Решена Подхватил майнер

[Lyu9vik]

Добрый вечер, на днях выявил у себя постоянную нагрузку на видеокарту, решил проверить в чем проблема. Прогнал систему через Hitman pro, он мне выявил проблемы и удалил их, после этого видеокарта перестала нагружаться, но появились 4 странные папки в AppData: Indus, Avira, Malwarbytes и MB3Install. Также до скачивая Hitman pro решил проверить компьютер через Malwarbytes Anti-Malware. Программа не открывалась, путь в папке Program Files есть, самой папки нет, работает процесс MBAM, который не закрывается. Скачивал ещё несколько программ, некоторые не запускает, некоторые вообще даже сайт не могу открыть, пишет что проблема с соединением. Аuto Logger запускал, лог прилагаю. Буду благодарен за помощь.

 

[Sandor]

Здравствуйте!

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe
В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.

 

[Lyu9vik]

Не могу скачать по вашей ссылке AV-br, прилагаю скрин.

 

[Lyu9vik]

Впн включал, но с ноутбука он не подключается теперь, раздал с телефона при включенном впн, та же картина.

 

[Sandor]

Залил на облако.

 

[Lyu9vik]

Закончил, пользователь Джон и майнер удалены. Прилагаю логи.

 

[Lyu9vik]

В диспетчере задач до сих пор висит задача MBAM service, путь на диск С ведёт, в Programm files, но папки нет, не понимаю что сделать.

 

[Sandor]

Автологер вы использовали какой-то очень уж старый. Удалите его вместе с созданной им папкой. Скачайте по ссылке из правил актуальную версию и соберите новый CollectionLog.
С MBAM разберёмся позже.

 

[Lyu9vik]

Скачал актуальную версию Autologger. Лог.

 

[Sandor]

"Пофиксите" в HijackThis только следующие строки:

O4 - HKCU\..\StartupApproved\Run: [Lyu9vik] = C:\WINDOWS\explorer.exe http://exinariuminix.info (2020/04/29)
O4 - HKLM\..\Run: [Realtek HD Audio] = C:\ProgramData\RealtekHD\taskhostw.exe (file missing)
O22 - Tasks: RTSS - C:\Users\Lyu9vik\Documents\RivaTuner Statistics Server\RTSS.exe /s (file missing)

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[Lyu9vik]

Отсканировал, прилагаю логи.

 

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  Task: {1f91eff0-3433-4159-82b2-7ac934a48d67} - отсутствует путь к файлу
  CHR HomePage: Default -> hxxps://mail.ru/cnt/10445?gp=812205
  CHR StartupUrls: Default -> "hxxps://mail.ru/cnt/10445?gp=812205"
  CHR HKU\S-1-5-21-357154803-2367507228-939282986-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjmpfdkmpojoeemjmfiddlhkkndcdpno]
  CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
  R2 Bonjour Service; C:\Program Files\Blizzard\Bonjour Service\mDNSResponder.exe [390504 2021-03-05] (Apple Inc. -> Apple Inc.)
  FirewallRules: [{D72D18D4-7268-4313-A2C3-00602AA10EA4}] => (Allow) LPort=15673
  FirewallRules: [{A7D4A229-E93E-4CA3-9ED2-F0CCEB827F25}] => (Allow) C:\Users\Lyu9vik\MediaGet2\mediaget.exe => Нет файла
  FirewallRules: [{862E868B-D6C0-4491-AE69-8BEE80BD8A42}] => (Allow) C:\Users\Lyu9vik\MediaGet2\mediaget.exe => Нет файла
  FirewallRules: [{2873863E-F1EB-40D5-A62A-4AE5AE9AA5FC}] => (Allow) C:\Users\Lyu9vik\MediaGet2\QtWebEngineProcess.exe => Нет файла
  FirewallRules: [{18BDE1A3-8CFB-4DF6-A3B6-D04D3723E811}] => (Allow) C:\Users\Lyu9vik\MediaGet2\QtWebEngineProcess.exe => Нет файла
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[Lyu9vik]

Готово, прилагаю фикслог.

 

[Sandor]

Хорошо. Проблема решена?

 

[Lyu9vik]

Осталась программа Malwarbytes и её задача MBAM service в диспетчере задач, удаление через панель управления и unistall tool не привело к чему либо, после перезагрузки вновь появлялась задача.

 

[Lyu9vik]

С майнером да, Programm data чиста от папок, нагрузок на видеокарту и ЦП не заметил.

 

[Sandor]

Пробуйте так удалить:

• Скачайте и запустите Malwarebytes Support Tool.
• Запустите, согласитесь с лицензионным соглашением, перейдите на вкладку Advanced Options и нажмите кнопку Clean.
• Перезагрузите компьютер при появлении запроса.
• После перезагрузки утилита запустится для окончательной очистки.

Сообщите результат.

 

[Lyu9vik]

Support tool скачал запустил, запроса на перезагрузку не появилось, перезагрузил компьютер вручную, MBAM пропало из диспетчера задач, через утилиты тоже не вижу отображение программы. Странно что не появился запрос на перезагрузку после окончания очистки.

 

[Sandor]

Для верности проделайте эту же процедуру ещё раз.

Затем:
1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[Lyu9vik]

Лог от SecurityCheck.