Закрыто RogueKiller не может удалить майнер

[Dariab11]

Добрый день! При сканировании системы RogueKiller обнаружил fonts/mysql , clr_optimization_v4.0.30318_64 , ByteFence. Удалить их не может. Чем вылечить это?

 

[Sandor]

Здравствуйте!

Удалить их не может

Значит удалите его как бесполезную программу.
Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Bonjour
RogueKiller version 15.8.0.0
Web Companion

Браузер

Dolphin Anty 2022.326.2

ставили самостоятельно? Польузетесь?
На время лечения тоже деинсталлируйте.

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).

Если и так не сработает, запускайте из безопасного режима с поддержкой сети.

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.

 

[Dariab11]

Здравствуйте!


Значит удалите его как бесполезную программу.
Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:


Браузер

ставили самостоятельно? Польузетесь?
На время лечения тоже деинсталлируйте.

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).

Если и так не сработает, запускайте из безопасного режима с поддержкой сети.

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.

Web Companion не даёт удалить (скрин приложила, что пишет)
Всё остальное удалилось в том числе и Dolphin Anty (им пользуюсь)

 

[Sandor]

Пожалуйста, не нужно отвечать через кнопку "Ответить", пишите в нижнем поле быстрого ответа. Таким образом не будет излишнего цитирования предыдущего сообщения.

Web Companion не даёт удалить

Удалите принудительно через Geek Uninstaller

Вы не прерывали работу AVbr? В логе не хватает нескольких финальных строк.

"Пофиксите" в HijackThis только следующие строки:

O4 - HKCU\..\RunOnce: [Application Restart #2] = C:\Users\bdm11\AppData\Roaming\dolphin_anty\browser\168\anty.exe --disable-field-trial-config --install-extension="C:\Users\bdm11\AppData\Roaming\dolphin_anty\extensions\nkbihfbeogaeaoehlefnkodbefgpgknn,C:\Users\bdm11\AppData\Roaming\dolphin_anty\extensions\bhghoamapcdpbohphigoooaddinpkbai" --load-extension="C:\Users\bdm11\AppData\Roaming\dolphin_anty/extensions/anty/5" --no-sandbox --proxy-bypass-list="\"*anty-api.com; https://dolphin-anty-api.com\"" --proxy-server=http://46.8.213.249:5500 --user-data-dir="C:\Users\bdm11\AppData\Roaming\dolphin_anty\browser_profiles\102742190\data_dir" --restore-last-session --restart (not signed)
O4 - HKCU\..\StartupApproved\Run: [electron.app.now.gg wallet] = C:\Users\bdm11\AppData\Local\Programs\nowgg-wallet\now.gg wallet.exe --hidden (file missing) (2023/02/22)
O4 - MountPoints2: HKCU\..\{81f196ad-f0d4-11ec-97c9-e0d4e8ed2a46}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O15 - Trusted Zone: http://webcompanion.com
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Avira\System Speedup (empty)

Перезагрузите компьютер.

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[Dariab11]

Работу AVbr не прерывала. Web Companion удалился.

 

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKU\S-1-5-21-3716160526-3650728926-1695916347-1001\...\Run: [NoxMultiPlayer] => "D:\Program Files\Nox\bin\MultiPlayerManager.exe" -startSource:auto_start (Нет файла)
  HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  CHR Notifications: Default -> hxxps://alcomarket.ru; hxxps://altcoinlog.com; hxxps://apkcombo.com; hxxps://bluemove.net; hxxps://charlie-strip.ru; hxxps://chinacars24.ru; hxxps://coinmarketcap.com; hxxps://corclub.digital; hxxps://dodopizza.ru; hxxps://freebitco.in; hxxps://galamart.ru; hxxps://gotovim-doma.org; hxxps://incanto.eu; hxxps://kalina-malina.ru; hxxps://kalina-malina.send-box.ru; hxxps://krasnoeibeloe.ru; hxxps://kulinarnayamozaika.ru; hxxps://l-wine.ru; hxxps://m-strana.ru; hxxps://mmoreigrcom1631453550068.yanews24.com; hxxps://my.dozarplati.com; hxxps://novosibirsk.n1.ru; hxxps://nsk.dogeat.ru; hxxps://order.ikea.com; hxxps://phemex.com; hxxps://pro.coinlist.co; hxxps://qiwi.com; hxxps://ru.savefrom.net; hxxps://ruserial.online; hxxps://sbermegamarket.ru; hxxps://service-help.ru; hxxps://sibakademstroy.brusnika.ru; hxxps://smashkarts.io; hxxps://solsea.io; hxxps://sovcombank.ru; hxxps://spravedest.ru; hxxps://start.rt.ru; hxxps://start.ru; hxxps://street-beat.ru; hxxps://subcase.ru; hxxps://tetr.io; hxxps://twitter.com; hxxps://vanceai.com; hxxps://web.whatsapp.com; hxxps://windows-10-keys.ru; hxxps://www.alibaba.com; hxxps://www.avito.ru; hxxps://www.binance.com; hxxps://www.bybit.com; hxxps://www.dhgate.com; hxxps://www.ermolino-produkty.ru; hxxps://www.facebook.com; hxxps://www.ikea.com; hxxps://www.mvideo.ru; hxxps://www.nbc.com; hxxps://www.reddit.com; hxxps://www.safezone.cc; hxxps://www.softonic.ru; hxxps://www.sportmaster.ru; hxxps://www.victoriassecret.ru; hxxps://www.youtube.com
  C:\Users\bdm11\AppData\Local\Google\Chrome\User Data\Profile 10\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\bdm11\AppData\Local\Google\Chrome\User Data\Profile 100\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\bdm11\AppData\Local\Google\Chrome\User Data\Profile 101\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\bdm11\AppData\Local\Google\Chrome\User Data\Profile 102\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\bdm11\AppData\Local\Google\Chrome\User Data\Profile 103\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\bdm11\AppData\Local\Google\Chrome\User Data\Profile 104\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\bdm11\AppData\Local\Google\Chrome\User Data\Profile 105\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\bdm11\AppData\Local\Google\Chrome\User Data\Profile 106\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\bdm11\AppData\Local\Google\Chrome\User Data\Profile 107\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\bdm11\AppData\Local\Google\Chrome\User Data\Profile 99\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
  FirewallRules: [{A55BB18F-BD22-411B-B559-35AC66402FF3}] => (Allow) LPort=80
  FirewallRules: [{EC2B4C7A-8136-4428-8995-71439E3AF546}] => (Allow) LPort=27015
  FirewallRules: [{9DA90B62-C3A2-4F90-B864-698C504F4162}] => (Allow) C:\Program => Нет файла
  FirewallRules: [{ADFC7F84-C142-4FD4-9BB8-7134E8F7B460}] => (Allow) C:\Program => Нет файла
  FirewallRules: [{841579CF-F019-46AE-83A5-E7FE7E75D74D}] => (Allow) C:\Program => Нет файла
  FirewallRules: [{C8E93497-7C8C-4114-959F-5FDD786E8792}] => (Allow) C:\Program => Нет файла
  FirewallRules: [{5EA00D5C-7AB1-4246-A493-9AA4A2F895A9}] => (Allow) C:\Program => Нет файла
  FirewallRules: [{305CDAFB-1464-40F4-9E8A-5FF1E06976D6}] => (Allow) C:\Program => Нет файла
  FirewallRules: [{4A0DA225-A5EF-4B7B-A1A4-81693D80CC30}] => (Allow) C:\Program => Нет файла
  FirewallRules: [{051CD017-D137-45B5-A5A3-9FC07F1BDFBB}] => (Allow) C:\Program => Нет файла
  StartBatch:
    del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
    del /s /q "%userprofile%\AppData\Local\Microsoft\Edge\User Data\Default\Cache\*.*"
    del /s /q "%userprofile%\AppData\Local\Opera Software\Opera Stable\Cache\Cache_Data\*.*"
  EndBatch:
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

У вас просто огромное количество профилей (аккаунтов) в Chrome.
Пересмотрите их и удалите те, которыми не пользуетесь.

 

[Sandor]

@Dariab11, мы почти в конце лечения. Сообщите, получилось ли выполнить скрипт.

 

[Sandor]

Здравствуйте!

Ввиду отсутствия активности в течение последних 10 дней, предположу, что наша помощь больше не нужна. Поэтому тема закрывается.
Если Вам по-прежнему нужна помощь, отправьте личное сообщение одному из модераторов и укажите ссылку на эту тему.

Спасибо за использование нашего форума и удачи!