Решена словил майнеры, трояны типа системных прерываний Runtime broker, COM surrogate

quasar · 6 Окт 2023

Здравствуйте,помогите в удалении вышеперечисленного ибо виндовс дефендер отказываеться запускаться(возможно из за вирусов),в безопасном режиме вообще закрываеться в настройках когда открываешь безопасность виндовс,появился скрытый пользователь John,при попытке скачать dr web или других пишет:Это приложение заблокировано вашим системным администратором,системные прерывания при закрывании диспейчера задач начинают грузить цп под 70+,помогите ибо в безопасности пк я ноль

akok · 6 Окт 2023

Скачайте, распакуйте (в подпапку) и запустите AV block remover или с зеркала
По окончании всех процедур произойдет перезагрузка системы. Прикрепите созданный утилитой лог AV_block_remove.log к следующему сообщению.

Если не запускается, то переименуйте ее (например в AV_b_r.exe) или воспользуйтесь версией с случайным именем файла

Запустите Autologger и прикрепите новый CollectionLog.

quasar · 6 Окт 2023

логи

akok · 6 Окт 2023

akok написал(а):
Запустите Autologger

ждем

quasar · 6 Окт 2023

все логи которые были собраны автологером скидывать?

quasar · 6 Окт 2023

вот логи

akok · 6 Окт 2023

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ из папки Autologger (Файл - Выполнить скрипт):

Код:

  begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
  SearchRootkit(true, true);
  SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\ProgramData\Microsoft\MapData\bmDCr6o7uS\CheckGlobalW.bat','');
 QuarantineFile('C:\ProgramData\Microsoft\MapData\bmDCr6o7uS\Game.exe','');
 DeleteFile('C:\ProgramData\Microsoft\MapData\bmDCr6o7uS\Game.exe','64');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\Hor');
 DeleteFile('C:\ProgramData\Microsoft\MapData\bmDCr6o7uS\CheckGlobalW.bat','64');
 DeleteSchedulerTask('Microsoft\Windows\CheckGlobalW\RecoveryHosts');
  BC_Activate;
  ExecuteSysClean;
  ExecuteWizard('SCU', 2, 3, true);
 BC_ImportALL;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

Код:

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

Код:

O2 - HKLM\..\BHO: (no name) - {31D09BA0-12F5-4CCE-BE8A-2923E76605DA} - (no file)
O2 - HKLM\..\BHO: (no name) - {D0498E0A-45B7-42AE-A9AA-ABA463DBD3BF} - (no file)
O7 - AppLocker: Fix all (including policies)
O7 - Policy: HKCU\..\Windows\Explorer: [DisableNotificationCenter ] = 1
O18 - HKLM\Software\Classes\Protocols\Handler\osf: [CLSID] = (no CLSID) - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ SkyDrivePro1 (ErrorConflict): (no name) -  - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ SkyDrivePro2 (SyncInProgress): (no name) -  - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ SkyDrivePro3 (InSync): (no name) -  - (no file)
O21-32 - HKLM\..\ShellExecuteHooks: [{B5A7F190-DDA6-4420-B3BA-52453494E6CD}] - Groove GFS Stub Execution Hook - (no file) (disabled)
O26 - Debugger: HKLM\..\MsMpEng.exe: [Debugger] = C:\Windows\system32\systray.exe (sign: 'Microsoft')
O26 - Debugger: HKLM\..\SecurityHealthService.exe: [Debugger] = C:\Windows\system32\systray.exe (sign: 'Microsoft')

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

quasar · 6 Окт 2023

Имя карантин-а(ов) сообщите в теме:
2023.10.06_quarantine_1b9bc9364b2cc9dde47d3f3fcaa351bd.7z

regist · 6 Окт 2023

+

Пополните, пожалуйста, базу безопасных файлов антивирусной утилиты AVZ:

Запустите AVZ.
Запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины).
В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт №8 ("VirusInfo.Info: Скрипт сбора файлов для экспресс-анализа ПК") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке с AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_auto_<имя_ПК>.zip
Закачайте полученный архив, как описано на этой странице.
Если размер архива превышает 250 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: Яндекс.Диск, Zippyshare, My-Files.SU, MediaFire, Files.FM, MixDrop или karelia.ru - этот последний не желательно, он урезает скорость) и укажите ссылку на скачивание в своём следующем сообщении.

+ Соберите потом свежие логи Автологером.

quasar · 6 Окт 2023

вот

akok · 6 Окт 2023

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

Отключите до перезагрузки антивирус.

Выделите следующий код:

Код:

Start::
SystemRestore: On
CreateRestorePoint:
VirusTotal: C:\Users\Public\chrome.exe; C:\Users\Public\System.exe
HKLM-x32\...\Run: [RadminVPN] => "C:\Program Files (x86)\Radmin VPN\RvRvpnGui.exe" /minimized (Нет файла)
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKLM\Software\Policies\...\system: [PublishUserActivities] 0
HKLM\Software\Policies\...\system: [EnableActivityFeed] 0
HKLM\Software\Policies\...\system: [UploadUserActivities] 0
HKLM\Software\Policies\...\system: [EnableSmartScreen] 0
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(1): schtasks.exe -> /Change /TN "\BlueStacksHelper_nxt" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(10): schtasks.exe -> /Change /TN "\NvTmRep_CrashReport2_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(11): schtasks.exe -> /Change /TN "\NvTmRep_CrashReport3_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(12): schtasks.exe -> /Change /TN "\NvTmRep_CrashReport4_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(13): schtasks.exe -> /Change /TN "\Opera scheduled Autoupdate 1645647788" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(14): schtasks.exe -> /Change /TN "\Yandex.Stroka.User.S-1-5-21-521861850-3934697987-3801808138-1001" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(15): schtasks.exe -> /Change /TN "\Обновление Браузера Яндекс" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(16): schtasks.exe -> /Change /TN "\AVAST Software\Gaming mode Task Scheduler recovery" /DISABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(2): schtasks.exe -> /Change /TN "\GoogleUpdateTaskMachineCore" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(3): schtasks.exe -> /Change /TN "\GoogleUpdateTaskMachineUA" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(4): schtasks.exe -> /Change /TN "\NvDriverUpdateCheckDaily_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(5): schtasks.exe -> /Change /TN "\NVIDIA GeForce Experience SelfUpdate_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(6): schtasks.exe -> /Change /TN "\NvNodeLauncher_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(7): schtasks.exe -> /Change /TN "\NvProfileUpdaterDaily_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(8): schtasks.exe -> /Change /TN "\NvProfileUpdaterOnLogon_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(9): schtasks.exe -> /Change /TN "\NvTmRep_CrashReport1_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
S3 Transmission; C:\Users\mS7X\AppData\Local\Programs\Transmission\transmission-qt.exe <==== ВНИМАНИЕ (Доступ не разрешён) <==== ВНИМАНИЕ
C:\Users\mS7X\AppData\Local\Programs\Transmission\transmission-qt.exe
2023-09-24 17:38 - 2023-09-11 19:10 - 003674624 _____ () C:\Users\Public\chrome.exe
2023-09-24 17:44 - 2023-09-11 19:10 - 003674624 _____ () C:\Users\Public\System.exe
ShellIconOverlayIdentifiers-x32: [Groove Explorer Icon Overlay 1 (GFS Unread Stub)] -> {99FD978C-D287-4F50-827F-B2C658EDA8E7} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [Groove Explorer Icon Overlay 2 (GFS Stub)] -> {AB5C5600-7E6E-4B06-9197-9ECEF74D31CC} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [Groove Explorer Icon Overlay 2.5 (GFS Unread Folder)] -> {920E6DB1-9907-4370-B3A0-BAFC03D81399} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [Groove Explorer Icon Overlay 3 (GFS Folder)] -> {16F3DD56-1AF5-4347-846D-7C10C4192619} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [Groove Explorer Icon Overlay 4 (GFS Unread Mark)] -> {2916C86E-86A6-43FE-8112-43ABE6BF8DCC} =>  -> Нет файла
ContextMenuHandlers1: [XXX Groove GFS Context Menu Handler XXX] -> {6C467336-8281-4E60-8204-430CED96822D} =>  -> Нет файла
ContextMenuHandlers2: [EPP] -> {09A47860-11B0-4DA5-AFA5-26D86198A780} =>  -> Нет файла
ContextMenuHandlers3: [XXX Groove GFS Context Menu Handler XXX] -> {6C467336-8281-4E60-8204-430CED96822D} =>  -> Нет файла
ContextMenuHandlers4: [EPP] -> {09A47860-11B0-4DA5-AFA5-26D86198A780} =>  -> Нет файла
ContextMenuHandlers4: [XXX Groove GFS Context Menu Handler XXX] -> {6C467336-8281-4E60-8204-430CED96822D} =>  -> Нет файла
ContextMenuHandlers5: [XXX Groove GFS Context Menu Handler XXX] -> {6C467336-8281-4E60-8204-430CED96822D} =>  -> Нет файла
ContextMenuHandlers6: [XXX Groove GFS Context Menu Handler XXX] -> {6C467336-8281-4E60-8204-430CED96822D} =>  -> Нет файла
AlternateDataStreams: C:\ProgramData:NT [40]
AlternateDataStreams: C:\ProgramData:NT2 [708]
AlternateDataStreams: C:\Users\All Users:NT [40]
AlternateDataStreams: C:\Users\All Users:NT2 [708]
AlternateDataStreams: C:\Users\Все пользователи:NT [40]
AlternateDataStreams: C:\Users\Все пользователи:NT2 [708]
AlternateDataStreams: C:\ProgramData\360Safe.Summary.union1:514561AD28 [3450]
AlternateDataStreams: C:\ProgramData\360Safe.Summary.union1:BEA5C52C1F [3450]
AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
AlternateDataStreams: C:\ProgramData\Application Data:NT2 [708]
AlternateDataStreams: C:\ProgramData\ewgztlyh.mfw:1C382A7E69 [3450]
AlternateDataStreams: C:\ProgramData\goyslgxe.nnn:7297ACA992 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft.SqlServer.Compact.400.32.bc:169D67954B [3450]
AlternateDataStreams: C:\ProgramData\mntemp:8EAD8B3507 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\desktop.ini:41964AA945 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FACEIT AC.lnk:550995E265 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Immersive Control Panel.lnk:DC8F23BC3A [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Overplus.lnk:E5E3462412 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PowerPoint.lnk:1DC1525F34 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Word.lnk:7AD7FA8AB1 [3450]
AlternateDataStreams: C:\Users\mS7X\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\mS7X\Application Data:NT [40]
AlternateDataStreams: C:\Users\mS7X\Application Data:NT2 [708]
AlternateDataStreams: C:\Users\mS7X\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\mS7X\AppData\Roaming:NT [40]
AlternateDataStreams: C:\Users\mS7X\AppData\Roaming:NT2 [708]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [3656]
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

quasar · 6 Окт 2023

regist написал(а):
+

Пополните, пожалуйста, базу безопасных файлов антивирусной утилиты AVZ:

Запустите AVZ.

Запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины).

В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт №8 ("VirusInfo.Info: Скрипт сбора файлов для экспресс-анализа ПК") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке с AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_auto_<имя_ПК>.zip

Закачайте полученный архив, как описано на этой странице.

Если размер архива превышает 250 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: Яндекс.Диск, Zippyshare, My-Files.SU, MediaFire, Files.FM, MixDrop или karelia.ru - этот последний не желательно, он урезает скорость) и укажите ссылку на скачивание в своём следующем сообщении.

+ Соберите потом свежие логи Автологером.

уже 2 раза сделал анализ,архив не создается в папке с авз

akok · 6 Окт 2023

а подпапке log?

quasar · 6 Окт 2023

akok написал(а):
а подпапке log?

virusinfo_auto_DESKTOP-FBK0D70.zip - ссылка на яндекс диск,свежие логи собранные автологером

akok · 6 Окт 2023

Сейчас нужен Fixlog.txt. Архив с Яндекса забрал.

quasar · 6 Окт 2023

akok написал(а):

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

Отключите до перезагрузки антивирус.

Выделите следующий код:

Код:

Start::
SystemRestore: On
CreateRestorePoint:
VirusTotal: C:\Users\Public\chrome.exe; C:\Users\Public\System.exe
HKLM-x32\...\Run: [RadminVPN] => "C:\Program Files (x86)\Radmin VPN\RvRvpnGui.exe" /minimized (Нет файла)
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKLM\Software\Policies\...\system: [PublishUserActivities] 0
HKLM\Software\Policies\...\system: [EnableActivityFeed] 0
HKLM\Software\Policies\...\system: [UploadUserActivities] 0
HKLM\Software\Policies\...\system: [EnableSmartScreen] 0
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(1): schtasks.exe -> /Change /TN "\BlueStacksHelper_nxt" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(10): schtasks.exe -> /Change /TN "\NvTmRep_CrashReport2_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(11): schtasks.exe -> /Change /TN "\NvTmRep_CrashReport3_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(12): schtasks.exe -> /Change /TN "\NvTmRep_CrashReport4_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(13): schtasks.exe -> /Change /TN "\Opera scheduled Autoupdate 1645647788" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(14): schtasks.exe -> /Change /TN "\Yandex.Stroka.User.S-1-5-21-521861850-3934697987-3801808138-1001" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(15): schtasks.exe -> /Change /TN "\Обновление Браузера Яндекс" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(16): schtasks.exe -> /Change /TN "\AVAST Software\Gaming mode Task Scheduler recovery" /DISABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(2): schtasks.exe -> /Change /TN "\GoogleUpdateTaskMachineCore" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(3): schtasks.exe -> /Change /TN "\GoogleUpdateTaskMachineUA" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(4): schtasks.exe -> /Change /TN "\NvDriverUpdateCheckDaily_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(5): schtasks.exe -> /Change /TN "\NVIDIA GeForce Experience SelfUpdate_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(6): schtasks.exe -> /Change /TN "\NvNodeLauncher_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(7): schtasks.exe -> /Change /TN "\NvProfileUpdaterDaily_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(8): schtasks.exe -> /Change /TN "\NvProfileUpdaterOnLogon_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
Task: {994CA0EF-5FA5-48F9-9F34-0D21D19808D3} - System32\Tasks\AVAST Software\Gaming mode Task Scheduler recovery => Command(9): schtasks.exe -> /Change /TN "\NvTmRep_CrashReport1_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}" /ENABLE
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
S3 Transmission; C:\Users\mS7X\AppData\Local\Programs\Transmission\transmission-qt.exe <==== ВНИМАНИЕ (Доступ не разрешён) <==== ВНИМАНИЕ
C:\Users\mS7X\AppData\Local\Programs\Transmission\transmission-qt.exe
2023-09-24 17:38 - 2023-09-11 19:10 - 003674624 _____ () C:\Users\Public\chrome.exe
2023-09-24 17:44 - 2023-09-11 19:10 - 003674624 _____ () C:\Users\Public\System.exe
ShellIconOverlayIdentifiers-x32: [Groove Explorer Icon Overlay 1 (GFS Unread Stub)] -> {99FD978C-D287-4F50-827F-B2C658EDA8E7} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [Groove Explorer Icon Overlay 2 (GFS Stub)] -> {AB5C5600-7E6E-4B06-9197-9ECEF74D31CC} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [Groove Explorer Icon Overlay 2.5 (GFS Unread Folder)] -> {920E6DB1-9907-4370-B3A0-BAFC03D81399} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [Groove Explorer Icon Overlay 3 (GFS Folder)] -> {16F3DD56-1AF5-4347-846D-7C10C4192619} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [Groove Explorer Icon Overlay 4 (GFS Unread Mark)] -> {2916C86E-86A6-43FE-8112-43ABE6BF8DCC} =>  -> Нет файла
ContextMenuHandlers1: [XXX Groove GFS Context Menu Handler XXX] -> {6C467336-8281-4E60-8204-430CED96822D} =>  -> Нет файла
ContextMenuHandlers2: [EPP] -> {09A47860-11B0-4DA5-AFA5-26D86198A780} =>  -> Нет файла
ContextMenuHandlers3: [XXX Groove GFS Context Menu Handler XXX] -> {6C467336-8281-4E60-8204-430CED96822D} =>  -> Нет файла
ContextMenuHandlers4: [EPP] -> {09A47860-11B0-4DA5-AFA5-26D86198A780} =>  -> Нет файла
ContextMenuHandlers4: [XXX Groove GFS Context Menu Handler XXX] -> {6C467336-8281-4E60-8204-430CED96822D} =>  -> Нет файла
ContextMenuHandlers5: [XXX Groove GFS Context Menu Handler XXX] -> {6C467336-8281-4E60-8204-430CED96822D} =>  -> Нет файла
ContextMenuHandlers6: [XXX Groove GFS Context Menu Handler XXX] -> {6C467336-8281-4E60-8204-430CED96822D} =>  -> Нет файла
AlternateDataStreams: C:\ProgramData:NT [40]
AlternateDataStreams: C:\ProgramData:NT2 [708]
AlternateDataStreams: C:\Users\All Users:NT [40]
AlternateDataStreams: C:\Users\All Users:NT2 [708]
AlternateDataStreams: C:\Users\Все пользователи:NT [40]
AlternateDataStreams: C:\Users\Все пользователи:NT2 [708]
AlternateDataStreams: C:\ProgramData\360Safe.Summary.union1:514561AD28 [3450]
AlternateDataStreams: C:\ProgramData\360Safe.Summary.union1:BEA5C52C1F [3450]
AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
AlternateDataStreams: C:\ProgramData\Application Data:NT2 [708]
AlternateDataStreams: C:\ProgramData\ewgztlyh.mfw:1C382A7E69 [3450]
AlternateDataStreams: C:\ProgramData\goyslgxe.nnn:7297ACA992 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft.SqlServer.Compact.400.32.bc:169D67954B [3450]
AlternateDataStreams: C:\ProgramData\mntemp:8EAD8B3507 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\desktop.ini:41964AA945 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FACEIT AC.lnk:550995E265 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Immersive Control Panel.lnk:DC8F23BC3A [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Overplus.lnk:E5E3462412 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PowerPoint.lnk:1DC1525F34 [3450]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Word.lnk:7AD7FA8AB1 [3450]
AlternateDataStreams: C:\Users\mS7X\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\mS7X\Application Data:NT [40]
AlternateDataStreams: C:\Users\mS7X\Application Data:NT2 [708]
AlternateDataStreams: C:\Users\mS7X\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\mS7X\AppData\Roaming:NT [40]
AlternateDataStreams: C:\Users\mS7X\AppData\Roaming:NT2 [708]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [3656]
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

а тут оно выполняет видимо рандом скрипт,не сохраняеться лог Fixlog,сохраняет FRST,Addition,и не перезапускает пк,хотя копирую в буфер обмена, и делаю все по пунктам не 1 раз

quasar · 6 Окт 2023

akok написал(а):
Сейчас нужен Fixlog.txt. Архив с Яндекса забрал.

фикслог так же не создается, создаются только FRST,Addition

akok · 6 Окт 2023

не ту кнопку нажимаете

quasar · 6 Окт 2023

и в правду,извините,вот логи

akok · 6 Окт 2023

Проверяйте симптомы + сделайте свежий комплект логов FRST, посмотрю, не пропустил ли чего

Решена словил майнеры, трояны типа системных прерываний Runtime broker, COM surrogate

Переводчик Google

quasar

Участник

akok

quasar

Участник

Вложения

akok

quasar

Участник

quasar

Участник

Вложения

akok

quasar

Участник

regist

гоняюсь за туманом

quasar

Участник

Вложения

akok

quasar

Участник

akok

quasar

Участник

Вложения

akok

quasar

Участник

quasar

Участник

akok

quasar

Участник

Вложения

akok