В работе Майнер в ProgramData (WinRing0x64.sys, ReaItekHD), возвращается после чистки

[Lenar]

Здравствуйте. Компьютер тормозит. При осмотре нашёл:
– C:\ProgramData\WindowsTask: AMD.exe, AppModule.exe, SRBHost.exe, WildHost.exe, MicrosoftHost.exe, WinRing0x64.sys, winlogon.bat, папка Autotune;
– C:\ProgramData\ReaItekHD\taskhost.exe (I вместо l);
– около 15 папок со случайными именами в ProgramData (bfdbhehxpjxd, czyuzabpfprl и др.), к части из них нет доступа;
– нет доступа к старой папке AutoLogger на рабочем столе, AutoLogger пришлось запускать из C:\AL.
Раньше чистил KVRT, AdwCleaner, FRST, MinerSearch, но, видимо, не до конца. Также установлено много антивирусов и чистилок одновременно.
Логи AutoLogger во вложении. Windows 11.

 

[akok]

Доброй ночи. Скачайте, распакуйте (в подпапку) и запустите в безопасном режиме с поддержкой сети AV block remover или с зеркала
По окончании всех процедур произойдет перезагрузка системы. Прикрепите созданный утилитой лог AV_block_remove.log к следующему сообщению.

Если не запускается, то переименуйте ее (например в AV_b_r.exe) или воспользуйтесь версией с случайным именем файла или с зеркала

 

[Lenar]

AV block remover запустил в безопасном режиме с поддержкой сети. Лог прикладываю.
Дополнительно: в Program Files установлен RDP Wrapper — я его не ставил. В логе также видны правила брандмауэра для rutserv.exe и winserv.exe и открытый порт 3389.

 

[akok]

Будем дочищать хвосты, но уже завтра
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[Lenar]

Запустил FRST64 от имени администратора в обычном режиме, отчёты FRST.txt и Addition.txt прикладываю.

ㅤ

 

[akok]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM-x32\...\Run: [SunJavaUpdateSched] => "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe" (Нет файла)
  HKLM\SYSTEM\...\Terminal Server: [fDenyTSConnections] = 0 <==== ВНИМАНИЕ
  HKU\S-1-5-21-2092796136-3929677637-3747460037-1001\SOFTWARE\Policies\YandexBrowser: Ограничение <==== ВНИМАНИЕ
  Task: {23654D0D-F046-44C4-917E-F77779FF38C7} - System32\Tasks\Microsoft\Windows\MapInfoJ\RecoveryHosts => C:\ProgramData\Microsoft\DRM\qvTpCfI6lHhfKWWD\MapInfoJ.bat (Нет файла)  (Нет файла) <==== ВНИМАНИЕ
  Task: {41619119-F718-4E87-98B5-70B3F990BFA2} - System32\Tasks\UpdateTorrent => "C:\Users\marda\AppData\Roaming\utorrent\client\uTorrentClients.exe" (Нет файла)  /T (Нет файла)
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\ztbhbqffszlu
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\yzksdkbakpnl
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\vgodrqhybann
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\txcxjqisprgo
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\tfkxupgodbpx
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\qhpxndiguijf
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\knifdidgrtye
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\jbteoxfgouip
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\dnbelrbqlcud
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\dmnxhvzbkpku
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\czyuzabpfprl
  2026-11-09 13:17 - 2026-11-09 13:17 - 000000000 __SHD C:\ProgramData\bfdbhehxpjxd
  StartPowerShell:
  Remove-MpPreference -ExclusionPath "C:\Windows\SysWow64\unsecapp.exe"
  Remove-MpPreference -ExclusionPath "C:\Program Files\RDP Wrapper"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AMD.exe"
  Remove-MpPreference -ExclusionPath "C:\ProgramData"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\audiodg.exe"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\ReaItekHD\taskhost.exe"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AppHost.exe"
  EndPowershell:
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[Lenar]

Скрипт выполнил, Fixlog прикладываю.