?

 

[nikita5533]

ДА

 

[Sandor]

Отлично!

В завершение:
1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Параметры прокрутите вниз и выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[nikita5533]

Вот:

 

[Sandor]

------------------------------- [ Windows ] -------------------------------
Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз
Internet Explorer 11.0.9600.18860 Внимание! Скачать обновления
^Используйте Средство устранения неполадок при проблемах установки^
Автоматическое обновление отключено
Дата установки обновлений: 2021-11-28 15:06:49
------------------------------- [ HotFix ] --------------------------------
HotFix KB3125574 Внимание! Скачать обновления
HotFix KB4012212 Внимание! Скачать обновления
HotFix KB4499175 Внимание! Скачать обновления
HotFix KB4565354 Внимание! Скачать обновления
HotFix KB4490628 Внимание! Скачать обновления
HotFix KB4539602 Внимание! Скачать обновления
--------------------------- [ OtherUtilities ] ----------------------------
Oracle VM VirtualBox 6.1.36 v.6.1.36 Внимание! Скачать обновления
Microsoft Office Enterprise 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Foxit Reader v.10.0.1.35811 Внимание! Скачать обновления
^Локализованные версии могут обновляться позже англоязычных!^
Microsoft Office 2007 Service Pack 3 (SP3) Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9005 Внимание! Скачать обновления
-------------------------------- [ Media ] --------------------------------
K-Lite Codec Pack 4.5.3 (Corporate) v.4.5.3 Внимание! Скачать обновления
---------------------------- [ UnwantedApps ] -----------------------------
CCleaner v5.89.9401 v.5.89.9401 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
Голосовой помощник Алиса v.4.6.0.1790 << Скрыта Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.


Постарайтесь исправить указанное. Особенно это касается Internet Explorer и всех хотфиксов.

Читайте Рекомендации после удаления вредоносного ПО

 

[nikita5533]

Спасибо, надеюсь я больше не попаду на подозрительные сайты)

 

[Sandor]

Это был не сайт. Скорее всего был скачан с торрента некий "репак" какой-то игры и запущена её установка.
Антивирус вы используете устаревший. Все современные этот майнер детектируют.