Решена Вирус taskhostw

[Mengi]

Здравствуйте. Я хотел скачать старенькую игру с торрент сайта, но заметил, что игра безбожно лагает и удалил. После чего я потом наткнулся на то, что система сама начала тормозить; открыл диспетчер задач и увидел в автозагрузке Realtek HD Audio, которую ранее я не встречал, хотел открыть расположение файла, а оно закрылось вместе с диспетчером задач. Тут я и понял, что это вирус. Поэтому и обращаюсь с этой проблемой к вам.

P.S. Я пишу через телефон, так как на компе открывая этот сайт браузер закрывается, и так каждый раз. Помогите с этим тоже, пожалуйста. Иначе прикреплять файлы будет тяжко.

 

[akok]

Скачайте, распакуйте и запустите (от имени администратора) AV block remover.
По окончании всех процедур произойдет перезагрузка системы. Прикрепите созданный утилитой лог AV_block_remove.log к следующему сообщению.

Если не запускается, то переименуйте ее (например в AV_b_r.exe) или воспользуйтесь версией с случайным именем файла

После работы утилиты должно запустить нормально на форум.

 

[Mengi]

Скачайте, распакуйте и запустите (от имени администратора) AV block remover.
По окончании всех процедур произойдет перезагрузка системы. Прикрепите созданный утилитой лог AV_block_remove.log к следующему сообщению.

Если не запускается, то переименуйте ее (например в AV_b_r.exe) или воспользуйтесь версией с случайным именем файла

После работы утилиты должно запустить нормально на форум.

Скачал, распоковал, запустил, но ничего не изменилось, появилась папка, в которой имеется taskhostw.exe и delminer.txt, перезагрузки не было: всё также заходя на форум браузер закрывается. Решил сам перезапустить, но безуспешно, всё так же. Возможно нужно просто было подождать, я не знаю.

К сведению, я уже использовал утилиту эту, когда гуглил про этот вирус, выдал форум с другим сайтом, где была прикреплена эта же программа, но только с зеркалки и я смог скачать прогу. Потом распоковав утилиту, я попытался запустить прогу, но не смог, в интернете нашёл способ, где нужно через regedit сделать следующие действия: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun и удалить всё, что там имеется. После этого процесса утилита запустилась. Ну а дальше ничего не было, думал что всё, проблема решена, но оказалось что нет. Не всё так просто как показалось. Я это всё к сведению, на случай, если это как-то влияет на что-то.

 

[regist]

Загрузите систему в безопасном режиме с поддержкой сети и оттуда запустите эту утилиту. А дальше по инструкции выше.

 

[regist]

И вот перезалил актуальную версию AVbr.zip

 

[Mengi]

Получилось! Прикрепляю файл.

 

[akok]

А вот теперь собирайте логи, будем добивать оставшееся.

Правила оформления запроса о помощи

FAQ Как оформить запрос о помощи в разделе лечения? Внимание! Инструкции, подготовленные нашими специалистами, пишутся (составляются) индивидуально для каждого пользователя. Не производите самостоятельного лечения на основании инструкций, которые подготовлены для другого пользователя, так как...

www.safezone.cc

 

[Mengi]

Вот

 

[regist]

+ Просьба удалите скачанный раньше AVbr, скачайте свежую версию AV block remover (AVbr) (я её только что обновил), пролечитесь ещё раз ею и прикрепите свежий лог.

 

[Mengi]

Вот

 

[regist]

Профиксите в HijackThis

O4 - HKCU\..\StartupApproved\Run: [AMDNoiseSuppression] = C:\WINDOWS\system32\AMD\ANR\AMDNoiseSuppression.exe (file missing) (2022/07/29)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\OnlogonCheck - C:\Programdata\RealtekHD\taskhostw.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\RealtekCheck - C:\Programdata\RealtekHD\taskhost.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\TaskCheck - C:\Programdata\RealtekHD\taskhostw.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\WinlogonCheck - C:\Programdata\RealtekHD\taskhost.exe (file missing)
O22 - Tasks_Migrated: \Microsoft\Windows\Diagnosis\RecommendedTroubleshootingScanner - C:\WINDOWS\system32\mitigationscanner.exe (file missing)
O22 - Tasks_Migrated: \Microsoft\Windows\Windows Defender\Windows Defender Cache Maintenance - C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2201.10-0\MpCmdRun.exe -IdleTask -TaskName WdCacheMaintenance (file missing)
O22 - Tasks_Migrated: \Microsoft\Windows\Windows Defender\Windows Defender Cleanup - C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2201.10-0\MpCmdRun.exe -IdleTask -TaskName WdCleanup (file missing)
O22 - Tasks_Migrated: \Microsoft\Windows\Windows Defender\Windows Defender Scheduled Scan - C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2201.10-0\MpCmdRun.exe Scan -ScheduleJob -ScanTrigger 55 -IdleScheduledJob (file missing)
O22 - Tasks_Migrated: \Microsoft\Windows\Windows Defender\Windows Defender Verification - C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2201.10-0\MpCmdRun.exe -IdleTask -TaskName WdVerification (file missing)
O22 - Tasks_Migrated: OneDrive Reporting Task-S-1-5-21-394388557-3399541296-669558581-1001 - C:\Users\monoh\AppData\Local\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe /reporting (file missing)
O22 - Tasks_Migrated: OneDrive Standalone Update Task-S-1-5-21-394388557-3399541296-669558581-1001 - C:\Users\monoh\AppData\Local\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe (file missing)

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[Mengi]

Сделано

 

[Sandor]

С вашего позволения, продолжу я )

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-394388557-3399541296-669558581-1001\...\MountPoints2: {0e560e0d-8efe-11ec-8a95-a8a1591430a2} - "D:\HiSuiteDownLoader.exe" 
  cmd: ECHO Y|CHKDSK C: /F
  cmd: DISM.exe /Online /Cleanup-image /Restorehealth
  cmd: sfc /scannow
  cmd: winmgmt /salvagerepository
  cmd: winmgmt /verifyrepository
  cmd: "%WINDIR%\SYSTEM32\lodctr.exe" /R
  cmd: "%WINDIR%\SysWOW64\lodctr.exe" /R
  cmd: "%WINDIR%\SYSTEM32\lodctr.exe" /R
  cmd: "%WINDIR%\SysWOW64\lodctr.exe" /R
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[Mengi]

Так

 

[Sandor]

Два лишних исключения Защитника попробуйте удалить самостоятельно.

 

[Mengi]

Сделано

 

[Sandor]

Хорошо. Проблема решена?

 

[Mengi]

Полагаю, что да. Этого вируса уже нет в диспетчере задач и система теперь работает куда лучше

 

[Sandor]

Отлично. Кроме удаления майнера

Программа защиты ресурсов Windows обнаружила поврежденные файлы и успешно их восстановила.

В завершение:

1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[Mengi]

вот