Решена Словил вирус Wacatac и realtek audio

[jonisbor]

Здраствуйте только переустановил винду скачал игру, дефендер начал жааловаться я подумал на таблетку но потом в автозагрузке появился реалтек аудио который даже с авто загрузки не выключался, не мог открыть мсконфиг даже зайди скачать банальный антивирус либо посмотреть как его удалить но наткнулся на тему на этом сайте что кто-то тоже с этим сталкивался прошелся по тому что писали в коментариях немного изменило ситуацию но мне кажется не до конца потому что все равно не могу некоторые антивирусы установить и т.д не могли бы посоветовать что делать в таких случиях?

 

[Sandor]

Здравствуйте!

дефендер начал жааловаться я подумал на таблетку

Именно. Но вы, вероятно, игнорировали.

Прочтите и выполните Правила оформления запроса о помощи

 

[jonisbor]

Простите что проигнорировал правила!

 

[Sandor]

Я подразумевал, что вы игнорировали предупреждение Защитника и получили майнер.

В этих логах порядок. Посмотрим ещё такие:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[jonisbor]

Держите

 

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  2023-06-12 23:52 - 2023-06-12 23:52 - 000000000 __SHD C:\Users\oblak\Downloads\AV_block_remover
  2023-06-12 23:52 - 2023-06-12 23:52 - 000000000 __SHD C:\Program Files\SpyHunter
  2023-06-12 23:52 - 2023-06-12 23:52 - 000000000 __SHD C:\Program Files (x86)\SpyHunter
  Unlock: C:\ProgramData\Doctor Web
  Folder: C:\ProgramData\Doctor Web
  FirewallRules: [{D24C36B1-4B97-4C60-97F8-E7DA7357CD4C}] => (Block) LPort=139
  FirewallRules: [{DED78282-6DC6-41F8-999A-2FA942AA7772}] => (Allow) C:\ProgramData\WindowsTask\AppModule.exe => Нет файла
  FirewallRules: [{2B717C57-0476-4D1C-B05C-4D51798B55AA}] => (Allow) C:\ProgramData\WindowsTask\AMD.exe => Нет файла
  FirewallRules: [{7FCCE79E-AF9F-47C0-9460-ADB9A0A0004F}] => (Block) LPort=445
  FirewallRules: [{DCCB4A33-865E-4C6E-9937-D6F12EE8C33F}] => (Block) LPort=445
  FirewallRules: [{62E0CA8D-34B4-4396-A2DE-E8EF186B8F51}] => (Block) LPort=139
  FirewallRules: [{BBA560C4-71A5-46B5-8EE4-0E5DA1A6124D}] => (Allow) C:\ProgramData\Windows Tasks Service\winserv.exe => Нет файла
  FirewallRules: [{39FD245C-2743-4FA6-992B-6ED8475CFDD9}] => (Allow) LPort=3389
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[jonisbor]

Сделано

 

[Sandor]

Ещё один небольшой скрипт выполните в безопасном режиме.

• Выделите следующий код:
  

  Start::
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\Windows\SysWow64\unsecapp.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\ReaItekHD\taskhost.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\ReaItekHD\taskhostw.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\MicrosoftHost.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\audiodg.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\AppModule.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\AMD.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\Program Files\RDP Wrapper
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[jonisbor]

Сделал в безопасном режиме

 

[Sandor]

Хорошо. Если проблема решена, в завершение:
1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[jonisbor]

Хочу еще кое-что спросить у меня в майкрософт дефендер висит что есть угроза

 

[Sandor]

А в "подробностях" что там?

 

[jonisbor]

 

[Sandor]

Тогда продолжим.

Скачайте Malwarebytes v.4 (или с зеркала). Установите и запустите.
(На предложение активации лицензии ответьте "Позже" и "Использовать бесплатную версию").
Запустите Проверку и дождитесь её окончания.
Самостоятельно ничего не помещайте в карантин!!!
Нажмите кнопку "Сохранить результаты - Текстовый файл (*.txt)". Имя сохраняемому файлу дайте любое, например, "scan".
Отчёт прикрепите к сообщению.
Подробнее читайте в руководстве.

 

[jonisbor]

Сделано

 

[Sandor]

Тут удалять ничего не нужно.

Попробуйте файл

C:\windows\syswow64\unsecapp.exe

загрузить на www.virustotal.com

Если получится, ссылку на результат проверки покажите.

 

[jonisbor]

не могу его найти в данной папке

 

[jonisbor]

Нашел похожий файл но в другой папке, на вирус тотале ничего не показало

 

[akok]

Потому, что нашли легитимный файл. Подготовьте свежие логи FRST

 

[jonisbor]

Подготовил