Решена Помогите с вирусом John, taskhost

Статус
В этой теме нельзя размещать новые ответы.
M

moroshko

Новый пользователь
Сообщения
20
Реакции
0
Поймал майнер taskhost, dr web c находит вирус, а точнее папки realtekHD, но этой папки нету в system32, если смотреть самому, удаляет, но после перезагрузки все тоже самое. При попытке загуглить все соответственно вылетает
В пользователях новый друг jonh появился)
 
Подскажите, какие нужны и где их взять, первый раз столкнулся с этим
 
Avbr пишет отказано в доступе в БЕЗОПАСНОМ РЕЖИМЕ, переименовываю, тоже самое
 
AutoLogger не открывается в безопасном режиме с Сетью
 
Sandor написал(а):
В нормальном режиме тоже не запускается? Ничего не происходит или есть ошибка?
Нажмите для раскрытия...
@Sandor, Отказано в доступе, могу запустить напрямую с флешки, но мне кажется он не даст точного результата
 
Переместите в другую папку, хоть в корень диска С и пробуйте запустить.
 
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ из папки Autologger (Файл - Выполнить скрипт):
Код: 
  begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
  SearchRootkit(true, true);
  SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\ProgramData\windowstask\microsofthost.exe','');
 QuarantineFile('C:\ProgramData\windowstask\audiodg.exe','');
 QuarantineFile('C:\ProgramData\windowstask\appmodule.exe','');
 QuarantineFile('C:\ProgramData\windowstask\amd.exe','');
 QuarantineFile('C:\Programdata\ReaItekHD\taskhostw.exe','');
 QuarantineFile('C:\Programdata\Microsoft\domgz\script.bat','');
 QuarantineFile('C:\Programdata\ReaItekHD\taskhost.exe','');
 DeleteFile('C:\Programdata\ReaItekHD\taskhost.exe','64');
 DeleteFile('C:\Programdata\Microsoft\domgz\script.bat','64');
 DeleteFile('C:\Programdata\ReaItekHD\taskhostw.exe','64');
 DeleteSchedulerTask('Microsoft\Windows\FilesystemG\domgz');
 DeleteSchedulerTask('Microsoft\Windows\FilesystemG\RecoveryHosts');
 DeleteSchedulerTask('Microsoft\Windows\FilesystemG\RecoveryTask');
 DeleteFile('C:\ProgramData\windowstask\amd.exe','32');
 DeleteFile('C:\ProgramData\windowstask\appmodule.exe','32');
 DeleteFile('C:\ProgramData\windowstask\audiodg.exe','32');
 DeleteFile('C:\ProgramData\windowstask\microsofthost.exe','32');
   BC_Activate;
  ExecuteSysClean;
  ExecuteWizard('SCU', 2, 3, true);
 BC_ImportALL;
RebootWindows(true);
end.
Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

Код: 
begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

После в обычном режиме


Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 
Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код: 
    Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
Task: {3009DE8E-66A9-45AC-BC1A-48A9E2783C36} - \Norton Security Scan for vkhod -> Нет файла <==== ВНИМАНИЕ
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\WavePad
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\RobotDemo
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\PuzzleMedia
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\Norton
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\McAfee
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\grizzly
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\FingerPrint
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\Evernote
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\ESET
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\Doctor Web
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\BookManager
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\AVAST Software
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\360safe
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Transmission
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\SpyHunter
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Ravantivirus
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Rainmeter
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Process Lasso
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Loaris Trojan Remover
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Kaspersky Lab
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\ESET
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Enigma Software Group
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\DrWeb
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\COMODO
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Common Files\McAfee
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Common Files\Doctor Web
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Common Files\AV
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Cezurity
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\Bitdefender Agent
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\AVG
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files\AVAST Software
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files (x86)\Transmission
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files (x86)\SpyHunter
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files (x86)\Panda Security
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files (x86)\Kaspersky Lab
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files (x86)\IObit
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files (x86)\Cezurity
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files (x86)\AVG
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\Program Files (x86)\360
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\KVRT2020_Data
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 __SHD C:\KVRT_Data
2023-05-17 20:29 - 2023-05-17 20:29 - 000000000 ____D C:\ProgramData\Avira
2023-05-17 20:28 - 2023-05-18 09:02 - 000000000 __SHD C:\ProgramData\WindowsTask
2023-05-17 20:28 - 2023-05-18 09:02 - 000000000 __SHD C:\ProgramData\ReaItekHD
2023-05-17 20:28 - 2023-05-17 20:29 - 000000000 __SHD C:\ProgramData\Setup
2023-05-17 20:28 - 2023-05-17 20:28 - 000000000 __SHD C:\Program Files\ByteFence
2023-05-17 15:42 - 2023-05-17 15:42 - 000000000 __SHD C:\Users\vkhod\Downloads\AV_block_remover
2023-05-17 15:42 - 2023-05-17 15:42 - 000000000 __SHD C:\Users\vkhod\Downloads\AutoLogger
2023-05-17 15:42 - 2023-05-17 15:42 - 000000000 __SHD C:\Users\vkhod\Desktop\AV_block_remover
2023-05-17 15:42 - 2023-05-17 15:42 - 000000000 __SHD C:\Users\vkhod\Desktop\AutoLogger
2023-05-17 15:42 - 2023-05-17 15:42 - 000000000 __SHD C:\ProgramData\princeton-produce
2023-05-17 15:42 - 2023-05-17 15:42 - 000000000 __SHD C:\Program Files\SUPERAntiSpyware
2023-05-17 15:42 - 2023-05-17 15:42 - 000000000 __SHD C:\Program Files\RogueKiller
2023-05-17 15:42 - 2023-05-17 15:42 - 000000000 __SHD C:\Program Files\Process Hacker 2
2023-05-17 15:42 - 2023-05-17 15:42 - 000000000 __SHD C:\Program Files\EnigmaSoft
2023-05-17 15:42 - 2023-05-17 15:42 - 000000000 __SHD C:\Program Files (x86)\SpeedFan
2023-05-17 15:42 - 2023-05-17 15:42 - 000000000 __SHD C:\Program Files (x86)\Moo0
2023-05-16 22:30 - 2023-05-16 22:33 - 000000000 ____D C:\ProgramData\HitmanPro
2023-05-16 22:30 - 2023-05-16 22:30 - 000000000 __SHD C:\Program Files\HitmanPro
Unlock:C:\Program Files\Malwarebytes
Unlock:C:\FRST
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

После перезагрузки запустите ещё раз AVbr в нормальном режиме и покажите новый его отчёт.
 
Ещё один небольшой скрипт выполните в безопасном режиме.

  • Выделите следующий код:
    Код: 
    Start::
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\Windows Tasks Service\winserv.exe
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\Windows\SysWow64\unsecapp.exe
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\ReaItekHD\taskhost.exe
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\ReaItekHD\taskhostw.exe
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\MicrosoftHost.exe
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\audiodg.exe
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\AppModule.exe
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\AMD.exe
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\Program Files\RDP Wrapper
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 
Статус
В этой теме нельзя размещать новые ответы.

Похожие темы

helpplease
Закрыто помогите с вирусом
Ответы
3
Просмотры
77
thyrex
thyrex
D
Решена народ, помогите с вирусом realtek HD
Ответы
18
Просмотры
625
DiFFerRent
D
Q
  • Закрыта
Решена Помогите с вирусом в драйверах
2
Ответы
24
Просмотры
6K
akok
akok
Назад
Сверху Снизу