Решена Как удалить trojan.multi.lockedfolder.a и realtekHD

Статус
В этой теме нельзя размещать новые ответы.
М

Максим 1

Новый пользователь
Сообщения
15
Реакции
0
Доброй ночи!
trojan.multi.lockedfolder.a realtekHD taskhostw и прочее, подмена файла hosts, KVRT и Cureit не помогают
 
Доброй!
Скачайте, распакуйте (в подпапку) и запустите AV block remover или с зеркала
По окончании всех процедур произойдет перезагрузка системы. Прикрепите созданный утилитой лог AV_block_remove.log к следующему сообщению.

Если не запускается, то переименуйте ее (например в AV_b_r.exe) или воспользуйтесь версией с случайным именем файла

Запустите Autologger и прикрепите новый CollectionLog.
 
в безапасном режиме можно? закрывает скрипт её. я переименовал
 
С поддержкой сети, если абвр. А автологер уже с обычного режима.
 
akok написал(а):
С поддержкой сети, если абвр. А автологер уже с обычного режима.
Нажмите для раскрытия...
тоесть обе программы надо запустить(абвр и автологер)? я вот прогнал в безопасном режиме без поддержки сети
 

Вложения

Вложения

Подчистить хвосты
"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):
Код: 
O7 - Policy: HKCU\..\Windows\Explorer: [DisableNotificationCenter ] = 1
O7 - Policy: HKLM\Software\Microsoft\Windows Defender: [DisableAntiSpyware] = 1
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\Закачать ВСЕ при помощи Download Master: (default) = (no file)
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\Закачать при помощи Download Master: (default) = (no file)
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\Передать на удаленную закачку DM: (default) = (no file)
O9-32 - Button: HKLM\..\{8DAE90AD-4583-4977-9DD4-4360F7A45C74}: (no name) - (no file)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{180ABD54-C6F4-47D2-8BED-220A72408E4E} - \Microsoft\Windows\Wininet\Taskhostw (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{6B47E935-A57C-4036-AAC2-7D34FDA2421C} - \KMSAuto (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7773E58A-7AF2-4B59-B593-8D89AD6B4DFE} - \Microsoft\Windows\Wininet\Cleaner (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{C09F218D-D4F4-48A1-A6A4-B689BF7B9F6C} - \Microsoft\Windows\Wininet\RealtekHDStartUP (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{C69609B5-5452-4173-B7F5-3B9EFF24CC61} - \Microsoft\Windows\Wininet\winser (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{D14C73F6-ECF1-47DD-9405-8722A8E66405} - \Microsoft\Windows\Wininet\Taskhost (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E9603E97-1235-4DD7-B5B1-4CA79565FF8D} - \Microsoft\Windows\Wininet\RealtekHDControl (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{F7B4821B-462A-4646-B4E0-98B70D040EE5} - \Microsoft\Windows\Wininet\winsers (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Apple (empty)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\AVAST Software (empty)
O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\¦юышуЁрЇш 
O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\╧юышуЁрЇш 
O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\GLCache
O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\Полиграфия
O27 - Account: (Hidden) User 'John' is invisible on logon screen
O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\¦юышуЁрЇш 
O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\╧юышуЁрЇш 
O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\GLCache
O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\Полиграфия
O27 - Account: (Hidden) User 'John' is invisible on logon screen

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 
И потом смотрите на симптомы, лог выглядит неплохо

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код: 
    Start::
SystemRestore: On
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-1555289709-2549945619-3923794563-1000\...\Policies\Explorer: [] 
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
FF Plugin: @microsoft.com/GENUINE -> disabled [Нет файла]
2023-07-05 11:09 C:\ProgramData\princeton-produce
FirewallRules: [{AED5366D-EA11-4BD1-B921-96863506FF59}] => (Allow) C:\Users\Полиграфия\AppData\Local\Programs\Opera\64.0.3417.73\opera.exe => Нет файла
FirewallRules: [{F63DE2D2-3B78-4CE1-9DC2-CAA655D7A82D}] => (Allow) C:\Users\Полиграфия\AppData\Local\Programs\Opera\79.0.4143.22\opera.exe => Нет файла
FirewallRules: [{7EC9E131-3F46-4114-AE93-19F09F0D6CC9}] => (Allow) C:\Users\Полиграфия\AppData\Local\Temp\7ZipSfx.002\bin\tools\aria2c.exe => Нет файла
EmptyTemp:
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 
akok написал(а):
И потом смотрите на симптомы, лог выглядит неплохо

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код: 
    Start::
SystemRestore: On
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-1555289709-2549945619-3923794563-1000\...\Policies\Explorer: []
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
FF Plugin: @microsoft.com/GENUINE -> disabled [Нет файла]
2023-07-05 11:09 C:\ProgramData\princeton-produce
FirewallRules: [{AED5366D-EA11-4BD1-B921-96863506FF59}] => (Allow) C:\Users\Полиграфия\AppData\Local\Programs\Opera\64.0.3417.73\opera.exe => Нет файла
FirewallRules: [{F63DE2D2-3B78-4CE1-9DC2-CAA655D7A82D}] => (Allow) C:\Users\Полиграфия\AppData\Local\Programs\Opera\79.0.4143.22\opera.exe => Нет файла
FirewallRules: [{7EC9E131-3F46-4114-AE93-19F09F0D6CC9}] => (Allow) C:\Users\Полиграфия\AppData\Local\Temp\7ZipSfx.002\bin\tools\aria2c.exe => Нет файла
EmptyTemp:
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
Нажмите для раскрытия...
готово
 

Вложения

Как с проблемой? Симптомы майнера еще наблюдаются?
 
Добрый день. всё отлично. Спасибо
У меня еще второй компьютер с хожей проблемой. Логи прикрепляю
 

Вложения

Во избежание путаницы для второго компьютера создайте отдельную тему.
 
Подготовьте лог лог SecurityCheck by glax24 и по возможности исправьте найденное

Чтобы автоматически удалить все файлы и папки, созданные FRST, в том числе сам инструмент, переименуйте FRST/FRST64.exe в uninstall.exe и запустите его. Процедура требует перезагрузки
 
Статус
В этой теме нельзя размещать новые ответы.
Назад
Сверху Снизу