Решена Невозможно открыть антивирусные сайты: проблема с taskhostw.exe

STARGAZER · 16 Авг 2023

Здравствуйте.
Столкнулся сегодня с проблемой, что ноут работает на полную мощность, в любое время, кроме как когда открыт диспетчер задач + в автозагрузках появился файл taskhostw.exe, который видимо и не даёт переходить на сайты с антивирусами (браузер закрывается) или к расположению этого файла (проводник закрывается). Пробовал использовать утилиту AV_block_remover (работает только через безопасный режим, в обычном режиме закрывается папка с этой прогой), она находит какого-то пользователя John, вроде удаляет его, ещё что-то делает и затем перезагружает систему. Ноутбук включается и первым делом на рабочем столе виднеется повершел и консоль на секунду, после чего закрываются и Майнер снова как ни в чем не бывало работает

akok · 16 Авг 2023

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ из папки Autologger (Файл - Выполнить скрипт):

Код:

  begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\RDP Wrapper\rdpwrap.dll', '');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\VwHJHcdyfEOO4V8Vc\FilesystemE.bat', '');
 QuarantineFile('C:\Programdata\ReaItekHD\taskhost.exe', '');
 QuarantineFile('C:\ProgramData\ReaItekHD\taskhostw.exe', '');
 QuarantineFile('C:\ProgramData\Windows Tasks Service\winserv.exe', '');
 QuarantineFile('C:\ProgramData\windowstask\audiodg.exe', '');
 QuarantineFile('C:\ProgramData\windowstask\microsofthost.exe', '');
 DeleteFile('C:\Program Files\rdp wrapper\rdpwrap.dll', '32');
 DeleteFile('C:\Program Files\RDP Wrapper\rdpwrap.dll', '64');
 DeleteFile('C:\ProgramData\Microsoft\DRM\VwHJHcdyfEOO4V8Vc\FilesystemE.bat', '64');
 DeleteFile('C:\Programdata\ReaItekHD\taskhost.exe', '64');
 DeleteFile('C:\Programdata\ReaItekHD\taskhostw.exe', '64');
 DeleteFile('C:\ProgramData\Windows Tasks Service\winserv.exe', '64');
 DeleteFile('C:\ProgramData\windowstask\audiodg.exe', '32');
 DeleteFile('C:\ProgramData\windowstask\microsofthost.exe', '32');
 DeleteSchedulerTask('Microsoft\Windows\FilesystemE\RecoveryHosts');
 DeleteSchedulerTask('Microsoft\Windows\FilesystemE\RecoveryTask');
 DeleteSchedulerTask('Microsoft\Windows\FilesystemE\VwHJHcdyfEOO4V8Vc');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\winser');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\winsers');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Realtek HD Audio', 'x64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\TermService\Parameters', 'ServiceDll', 'x64');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

Код:

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

STARGAZER · 17 Авг 2023

Добрый день!
Приложение для скриптов удалось запустить лишь из безопасного режима (В обычном режиме даже если переименовать приложение, то все равно закрывалось сразу же)
После выполнения первого скрипта появлялся синий экран типа внезапная ошибка, после чего ноутбук перезагрузился. Затем снова из безопасного режима выполнил второй скрипт. Появился файлик quarantine.7z
Затем использовал в том же безопасном режиме FRST64, результаты прикрепил. Но проблема в том, что в безопасном режиме подключить телефон, чтобы перекинуть файлы - нельзя, из-за чего мне пришлось зайти в обычный режим. Когда уже подключил телефон - обнаружил, что файла quarantine.7z нет

Что делать? Выполнить второй скрипт снова и затем файлик переименовать, чтобы его не удалил Майнер? Или почему он мог исчезнуть?

Sandor · 17 Авг 2023

Выполняйте в безопасном режиме.

Выделите следующий код:

Код:

Start::
Task: {82A9DD31-4B08-4855-92F7-D64EEE46A33A} - System32\Tasks\Microsoft\Windows\FilesystemE\RecoveryHosts => C:\ProgramData\Microsoft\DRM\VwHJHcdyfEOO4V8Vc\FilesystemE.bat [2783 2023-08-12] () [Файл не подписан] <==== ВНИМАНИЕ
Task: {17FA7D8C-E55E-44E3-8C96-C99D1CAD65DA} - System32\Tasks\Microsoft\Windows\FilesystemE\RecoveryTask => C:\Programdata\ReaItekHD\taskhostw.exe [30855696 2023-08-08] (Realtek Semiconductor) [Файл не подписан] <==== ВНИМАНИЕ
Task: {A53B83F8-AB92-41D8-9E3F-77049CD5541E} - System32\Tasks\Microsoft\Windows\FilesystemE\VwHJHcdyfEOO4V8Vc => C:\Programdata\ReaItekHD\taskhost.exe [22820368 2023-08-07] (Microsoft Corporation) [Файл не подписан] <==== ВНИМАНИЕ
Task: {7BAB81DC-FD74-4914-96E4-4ADD582A88BF} - System32\Tasks\Microsoft\Windows\Wininet\Hor => C:\ProgramData\Microsoft\DRM\VwHJHcdyfEOO4V8Vc\Game.exe [53231134 2023-08-08] () [Файл не подписан]
Task: {C980507D-FBA6-4F41-A894-5F9C494C9C67} - System32\Tasks\Microsoft\Windows\Wininet\winser => C:\ProgramData\Windows Tasks Service\winserv.exe [10675712 2021-05-28] (tox) [Файл не подписан] -> Task Service\winserv.exe <==== ВНИМАНИЕ
Task: {94D6A7EB-D6B2-4A74-97FB-D72E63C2B35A} - System32\Tasks\Microsoft\Windows\Wininet\winsers => C:\ProgramData\Windows Tasks Service\winserv.exe [10675712 2021-05-28] (tox) [Файл не подписан] -> Task Service\winserv.exe <==== ВНИМАНИЕ
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

После перезагрузки запустите ещё раз AVbr. Пробуйте в нормальном режиме, не получится - делайте в безопасном.
Его новый лог прикрепите тоже.

STARGAZER · 17 Авг 2023

А скрипт куда вставлять...?

Всё, запустил фикс и понял, что он как-то сам отработал

Sandor · 17 Авг 2023

Да, он выполнился прямо из буфера обмена. Ждём логи.

STARGAZER · 17 Авг 2023

Сделал всё как сказали. Ноут перезапустился и теперь в диспетчере задач нет в автозагрузках того майнера, да и ноут работает тише.
Может есть ещё какие-то рекомендации?

Sandor · 17 Авг 2023

Хорошо, но ещё не всё.
Запустите очередной раз AVbr уже из нормального режима и после перезагрузки прикрепите новый лог.

Удалите старые и соберите новые логи FRST.txt и Addition.txt

STARGAZER · 17 Авг 2023

Удалось всё запустить в нормальном режиме. Вот логи

Sandor · 17 Авг 2023

Продолжаем в нормальном режиме.
Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

Отключите до перезагрузки антивирус.

Выделите следующий код:

Код:

Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
2023-08-12 18:06 - 2023-08-12 18:06 - 000000000 __SHD C:\Users\Павел\AppData\Roaming\Sysfiles
2023-08-12 18:06 - 2023-08-12 18:06 - 000000000 __SHD C:\ProgramData\princeton-produce
2023-08-12 18:06 - 2023-08-12 18:06 - 000000000 __SHD C:\Program Files\QuickCPU
2023-08-12 18:06 - 2023-08-12 18:06 - 000000000 __SHD C:\Program Files\NETGATE
2023-08-12 18:06 - 2023-08-12 18:06 - 000000000 __SHD C:\Program Files (x86)\GPU Temp
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

STARGAZER · 17 Авг 2023

Вот лог

Sandor · 17 Авг 2023

Еще один скрипт выполните в безопасном режиме:

Выделите следующий код:

Код:

Start::
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\Windows\SysWow64\unsecapp.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\Windows Tasks Service\winserv.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\ReaItekHD\taskhost.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\ReaItekHD\taskhostw.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\Program Files\RDP Wrapper
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\AppModule.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\audiodg.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\AMD.exe
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

STARGAZER · 17 Авг 2023

сделал

Sandor · 17 Авг 2023

Хорошо. В итоге - что с проблемой?

STARGAZER · 17 Авг 2023

Спасибо) Проблема вроде решена, ибо ноут больше не разгоняется просто так, сайты больше не закрываются, в диспетчере задач больше нет Реалтека, в автозагрузках тоже.
Может есть какие-то еще рекомендации что сделать после чистки? А еще вопрос, какой антивирус лучше скачать по Вашему мнению? Просто не пользовался им, но видимо зря.

Sandor · 17 Авг 2023

Да, финальные рекомендации есть. Вот они:

1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

Про антивирус поговорим после последнего лога.

STARGAZER · 17 Авг 2023

а для 11 винды пойдет этот SecurityCheck by glax24 & Severnyj? Просто там в поддерживаемых ОСях нет 11 винды

Sandor · 17 Авг 2023

Пойдёт, не волнуйтесь

STARGAZER · 17 Авг 2023

Всё выполнил

akok · 17 Авг 2023

Исправьте по возможности и удачи
--------------------------- [ OtherUtilities ] ----------------------------
AMD Software v.23.7.1 Внимание! Скачать обновления
Git v.2.41.0.2 Внимание! Скачать обновления
Microsoft Office профессиональный плюс 2019 - ru-ru v.16.0.13929.20296 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office.^
Node.js v.18.17.1 Внимание! Скачать обновления
^Если Вам нужна LTS версия, проверьте обновления на странице скачивания вручную.^
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 6.22 (64-разрядная) v.6.22.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9013 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.6.0.46830 Внимание! Клиент сети P2P с рекламным модулем!.

Решена Невозможно открыть антивирусные сайты: проблема с taskhostw.exe

STARGAZER

Новый пользователь

Вложения

akok

STARGAZER

Новый пользователь

Вложения

Sandor

STARGAZER

Новый пользователь

Sandor

STARGAZER

Новый пользователь

Вложения

Sandor

STARGAZER

Новый пользователь

Вложения

Sandor

STARGAZER

Новый пользователь

Вложения

Sandor

STARGAZER

Новый пользователь

Вложения

Sandor

STARGAZER

Новый пользователь

Sandor

STARGAZER

Новый пользователь

Sandor

STARGAZER

Новый пользователь

Вложения

akok