Решена Остатки майнера John

Переводчик Google
mazaherdno

mazaherdno

Новый пользователь
Сообщения
7
Реакции
1
Добрый день! Прошу помочь с удалением остатков майнера Johna, tdsk почистилась система, не совсем понимаю как пишутся скрипты для frst для удаления оставшегося мусора
 

Вложения

В безопасном режиме выполните первый скрипт:

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

Код: 
begin
 QuarantineFile('C:\Program Files\google\chrome\updater.exe', '');
 DeleteFile('C:\Program Files\google\chrome\updater.exe', '');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки (уже далее всё в нормальном режиме), выполните такой скрипт:

Код: 
begin
 DeleteFile(GetAVZDirectory+'quarantine.7z');
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Полученный архив quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.


"Пофиксите" в HijackThis только следующие строки:
Код: 
O4 - MountPoints2: HKCU\..\{0b75e6dd-a9a8-11eb-a64d-1063c8a564d2}\shell\AutoRun\command: (default) = D:\HiSuiteDownLoader.exe (file missing)
O27 - Account: (Hidden) User 'John' is invisible on logon screen
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0

Перезагрузите компьютер.

Удалите старые и соберите новые логи Farbar - FRST.txt и Addition.txt
 
Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код: 
    Start::
CloseProcesses:
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
CHR HKU\S-1-5-21-733156012-1736051974-3858309054-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
CHR HKU\S-1-5-21-733156012-1736051974-3858309054-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjmpfdkmpojoeemjmfiddlhkkndcdpno]
S2 AvastWscReporter; "C:\Program Files\Avast Software\Avast\wsc_proxy.exe" /runassvc /rpcserver [X]
AV: Avast Antivirus (Disabled - Up to date) {EB19B86E-3998-C706-90EF-92B41EB091AF}
FirewallRules: [UDP Query User{7262A487-83DC-4811-8E93-2C0D5B244D81}C:\program files (x86)\ufiler\ufiler.exe] => (Block) C:\program files (x86)\ufiler\ufiler.exe => Нет файла
FirewallRules: [TCP Query User{F1617693-DBB9-44A7-9CC4-D40110A6E4DF}C:\program files (x86)\ufiler\ufiler.exe] => (Block) C:\program files (x86)\ufiler\ufiler.exe => Нет файла
FirewallRules: [UDP Query User{2C9AF91F-B586-4535-A0F8-106F34B483DE}C:\program files (x86)\ufiler\ufiler.exe] => (Allow) C:\program files (x86)\ufiler\ufiler.exe => Нет файла
FirewallRules: [TCP Query User{75EEAA4D-A96C-4594-8D70-EAB450A5E747}C:\program files (x86)\ufiler\ufiler.exe] => (Allow) C:\program files (x86)\ufiler\ufiler.exe => Нет файла
EmptyTemp:
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора (если уже его закрыли).
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 
Не стоило дважды выполнять скрипт. Отчёт был перезаписан, но не страшно.

Как сейчас ведёт себя система?
 
Понял, я первый раз без приложенного скрипта выполнил, система работает, каких то признаков не наблюдаю
Большое спасибо за помощь!
 
Скрипт берётся из буфера обмена и файл fixlist.txt в данном случае было необязательно создавать.

Хорошо, завершаем:
1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.
  • Загрузите SecurityCheck by glax24 & Severnyj (или с зеркала), сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
 
Подумайте о переходе на актуальную версию системы:
Расширенная поддержка закончилась Внимание! Скачать обновления
^Корпоративные версии обновляются установкой с DVD или Flash-носителя соответствующей редакции. На устройстве может отсутствовать возможность получать обновления, если его оборудование несовместимо, на нем нет актуальных драйверов или истек срок его поддержки, предоставляемой поставщиком вычислительной техники (OEM).^

Исправьте по возможности:
Среда выполнения Microsoft Edge WebView2 Runtime v.140.0.3485.66 Внимание! Скачать обновления
^При ошибках обновления, удалите старую версию, скачайте и установите новую. Или переустановите браузер Microsoft Edge.^
Microsoft Office профессиональный плюс 2013 v.15.0.4569.1506 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Office Professional Plus 2013 v.15.0.4569.1506 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
WinRAR 5.91 (64-разрядная) v.5.91.0 Внимание! Скачать обновления
FastStone Image Viewer 7.5 v.7.5 Внимание! Скачать обновления
Zoom v.5.4.9 (59931.0110) Внимание! Скачать обновления
Skype, версия 8.65 v.8.65 Данная программа больше не поддерживается разработчиком. Рекомендуется использовать Microsoft Teams.
VLC media player v.3.0.6 Внимание! Скачать обновления
Microsoft Edge v.140.0.3485.66 Внимание! Скачать обновления
^Проверьте обновления через меню Справка и отзывы - О программе Microsoft Edge!^

---------------------------- [ UnwantedApps ] -----------------------------
Кнопки сервисов Яндекса на панели задач v.3.7.9.0 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.


Читайте Рекомендации после удаления вредоносного ПО
 
Удачи и не болейте!
 
Войдите или зарегистрируйтесь для ответа.
Назад
Сверху Снизу