Решена Обнаружил майнер

[crasty]

Обнаружил майнер, закрывающий браузер, диспетчер задач и даже msconfig, пробовал Dr Web CureIt, программу AVZ, но после перезагрузки ПК запускается cmd и PowerShell и всё становится как раньше

 

[crasty]

Вот файл логов, был создан на безопасной загрузке, потому что вирус не давал открыть программу в принципе.

 

[Sandor]

Здравствуйте!

Не прикрепился архив.

 

[crasty]

А сейчас?

 

[Sandor]

Сейчас есть, и есть майнер. Будем лечить.

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).

Если и так не сработает, запускайте из безопасного режима с поддержкой сети.

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером уже из нормального режима.

 

[crasty]

Вот, всё сделано

 

[crasty]

К слову, когда запускал ПК в нормальный режим, снова вылазил powershell и консоль, но ничего не замедлилось, сайты открываются, диспетчер задач в том числе

 

[Sandor]

Да, мы ведь ещё не закончили.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Vkvt4p0BDSzdnSS8fEW\CreedMobeR.bat', '');
 DeleteSchedulerTask('Microsoft\Windows\CreedMobeR\RecoveryHosts');
 DeleteSchedulerTask('Temp');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Vkvt4p0BDSzdnSS8fEW\CreedMobeR.bat', '64');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Synapse3', '32');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Synapse3', '64');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
ExecuteSysClean;
 ExecuteRepair(9);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
 DeleteFile(GetAVZDirectory+'quarantine.7z');
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.


Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[crasty]

При выполнении первого скрипта, такая ошибка вылазит

 

[crasty]

Добавил в конец end. и всё запустилось, не знаю правильно ли сделал

 

[crasty]

Вот отчеты

 

[thyrex]

Добавил в конец end. и всё запустилось, не знаю правильно ли сделал

Потому что копировать нужно без ошибок. В скриптах выше есть end.

 

[crasty]

Потому что копировать нужно без ошибок. В скриптах выше есть end.

у меня на ПК было только 16 строк в первом скрипте, и ничего не скроллилось вниз.

 

[crasty]

с телефона же щас отображается весь скрипт, хз, почему так

 

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  HKU\.DEFAULT\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  AutoConfigURL: [{152AEEEF-0887-489C-8602-2DFE88ECD272}] => hxxps://antizapret.prostovpn.org/proxy.pac <==== ВНИМАНИЕ
  AutoConfigURL: [{AB718240-8099-43B7-A7E7-80F14EBD638C}] => hxxps://antizapret.prostovpn.org/proxy.pac <==== ВНИМАНИЕ
  AutoConfigURL: [S-1-5-21-1859200318-1902019908-1335238581-1002] => hxxps://antizapret.prostovpn.org/proxy.pac <==== ВНИМАНИЕ
  ManualProxies: 0hxxps://antizapret.prostovpn.org/proxy.pac <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  2023-08-10 22:33 - 2023-08-10 22:33 - 000000000 __SHD C:\Users\Сергей\AppData\Roaming\Sysfiles
  2023-08-10 22:33 - 2023-08-10 22:33 - 000000000 __SHD C:\ProgramData\princeton-produce
  2023-08-10 22:17 - 2017-09-30 14:21 - 000000054 _____ C:\Windows\system.bat
  2023-08-10 22:17 - 2017-09-30 14:16 - 001119640 _____ C:\Windows\system.sfx.exe
  AlternateDataStreams: C:\Windows\tracing:? [16]
  AlternateDataStreams: C:\ProgramData\autobk.inc:8AC1BB86DF [2586]
  AlternateDataStreams: C:\ProgramData\DP45977C.lfl:677104FCAA [2586]
  AlternateDataStreams: C:\ProgramData\lol.ini:0C2CE06B35 [2586]
  AlternateDataStreams: C:\ProgramData\sldh.dat:136096DD5B [2586]
  AlternateDataStreams: C:\ProgramData\sldh.dat:F3D162C601 [2586]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [2586]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Creative Cloud.lnk:7661CCE9BF [2586]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Photoshop (Beta).lnk:37F24B4DC7 [2586]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Bright VPN.lnk:A7C4E31509 [2586]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\desktop.ini:41964AA945 [2586]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Epic Games Launcher.lnk:BE32D07BC5 [2586]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk:4E42ED6D31 [2586]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PowerPoint 2016.lnk:E033AD74A8 [2586]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Star Stable Online.lnk:51DF5DF03E [2586]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Windows Media Player.lnk:A70524090E [2586]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Word 2016.lnk:65270D1A26 [2586]
  Zip: c:\FRST\Quarantine\
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.
На рабочем столе появится архив Date_Time.zip (Дата_Время)
Отправьте его на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Подробнее читайте в этом руководстве.

 

[crasty]

Вот лог, архив скинул на почту

 

[crasty]

Письмо не получается отправить, приходит следующее сообщение

 

[akok]

тогда залейте карантин на файлообменник, а ссылку в тему

 

[crasty]

Могу я просто прикрепить его сюда? А то яндекс диск ругается, что там вирус, и не даёт им делиться.

 

[akok]

Что с проблемой?