Решена Вирус(майнер) нагружает процессор на 100%

[NazarS]

Обнаружил то, что ноутбук стал сильно шуметь. Зашёл в диспетчер задачи изначально пишет 90-100%, потом резко падает. Смотрел видео, скачал DR web cureit, просканировал удалил, перезапустил ноут, таже проблема, снова просканирывал и снова нашлись те трояны. Воспользовался програмой Zenama AntiMalware нашел троян в ауидо драйвере( я так понял). Проблема всё равно таже, закрывается сайт ДР Веб, через пару минут закрывается Диспетчер задач, так же перестала открываться програма Armoury Crate от АСУС.

 

[NazarS]

Логи ниже

 

[NazarS]

Вот! Логи

 

[NazarS]

 

[NazarS]

Вот ещё нашло

 

[NazarS]

Так же при запуске Avbr.exe пишет это(менял название так как с названием Avbr.exe требовала доступ администратора)

 

[akok]

1. Создайте подпапку для утилиты
2. Переименуйте файл утилиты.

 

[NazarS]

1. Создайте подпапку для утилиты
2. Переименуйте файл утилиты.

 

[NazarS]

Так же предложила удалить пользователя Джон, я удалил

 

[NazarS]

1. Создайте подпапку для утилиты
2. Переименуйте файл утилиты.

Только что ноут перезагрузился, вроде бы всё ок, но я бы лучше проверил всё до конца

 

[NazarS]

Теперь программа от Асуса спокойно запускается

 

[akok]

Теперь соберите свежий комплект стартовых логов, посмотрим, что из остатков осталось.

 

[NazarS]

Теперь соберите свежий комплект стартовых логов, посмотрим, что из остатков осталось.

 

[NazarS]

Теперь соберите свежий комплект стартовых логов, посмотрим, что из остатков осталось.

 

[Sandor]

Не надо каждый раз цитировать сообщения. Для быстрого ответа есть специальное поле внизу.

Деинсталлируйте нежелательное (и по сути бесполезное) ПО

Unchecky v1.2

"Пофиксите" в HijackThis:

O1 - Hosts: Reset contents to default
O4 - HKLM\..\StartupApproved\Run32: [TeamsMachineInstaller] = C:\Program Files\Teams Installer\Teams.exe --checkInstall --source=PROPLUS (file missing) (2023/06/16)
O7 - Policy: HKCU\..\Windows\Explorer: [DisableNotificationCenter ] = 1
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 4
O22 - Tasks: (damaged) AsusSystemAnalysis_754F3273-0563-4F20-B12F-826510B07474 - C:\Windows\System32\DriverStore\FileRepository\asussci2.inf_amd64_7a3a8aa248377da4\ASUSSystemAnalysis\AsusSystemAnalysis.exe -j0 (user missing)
O22 - Tasks: \Microsoft\Windows\Wininet\1Hour - C:\Programdata\Setup\Game.exe -ppidar (file missing)
O22 - Tasks: \Microsoft\Windows\Wininet\OnReboot - C:\Programdata\Setup\Game.exe -ppidar (file missing)
O22 - Tasks: \Microsoft\Windows\SMB\UninstallSMB1ClientTask - C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe -ExecutionPolicy Unrestricted -NonInteractive -NoProfile -WindowStyle Hidden "& C:\Windows\system32\WindowsPowerShell\v1.0\Modules\SmbShare\DisableUnusedSmb1.ps1 -Scenario Client"
O22 - Tasks: \Microsoft\Windows\SMB\UninstallSMB1ServerTask - C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe -ExecutionPolicy Unrestricted -NonInteractive -NoProfile -WindowStyle Hidden "& C:\Windows\system32\WindowsPowerShell\v1.0\Modules\SmbShare\DisableUnusedSmb1.ps1 -Scenario Server"

Перезагрузите компьютер.

Проверьте, если защита от подделки включена, то включите вручную: Как включить/отключить защиту от подделки в Microsoft Defender: пошаговое руководство

Дополнительно:

Пополните, пожалуйста, базу безопасных файлов антивирусной утилиты AVZ:

1. Запустите AVZ.
2. Запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины).
3. В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт №8 ("VirusInfo.Info: Скрипт сбора файлов для экспресс-анализа ПК") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке с AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_auto_<имя_ПК>.zip
4. Закачайте полученный архив, как описано на этой странице.
5. Если размер архива превышает 250 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: Яндекс.Диск, Zippyshare, My-Files.SU, MediaFire, Files.FM, MixDrop или karelia.ru - этот последний не желательно, он урезает скорость) и укажите ссылку на скачивание в своём следующем сообщении.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[NazarS]

virusinfo_auto_DESKTOP-SFG97CN

MediaFire is a simple to use free service that lets you put all your photos, documents, music, and video in a single place so you can access them anywhere and share them everywhere.

www.mediafire.com

 

[Sandor]

Что сейчас с проблемой?

 

[NazarS]

Что сейчас с проблемой?

Отсутсвует

 

[akok]

Тогда завершаем
Подготовьте лог лог SecurityCheck by glax24

Чтобы автоматически удалить все файлы и папки, созданные FRST, в том числе сам инструмент, переименуйте FRST/FRST64.exe в uninstall.exe и запустите его. Процедура требует перезагрузки