Решена после John'а

[snarx]

Здравствуйте!
Удалил майнер через AVbr, затем собрал логи. Взгляните, плз.

 

[Sandor]

Здравствуйте!

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Adobe Flash Player 32 NPAPI
Служба автоматического обновления программ

Файл Check_Browser_Lnk.log
из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.


"Пофиксите" в HijackThis только следующие строки:

O4 - HKLM\..\Run: [Realtek HD Audio] = C:\ProgramData\ReaItekHD\taskhostw.exe (file missing)
O22 - Task: (damaged) C:\Windows\System32\Tasks\Avira\System Speedup (empty)

Перезагрузите компьютер.

Удалите старые и соберите новые логи FRST.txt и Addition.txt

 

[snarx]

готово

 

[Sandor]

Служба автоматического обновления программ - почему не удалили? Если стандартно не удаляется, удалите принудительно через Geek Uninstaller

Далее:
Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  S4 mrupdsrv; "C:\Program Files (x86)\Mail.Ru\Update Service\mrupdsrv.exe" --s [X] <==== ВНИМАНИЕ
  2024-01-10 13:03 - 2022-06-11 20:16 - 000000000 ____D C:\Windows\system32\Tasks\Avira
  2024-01-10 02:14 - 2017-04-01 11:18 - 000000000 ____D C:\Users\роман\AppData\Local\VKMusic 4
  FirewallRules: [{F8F0C839-D45C-488D-AAB4-0469A72F8534}] => (Allow) LPort=80
  FirewallRules: [{B8183B40-61DB-4479-BA37-B13BF4986BFE}] => (Allow) LPort=443
  FirewallRules: [{82E950B3-A978-4E69-A6DD-37FD4506201F}] => (Allow) LPort=20010
  FirewallRules: [{A4974F38-0873-4959-A24F-C5363EF9DEA3}] => (Allow) LPort=3478
  FirewallRules: [{E87A4FC4-476C-48E5-9052-0D52B0D74B1A}] => (Allow) LPort=7850
  FirewallRules: [{93D52F0A-C8AB-4390-99F2-D9180135DC0F}] => (Allow) LPort=7852
  FirewallRules: [{333842B3-7C79-4FFD-B06C-E1E8AF218FAE}] => (Allow) LPort=7853
  FirewallRules: [{EC9D0B39-10A2-44BC-BD26-325FDB2AC70A}] => (Allow) LPort=27022
  FirewallRules: [{22B6E750-33D4-4EFA-A9DA-BE6E4778BB87}] => (Allow) LPort=6881
  FirewallRules: [{B3D183E7-A842-4201-BE20-A1E218AD7300}] => (Allow) LPort=33333
  FirewallRules: [{5E6F80A0-C028-4A6C-AED7-9DC1D66EBD8E}] => (Allow) LPort=20443
  FirewallRules: [{58E0F360-DB49-44D5-9416-BEB5A7DEFDBE}] => (Allow) LPort=8090
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[snarx]

да, извините - Geek'ом "служба" удалилась.

 

[Sandor]

Хорошо. Если больше проблем нет, в завершение:
1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[snarx]

сделал еще поиск на С:\ по времени заражения Джоном, до минуты (в тоталкомандере). там экзешник (размером 0 байт) и еще что-то, это нормально?

 

[Sandor]

На этот экзешник можно не обращать внимания.

Для верности давайте так посмотрим:

Скачайте Malwarebytes v.4 (или с зеркала). Установите и запустите.
(На предложение активации лицензии ответьте "Позже" и "Использовать бесплатную версию").
Запустите Проверку и дождитесь её окончания.
Самостоятельно ничего не помещайте в карантин!!!
Нажмите кнопку "Сохранить результаты - Текстовый файл (*.txt)". Имя сохраняемому файлу дайте любое, например, "scan".
Отчёт прикрепите к сообщению.
Подробнее читайте в руководстве.

 

[snarx]

а тут внезапно возникли сложности.
дело в том, что у меня не было установлено обновление винды (с SHA-2), которое нужно для Malwarebytes, а с ним система перестает загружаться.
это уже отдельная тема выходит, создал в другом разделе: проблема с установкой некоторых обновлений win7
если получится, отпишусь. В любом случае - спасибо!

/последний лог еще вот прицепил

 

[Sandor]

Именно MBAM не принципиально. Можете просканировать CureIt или KVRT для собственного спокойствия.
Но решить проблему с обновлениями было бы неплохо.

Исправьте по возможности:

Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз
Internet Explorer 11.0.9600.17843 Внимание! Скачать обновления
^Используйте Средство устранения неполадок при проблемах установки^
Контроль учётных записей пользователя включен (Уровень 3)
Автоматическое обновление отключено
Дата установки обновлений: 2017-04-14 17:32:35
HotFix KB3177467 Внимание! Скачать обновления
HotFix KB3125574 Внимание! Скачать обновления
HotFix KB4012212 Внимание! Скачать обновления
HotFix KB4499175 Внимание! Скачать обновления
HotFix KB4565354 Внимание! Скачать обновления
HotFix KB4490628 Внимание! Скачать обновления
HotFix KB4539602 Внимание! Скачать обновления
Notepad++ v.6.9.2 Внимание! Скачать обновления
Microsoft Office Профессиональный 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Ghostscript GPL 8.64 (Msi Setup) v.8.64 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
Microsoft Office Professional 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Яндекс.Диск v.3.2.6.4175 Внимание! Скачать обновления
7-Zip 15.14 (x64) v.15.14 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
7-Zip 9.20 (x64 edition) v.9.20.00.0 Данная версия программы больше не поддерживается разработчиком.. Удалите старую версию, скачайте и установите новую.
Discord v.0.0.305 Внимание! Скачать обновления
Telegram Desktop v.4.13.1 Внимание! Скачать обновления
Skype, версия 8.45 v.8.45 Внимание! Скачать обновления
µTorrent v.3.6.0.46984 Внимание! Клиент сети P2P с рекламным модулем!.
Java 8 Update 77 v.8.0.770.3 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u391-windows-i586.exe - Windows Offline)^
QuickTime v.7.0.4 Данная программа больше не поддерживается разработчиком и имеет известные проблемы безопасности! Рекомендуется деинсталлировать данное ПО.
K-Lite Codec Pack 14.5.3 Standard v.14.5.3 Внимание! Скачать обновления
VLC media player v.2.2.4 Внимание! Скачать обновления
Adobe AIR v.2.5.1.17730 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее.
Mozilla Thunderbird 68.6.0 (x86 ru) v.68.6.0 Внимание! Скачать обновления

---------------------------- [ UnwantedApps ] -----------------------------
Ace Stream Media 3.1.2 v.3.1.2 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner. Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
JDownloader 2 v.2.0 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner. Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
Security Task Manager 2.4 v.2.4 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.


Читайте Рекомендации после удаления вредоносного ПО