Решена Вирус Taskhostw.exe не стёрся бесследно, помогите

[TosTeR]

Обнаружил у себя на компьютере вирус-майнер (грузился комп, закрывались некоторые вкладки), с помощью гайда от доброго человека смог его найти и почистить через AVbr, но походу остались следы и не получается установить антивирус. Что делать с этой бедой?

 

[Sandor]

Здравствуйте!

почистить через AVbr

Его отчёт AV_block_remove_дата-время.log прикрепите к следующему сообщению.

"Пофиксите" в HijackThis только следующие строки:

O7 - AutoLogon: HKLM\..\Winlogon: DESKTOP-P832DBB\Dimon
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 4
O22 - Tasks: \Microsoft\Windows\WindowsBackup\DataRecovery - C:\Programdata\ReaItekHD\taskhostw.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\OnlogonCheck - C:\Programdata\ReaItekHD\taskhostw.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\RecoveryData - C:\Programdata\ReaItekHD\taskhost.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\WinlogonCheck - C:\Programdata\ReaItekHD\taskhost.exe (file missing)
O22 - Tasks: \Microsoft\WindowsUpdate\GlobalData - C:\Windows\SysWOW64\unsecapp.exe (file missing)

Перезагрузите компьютер.

 

[Sandor]

не получается установить антивирус

Какой именно антивирус?

 

[TosTeR]

Касперский фри хотел установить.

 

[Sandor]

Его отчёт AV_block_remove_дата-время.log прикрепите к следующему сообщению.

Есть такой?

 

[TosTeR]

Есть только блокнот
Ещё может не по теме - но после того, как пофиксил строки, появился вход по паролю или пин-коду. Как это отменить?

 

[Sandor]

Как это отменить?

Пуск - Параметры - Учетные записи - Параметры входа.
Если не получится, сообщите, попробуем по-другому.

AVbr не отработал как следует. Скачайте его ещё раз и запустите в безопасном режиме с поддержкой сети.
Новый его отчёт прикрепите.

 

[TosTeR]

Есть несколько странностей:
1. Во время перехода в безопасный режим с сетью (и когда прошлый раз в минимальный заходил - тоже было) высвечивается сообщение "не удалось завершить обновления. Отмена изменений"
2. Не до конца понял как вырубить майкрософт дефендр - он начал ругаться на АVR - нужно ли добавить АVR в исключения?
3. Все равно компьютер запришвает пин-код или пароль

 

[Sandor]

Пуск - Параметры - Учетные записи - Параметры входа

Покажите скриншот этой страницы параметров, пожалуйста.

И уточните - на эту вашу учётную запись задан пароль или нет?
Это единственная активная учётная запись?

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[TosTeR]

Как-то так

 

[Sandor]

И уточните - на эту вашу учётную запись задан пароль или нет?
Это единственная активная учётная запись?

Ответьте, пожалуйста.

Отключить "Windows Hello" пробовали?

 

[TosTeR]

Да, пароль задан. Учетная запись одна.
Hello был сперва отключен, я его включил, потому что на сайте Windows было сказано, что это может помочь отключить пароль... обман)

 

[Sandor]

Да, пароль задан

Попробуйте его убрать и проверьте, будет ли заходить в систему без запроса.


По логам:

Режим загрузки: Safe Mode (with Networking)

Уже не нужен безопасный режим. Переделайте логи из нормального режима.

 

[TosTeR]

Так а как его убрать? В этом то и весь вопрос

 

[Sandor]

Нажмите одновременно три клавиши
Ctrl+Alt+Delete

В появившемся меню выберите "Изменить пароль". Введите текущий, а поля нового пароля оставьте пустыми.

 

[TosTeR]

"Изменить пароль"

Такого варианта нету: только смена пользователя, диспетчер задач, заблокировать и выйти..
Снизу справа тоже ничего - только доступ к сети, выключение и специальные возможности

 

[Sandor]

Значит действуйте так:
Пуск - введите cmd - Запустить командную строку от имени администратора
В появившемся окне введите

compmgmt.msc

На своей учётной записи щёлкните правой кнопкой мыши - Задать пароль...
Оба поля оставьте пустыми.
Перезагрузите компьютер и проверьте.

Далее:
Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKU\S-1-5-21-1608226049-158793643-1182789464-1001\...\Run: [MicrosoftEdgeAutoLaunch_19D913F2CA730E3D532AF99025E17A15] => "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" --no-startup-window --win-session-start /prefetch:5 [4152224 2023-05-05] (Microsoft Corporation -> Microsoft Corporation)
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  2023-05-05 00:17 - 2023-05-05 00:17 - 000000000 __SHD C:\Users\Dimon\Downloads\AV_block_remover
  2023-05-05 00:17 - 2023-05-05 00:17 - 000000000 __SHD C:\Users\Dimon\Desktop\AV_block_remover
  2023-05-05 00:17 - 2023-05-05 00:17 - 000000000 __SHD C:\Program Files\HitmanPro
  cmd: del /s /q "%userprofile%\AppData\Local\Microsoft\Edge\User Data\Default\Cache\*.*"
  cmd: del /s /q "%userprofile%\AppData\Local\Yandex\YandexBrowser\User Data\Default\Cache\*.*"
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[TosTeR]

очередной прикол..

 

[Sandor]

Выполните скрипт из предыдущего сообщения и после перезагрузки пробуйте ещё раз.
Если не получится, пробуйте это же выполнить в безопасном режиме.

 

[TosTeR]

Безрезультатно. И в безопасном режиме выдаёт ту же ошибку.
Вот лог от FRST