Решена Майнер маскируется под RealtekHD

[matvey12]

Здраствуйте, помогите пожалуйста избавиться от майнера к сообщению прикрепляю логи они были собраны в безапосном режиме иначе не дает их собрать

 

[matvey12]

Извиняюсь я все таки смог собрать логи в обычном режиме так что вот логи собранные при работающем майнере не в безопасном режиме

 

[Sandor]

Здравствуйте!

Скачайте AV block remover (или с зеркала).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Можно также воспользоваться версией со случайным именем.

Если и так не сработает, запускайте программу из любой папки кроме папок Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.

 

[matvey12]

Простите пожалуйста что так долго не отвечал не было доступа к компьютеру вот все файлы которые вы просили они сделаны не из безопасного режима

 

[Sandor]

Хорошо, уже должно полегчать.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[matvey12]

Спасибо уже вижу что стало легче

 

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKU\S-1-5-21-2119734878-802066082-2284618966-1001\...\Run: [DPET] => "D:\SteamLibrary\steamapps\common\DPET\DPET.exe" (Нет файла)
  HKU\S-1-5-21-2119734878-802066082-2284618966-1001\...\Run: [RiotClient] => F:\����� �����\Riot Games\Riot Client\RiotClientServices.exe --launch-background-mode (Нет файла)
  HKU\S-1-5-21-2119734878-802066082-2284618966-1001\...\MountPoints2: {883f1dc3-6832-11e9-9801-2c4d544f6567} - "G:\SISetup.exe" 
  CHR HKU\S-1-5-21-2119734878-802066082-2284618966-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
  Unlock: C:\Users\Матвей\OneDrive\Рабочий стол\AV_block_remover
  Unlock: C:\Users\Матвей\OneDrive\Рабочий стол\AutoLogger
  2024-04-04 22:55 - 2024-04-07 00:54 - 000000000 ____D C:\Program Files\RDP Wrapper
  2024-04-04 22:55 - 2024-04-04 22:55 - 000037376 _____ (Microsoft Corporation) C:\WINDOWS\system32\rfxvmt.dll
  FCheck: C:\Program Files\Google\Libs\WR64.sys [2023-08-21] <==== ВНИМАНИЕ
  AlternateDataStreams: C:\ProgramData\DP45977C.lfl:677104FCAA [6010]
  AlternateDataStreams: C:\ProgramData\Microsoft.SqlServer.Compact.400.32.bc:169D67954B [6010]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\desktop.ini:41964AA945 [6010]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Factorio.lnk:14A03330FC [6010]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Firefox.lnk:980850BA8A [6010]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Immersive Control Panel.lnk:DC8F23BC3A [6010]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\TechPowerUp GPU-Z.lnk:718E15FDE8 [6010]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Visual Studio Installer.lnk:C2E9D79AC5 [6010]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Приватный просмотр Firefox.lnk:0D60970EF4 [6010]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Приватный просмотр Firefox.lnk:59498A0733 [6010]
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[matvey12]

Файл

 

[akok]

Запускайте powershell от имени администратора и по очереди, после перезагрузить компьютер и проверяем есть ли еще проблемы с ОС

Remove-MpPreference -ExclusionPath "C:\Windows\SysWow64\unsecapp.exe"
Remove-MpPreference -ExclusionPath "C:\Program Files\RDP Wrapper"
Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AMD.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData"
Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\audiodg.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData\ReaItekHD\taskhostw.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData\ReaItekHD\taskhost.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AppModule.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData\Windows Tasks Service\winserv.exe"
Remove-MpPreference -ExclusionPath "C:\Program Files"
Remove-MpPreference -ExclusionPath "C:\WINDOWS\system32\config\systemprofile"

 

[matvey12]

По очереди вставлять команды?

 

[akok]

по очереди.

+++
1. Скачайте утилиту на рабочий стол.
2. Запустите KVRT и подтвердите согласие с условиями использования
3. Дождитесь завершения инициализации и в открывшемся окне нажмите на кнопку "Изменить параметры"
4. В открывшемся меню, поставьте галочку напротив "Системный раздел" и нажмите "Ок"
5. Нажмите кнопку "Начать проверку" для начала сканирования и пролечите все найденое.
6. Дождитесь завершения сканирования и зайдите в папку C:\KVRT_Data\ (C:\ это обычно раздел, где установлена работающая версия Windows) и упакуйте папку Reports в архив и прикрепите к теме

 

[matvey12]

Вот он нашел троян и попытался вылечить его не знаю получилось или нет но во время лечения выходили ошибки

 

[akok]

Такой детект возможен, когда в браузере разрешены push уведомления с ссылками которые детектирует антивирус

Trojan.Multi.BroSubsc.gen — срабатывает Касперский

Замучали сообщения от пользователей Касперский фри антивирус, вылезает окно о заражении «Trojan.Multi.BroSubsc.gen». Предлагает вылечить через перезагрузку, потом с долей вероятности опять...

habr.com

Подготовьте лог лог SecurityCheck by glax24

Чтобы автоматически удалить все файлы и папки, созданные FRST, в том числе сам инструмент, переименуйте FRST/FRST64.exe в uninstall.exe и запустите его. Процедура требует перезагрузки системы.

 

[matvey12]

Файл

 

[akok]

Исправьте по возможности, отключите уведомления и удачи.
--------------------------- [ OtherUtilities ] ----------------------------
Node.js v.20.9.0 Внимание! Скачать обновления
^Если Вам нужна LTS версия, проверьте обновления на странице скачивания вручную.^
Python 3.11.5 (64-bit) v.3.11.5150.0 Внимание! Скачать обновления
Microsoft Visual Studio Code (User) v.1.85.0 Внимание! Скачать обновления
Python 3.12.0 (64-bit) v.3.12.150.0 Внимание! Скачать обновления
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 6.21 (64-разрядная) v.6.21.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9010 Внимание! Скачать обновления
Zoom v.5.16.1 (22523) Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
uTorrent Web v.1.3.0 Внимание! Клиент сети P2P с рекламным модулем!.
qBittorrent v.4.5.4 Внимание! Скачать обновления
------------------------------- [ Browser ] -------------------------------
Mozilla Firefox (x64 ru) v.124.0 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Firefox!^
Opera GX Stable 107.0.5045.86 v.107.0.5045.86 Внимание! Скачать обновления
^Проверьте обновления через меню О программе!^

 

[akok]

Тему отмечаю решенной, но не закрываю, если возникнут вопросы.