В работе Служба работы с угрозами остановлена. Перезапустите ее

[Tr1nity2]

Не запускается системный антивирус, если пытаться запускать через трей пишет, что страница недоступна, обратитесь в ИТ-отдел. KVRT-ом был обнаружен троян и удален, но проблема не решилась

 

[Severnyj]

Скачайте AV block remover или с зеркала.
Сохраните утилиту только не на Рабочий стол (Desktop) и не в папку Загрузки (Downloads), запустите и следуйте инструкциям.
Если не запускается, запустите её в безопасном режиме с поддержкой сети.

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологгером в обычном режиме загрузки.

 

[Tr1nity2]

.

 

[Severnyj]

Сообщение пустое

 

[Tr1nity2]

.

 

[Severnyj]

Имеется вероятность того, чти система была повреждена настолько, что восстановить Защитник можно только через переустановку (можно поверх), но почистить ее перед этим все-равно надо.

Пофиксите в HJT (некоторые строки могут отсутствовать):

O4 - HKCU\..\StartupApproved\Run: [AltServer] = E:\AltServer\AltServer.exe (file missing) (2025/10/02)
O4 - HKCU\..\StartupApproved\Run: [rds-client] = E:\MTC Fog Play\bin\rds-client.exe (file missing) (2024/07/12)
O4 - MountPoints2: HKCU\..\{49d5b9db-7478-11ec-82e4-f02f74304405}\shell\AutoRun\command: (default) = E:\SISetup.exe (file missing)
O7 - Policy: HKCU\..\Windows\Explorer: [DisableNotificationCenter ] = 1
O7 - Suspicious (EV): HKCU\Environment: [SYSTEMVUE_LICENSE_FILE] E:\SystemVue2013.08SP1\license.lic (file missing)
O7 - Windows Defender Exclusion - Paths: C:\Program Files (x86)\Steam (Directory)
O7 - Windows Defender Exclusion - Paths: c:\program files (x86)\steam\steamapps\common\counter-strike global offensive (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Program Files\ExLoader (file missing)
O7 - Windows Defender Exclusion - Paths: C:\Users\aleks\AppData\Roaming\com.swiftsoft\exloader\modifications\ExChanger_1640475797.dat (not signed - no company - 49BB0FE2E40F76F31B912085ACB0902ECD2B630D)
O7 - Windows Defender Exclusion - Paths: C:\Users\aleks\AppData\Roaming\com.swiftsoft\exloader\modifications\Qo0_1639247279.dat (file missing)
O7 - Windows Defender Exclusion - Paths: C:\Users\aleks\AppData\Roaming\com.swiftsoft\exloader\modifications\Qo0_1639247279.dll (file missing)
O7 - Windows Defender Exclusion - Paths: C:\Users\aleks\AppData\Roaming\com.swiftsoft\exloader\modifications\Qo0_1642282749.dat (file missing)
O7 - Windows Defender Exclusion - Paths: C:\Users\aleks\AppData\Roaming\com.swiftsoft\exloader\modifications\Qo0_1642282749.dll (file missing)
O7 - Windows Defender Exclusion - Paths: C:\Users\aleks\AppData\Roaming\com.swiftsoft\exloader\modifications\Qo0_1642598226.dat (not signed - no company - 750A704BAC898004E5B121FDD525ABE25EA79B1B)
O7 - Windows Defender Exclusion - Paths: C:\Users\aleks\AppData\Roaming\com.swiftsoft\exloader\modifications\Qo0_1642598226.dll (file missing)
O7 - Windows Defender Exclusion - Paths: C:\Users\aleks\AppData\Roaming\com.swiftsoft\exloader\tools (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Users\aleks\AppData\Roaming\com.swiftsoft\exloader\updates\2.6.11922 (Directory)
O18 - HKLM\Software\Classes\Protocols\Filter\application/octet-stream: [CLSID] = {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - (no file)
O18 - HKLM\Software\Classes\Protocols\Filter\application/x-complus: [CLSID] = {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - (no file)
O18 - HKLM\Software\Classes\Protocols\Filter\application/x-msdownload: [CLSID] = {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - (no file)
O22 - Tasks: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\AVAST Software (empty)
O22 - Tasks: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\HP\HP Print Scan Doctor (empty)
O22 - Tasks: (disabled) CCleanerSkipUAC - aleks - C:\Program Files\CCleaner\CCleaner64.exe $(Arg0) (file missing)
O22 - Tasks: (disabled) Christmas Task (One-Time) - C:\Program Files (x86)\IObit\Driver Booster\10.1.0\xmas.exe /xr (file missing)
O22 - Tasks: MSIAfterburner - C:\Program Files (x86)\MSI Afterburner\MSIAfterburner.exe /s (file missing)
O23 - Service S2: TunMirror - C:\Users\aleks\Desktop\Programs\KMSAuto Lite Portable v1.6.5\KMSAuto_Files\bin\driver\TunMirror.exe (file missing)
O23 - Driver S3: cpuz150 - C:\WINDOWS\temp\cpuz150\cpuz150_x64.sys (file missing)
O23 - Driver S3: cpuz154 - C:\WINDOWS\temp\cpuz154\cpuz154_x64.sys (file missing)
O23 - Driver S3: NEProtect - E:\SteamLibrary\steamapps\common\Once Human\NEProtect.sys (file missing)
O23 - Driver S3: PDFWKRNL - C:\Users\aleks\AppData\Local\Temp\USBCPDFW\pdfwkrnl.sys (file missing)
O26 - Office Addin: HKLM\..\NativeShim - (Inquire) -> (no file)
O27 - Account: (Hidden) User 'John' is invisible on logon screen
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0

Далее:

Скачайте утилиту DoesNotBelong и сохраните её на Рабочем столе.

Пожалуйста, сохраните все несохраненные файлы и закройте все программы, так как этот инструмент попытается закрыть все некритические процессы в ходе сканирования. Это касается и интернет-браузеров.

• Щелкните правой кнопкой мыши по DoesNotBelong.exe и запустите его от имени администратора.
• После прочтения заявления об отказе от ответственности нажмите «Да», чтобы начать сканирование
• Скрипт создаст точку восстановления системы и приступит к сканированию, которое может занять некоторое время.
• По завершении работы программы окно командной строки закроется, и в корневом каталоге диска C: будет создан журнал под названием DoesNotBelong_[дата]_[время].txt.
• Пожалуйста, запакуйте отчет DoesNotBelong_[дата]_[время].txt. и прикрепите к своему следующему сообщению.

Далее:

Скачайте Farbar Recovery Scan Tool или с зеркала сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую по разрядности с Вашей операционной системой.
Как узнать разрядность моей системы?

• Запустите программу. Когда программа запустится, нажмите Yes (Да) для соглашения с предупреждением об отказе от ответственности.
• Убедитесь, что в разделе Optional Scan (Дополнительное Сканирование) отмечены галочки List BCD (Список BCD) и 90 Days Files (Файлы за 90 дней).
• Нажмите кнопку Scan (Сканировать).

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Запакуйте отчеты в архив и прикрепите его к своему следующему сообщению.

 

[Tr1nity2]

.

 

[Severnyj]

Обратите внимание на состояние жесткого диска:

[!!!] DISK/FS ALERT: (05/15/2026 02:47:37) - Операция ввода-вывода по адресу логического блока 0x6deb8 для диска 2 (имя PDO: \Device\000000d9) выполнена повторно.
[!!!] DISK/FS ALERT: (05/15/2026 02:47:15) - Операция ввода-вывода по адресу логического блока 0x66528 для диска 2 (имя PDO: \Device\000000d9) выполнена повторно.
[!!!] DISK/FS ALERT: (05/15/2026 02:46:54) - Операция ввода-вывода по адресу логического блока 0x65718 для диска 2 (имя PDO: \Device\000000d9) выполнена повторно.
[!!!] DISK/FS ALERT: (05/15/2026 02:46:32) - Операция ввода-вывода по адресу логического блока 0x6c028 для диска 2 (имя PDO: \Device\000000d9) выполнена повторно.
[!!!] DISK/FS ALERT: (05/15/2026 02:45:22) - Операция ввода-вывода по адресу логического блока 0x67828 для диска 2 (имя PDO: \Device\000000d9) выполнена повторно.
[!!!] DISK/FS ALERT: (05/15/2026 02:45:00) - Операция ввода-вывода по адресу логического блока 0x65198 для диска 2 (имя PDO: \Device\000000d9) выполнена повторно.
[!!!] DISK/FS ALERT: (05/15/2026 02:44:39) - Операция ввода-вывода по адресу логического блока 0x66e28 для диска 2 (имя PDO: \Device\000000d9) выполнена повторно.
[!!!] DISK/FS ALERT: (05/15/2026 02:44:17) - Операция ввода-вывода по адресу логического блока 0x65ba8 для диска 2 (имя PDO: \Device\000000d9) выполнена повторно.
[!!!] DISK/FS ALERT: (05/15/2026 02:43:30) - Операция ввода-вывода по адресу логического блока 0x7fe78 для диска 2 (имя PDO: \Device\000000d6) выполнена повторно.
[!!!] DISK/FS ALERT: (05/15/2026 02:43:06) - Операция ввода-вывода по адресу логического блока 0x65218 для диска 2 (имя PDO: \Device\000000d6) выполнена повторно.

Примите к сведению - после выполнения скрипта временные файлы, корзина, история браузеров, куки и кэш будут очищены.
Отключите до перезагрузки антивирус.
Выделите следующий код:

Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
Unlock: C:\FRST\
RemoveProxy:
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
S3 NEProtect; \??\E:\SteamLibrary\steamapps\common\Once Human\NEProtect.sys (Нет файла)
S3 PDFWKRNL; \??\C:\Users\aleks\AppData\Local\Temp\USBCPDFW\pdfwkrnl.sys (Нет файла) <==== ВНИМАНИЕ
S3 VBAudioVACMME; \SystemRoot\System32\drivers\vbaudio_cable64_win7.sys (Нет файла)
S3 WinRing0_1_2_0; \??\C:\Users\aleks\AppData\Local\Temp\7z9CB81970\WinRing0x64.sys (Нет файла) <==== ВНИМАНИЕ
CustomCLSID: HKU\S-1-5-21-470445120-598604523-1329218388-1001_Classes\CLSID\{5C4D8D77-5B87-40CA-884E-F56858227E5C}\localserver32 -> C:\Program Files\TeamSpeak\notification_helper.exe => Нет файла
AlternateDataStreams: C:\ProgramData:EEF49EE5D3688B03 [1]
AlternateDataStreams: C:\ProgramData:FD06FE32D66C5DC9 [1]
AlternateDataStreams: C:\WINDOWS\tracing:? [16]
AlternateDataStreams: C:\Users\All Users:EEF49EE5D3688B03 [1]
AlternateDataStreams: C:\Users\All Users:FD06FE32D66C5DC9 [1]
AlternateDataStreams: C:\Users\Все пользователи:EEF49EE5D3688B03 [1]
AlternateDataStreams: C:\Users\Все пользователи:FD06FE32D66C5DC9 [1]
AlternateDataStreams: C:\ProgramData\Application Data:EEF49EE5D3688B03 [1]
AlternateDataStreams: C:\ProgramData\Application Data:FD06FE32D66C5DC9 [1]
AlternateDataStreams: C:\ProgramData\autobk.inc:8AC1BB86DF [2594]
AlternateDataStreams: C:\ProgramData\ntuser.dat.LOG1:94949E25BC [2594]
AlternateDataStreams: C:\ProgramData\ntuser.dat{46fe93b9-1e5c-11ed-8316-f02f74304405}.TM.blf:53EB4F91C9 [2594]
AlternateDataStreams: C:\ProgramData\ntuser.dat{46fe93b9-1e5c-11ed-8316-f02f74304405}.TMContainer00000000000000000001.regtrans-ms:4F535EC9EC [2594]
AlternateDataStreams: C:\ProgramData\ntuser.dat{46fe93b9-1e5c-11ed-8316-f02f74304405}.TMContainer00000000000000000002.regtrans-ms:9AB58C8EAE [2594]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [2594]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Ableton Live 12 Suite.lnk:07297DC925 [2594]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Premiere Pro 2022.lnk:C56174E6CE [2594]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Camo Studio.lnk:71E7D1430C [2594]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Custom Shop.lnk:FB40A28F28 [2594]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Epic Games Launcher.lnk:BE32D07BC5 [2594]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\IK Product Manager.lnk:ECBDA60105 [2594]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\iLok License Manager.lnk:FD94631329 [2594]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [2562]
CMD: "%ProgramFiles%\Windows Defender\MpCmdRun.exe" -RestoreDefaults
CMD: "%ProgramFiles%\Windows Defender\MpCmdRun.exe" -RemoveDefinitions -All
CMD: "%ProgramFiles%\Windows Defender\MpCmdRun.exe" -SignatureUpdate
Powershell: Set-MpPreference -DisableRealtimeMonitoring $false
Powershell: Start-Service WinDefend -ErrorAction Continue
Powershell: Start-Service WdNisSvc -ErrorAction Continue
Powershell: Get-MpComputerStatus | Select AMServiceEnabled, AntivirusEnabled, RealTimeProtectionEnabled, IsTamperProtected
Powershell: Get-Service WinDefend, WdNisSvc, Sense | Format-Table Name, Status, StartType
CMD: sc qc WinDefend
CMD: sc sdshow WinDefend
CMD: icacls "%ProgramData%\Microsoft\Windows Defender"
CMD: icacls "%ProgramFiles%\Windows Defender\MsMpEng.exe"
Reg: reg export HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Defaults\FirewallPolicy\FirewallRules C:\Firewall.reg
C:\Firewall.reg
CMD: netsh advfirewall reset
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Запакуйте его в архив и прикрепите к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.
Компьютер будет перезагружен автоматически.

 

[Tr1nity2]

.

 

[Severnyj]

Примите к сведению - после выполнения скрипта временные файлы, корзина, история браузеров, куки и кэш будут очищены.
Отключите до перезагрузки антивирус.
Выделите следующий код:

Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
CMD: icacls "C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.26070.9-0"
CMD: icacls "C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.26070.9-0\MsMpEng.exe"
CMD: dir "C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.26070.9-0\MsMpEng.exe"
Powershell: Get-AuthenticodeSignature "C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.26070.9-0\MsMpEng.exe" | Format-List
Powershell: Get-Service WinDefend | Start-Service -Verbose
CMD: sc.exe start WinDefend
CMD: fltmc
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Запакуйте его в архив и прикрепите к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.
Компьютер будет перезагружен автоматически.

 

[Tr1nity2]

.

 

[Severnyj]

Давайте проверим системные файлы.

Выделите следующий код:

Start::
CMD: DISM.exe /Online /Cleanup-image /Restorehealth
CMD: sfc /scannow
CMD: findstr /c:"[SR]" %windir%\Logs\CBS\CBS.log >"%userprofile%\Desktop\sfcdetails.txt" 
CMD: type "%userprofile%\Desktop\sfcdetails.txt"
CMD: del /q "%userprofile%\Desktop\sfcdetails.txt"
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Запакуйте его в архив и прикрепите к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.
Компьютер будет перезагружен автоматически.

 

[Tr1nity2]

.

 

[Severnyj]

Как я и говорил, дело близится к переустановке системы - возможно Защитник изначально был вырезан сборщиком.

Выделите следующий код:

Start::
CMD: icacls "C:\ProgramData\Microsoft\Windows Defender\Scans" /reset /T /C
CMD: icacls "C:\ProgramData\Microsoft\Windows Defender\Support" /reset /T /C
CMD: icacls "C:\ProgramData\Microsoft\Windows Defender\LocalCopy" /reset /T /C
CMD: "%ProgramFiles%\Windows Defender\MpCmdRun.exe" -RestoreDefaults
CMD: "%ProgramFiles%\Windows Defender\MpCmdRun.exe" -SignatureUpdate
CMD: sc start WinDefend
CMD: sc query WinDefend
CMD: dir "C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.26070.9-0"
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Запакуйте его в архив и прикрепите к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.
Компьютер будет перезагружен автоматически.

 

[Tr1nity2]

.

 

[Severnyj]

Мое заключение - переустановка.

• Скачайте ISO той же редакции Windows 10 (Домашняя/Pro), лучше ту же или новее, что стоит сейчас. Например отсюда
• Подключите ISO-образ и запустите setup.exe из уже установленной Windows.
• Когда спросит, что сохранить, выберите Сохранить личные файлы и приложения.

Можете попытать счастья, создав тему в разделе Windows 10, сославшись на эту тему.

 

[Tr1nity2]

Спасибо большое что уделили время!

 

[Severnyj]

Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите.
Компьютер будет перезагружен автоматически.

Сообщите о результатах переустановки.