Решена Ноут заразился вирусом

[Radik]

Здравствуйте
4 дня назад начались периодические тормоза у ноута а в мониторе ресурсов появляются процессы которые потребляли много цп периодически и висели как прерванные как на фото ниже а также сам диспетчер задач и монитор ресурсов закрывались сами по себе через некоторое время.
Через процесс realtek я попал в папку programdata где появились или изменились в тот момент времени когда начались тормоза 3 папки Microsoft в котором сейчас есть папка clr_optimization_v4.0.30318_64 помимо прочих знакомых, папка Avira и System32 внутри которого пустая папка logs. Папки clr_optimization_v4.0.30318_64 и Avira не открываются и не удаляются из за недостаточных прав.
Я прочел правила написания тем но при сборе архива логгов autologger ом на этапе открытия браузеров программа закрывалась а последующей перезагрузки не было. И в итоге в появившейся папке со вспомогательными программами не появился архив с логгами только текстовые репорт логи.

Спойлер: Картинки

 

[Sandor]

Здравствуйте!

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).
Как вариант, можно воспользоваться версией со случайным именем.

Если и так не сработает, запускайте в безопасном режиме с поддержкой сети.

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите CollectionLog Автологером уже из нормального режима.

 

[Radik]

Здравствуйте!

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).
Как вариант, можно воспользоваться версией со случайным именем.

Если и так не сработает, запускайте в безопасном режиме с поддержкой сети.

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите CollectionLog Автологером уже из нормального режима.

почему то ни с яндекса ни с оперы не переходит на сайт для скачивания AVbr ссылаясь на то что злоумышленники сайта пытаются похитить ваши данные. Заметил что когда я попробовал с оперы зайти раз яндексе яндекс протект ругается но там при переходе все зависло и потом сразу выдало то же что пытаются похитить данные и не пускало дальше а если и нажимал игнорировать то вылезала ошибка 404 и эту надпись "Запрошенный URL/del_miner/AVbr.zip-адрес не был найден на этом сервере"

 

[Radik]

скачал на телефон потом через телеграм перекинул архив на ноут

 

[Radik]

вот

 

[Sandor]

Хорошо, дочистим некоторый мусор.

1. Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Driver Booster 10
Кнопка "Яндекс" на панели задач

2. Файл CheckBrowserLnk.log
из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.



Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

3. "Пофиксите" в HijackThis:

O7 - Policy: HKLM\Software\Microsoft\Windows Defender: [DisableAntiSpyware] = 1
O22 - Tasks: \Microsoft\Windows\WindowsBackup\OnlogonCheck - C:\Programdata\ReaItekHD\taskhostw.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\RealtekCheck - C:\Programdata\ReaItekHD\taskhost.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\TaskCheck - C:\Programdata\ReaItekHD\taskhostw.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\WinlogonCheck - C:\Programdata\ReaItekHD\taskhost.exe (file missing)

Перезагрузите компьютер.

4. Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[Radik]

вот

 

[Sandor]

Driver Booster 10 пока по-прежнему есть в перечне установленных. Удалите.

Далее:
Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  Task: {8F062682-1856-4550-820C-9B1E3DD6FBA0} - System32\Tasks\Driver Booster Update => C:\Program Files (x86)\IObit\Driver Booster\10.1.0\AutoUpdate.exe /auto (Нет файла)
  Task: {94B42B0F-9373-4DF4-859C-D0A848EDFD49} - System32\Tasks\Driver Booster SkipUAC (radik) => C:\Program Files (x86)\IObit\Driver Booster\10.1.0\DriverBooster.exe /skipuac (Нет файла)
  FCheck: C:\Windows\SysWOW64\version_IObitDel.dll [2022-10-04] <==== ВНИМАНИЕ (нулевой байт Файл/Папка)
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[Radik]

вот

 

[Sandor]

Хорошо, что с проблемой?

 

[Radik]

Хорошо, что с проблемой?

теперь ноутбук работает хорошо ничего странного не нагружает цп спасибо большое

 

[Sandor]

Тогда завершаем:

1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[Radik]

вот

 

[Sandor]

------------------------------- [ Windows ] -------------------------------
Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз
Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено
------------------------------- [ HotFix ] --------------------------------
HotFix KB3177467 Внимание! Скачать обновления
HotFix KB4012212 Внимание! Скачать обновления
HotFix KB4499175 Внимание! Скачать обновления
HotFix KB4565354 Внимание! Скачать обновления
HotFix KB4539602 Внимание! Скачать обновления
--------------------------- [ OtherUtilities ] ----------------------------
Python 2.6.6 (64-bit) v.2.6.6150 Внимание! Скачать обновления
Microsoft SQL Server 2012 Command Line Utilities v.11.3.6020.0 Данная программа больше не поддерживается разработчиком.
Microsoft SQL Server 2012 Native Client v.11.3.6518.0 Данная программа больше не поддерживается разработчиком.
Ghostscript GPL 8.64 (Msi Setup) v.8.64 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 6.00 (64-разрядная) v.6.00.0 Внимание! Скачать обновления
------------------------------- [ Imaging ] -------------------------------
paint.net v.4.2.16 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9006 Внимание! Скачать обновления
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Acrobat Reader - Russian v.22.003.20322 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC.
---------------------------- [ UnwantedApps ] -----------------------------
Driver Booster 10 v.10.1.0 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.

Читайте Рекомендации после удаления вредоносного ПО