Решена WindowsDriver.exe

[Fury]

Доброго времени суток! Сегодня при запуске компа обнаружил некий WINDOWSDRIVER.exe. Посмотрел через Anvir и понял что это майнер, теперь никак не могу удалить. Что подскажите?

 

[akok]

Какой-то старый лог прикрепили? 2018 год и старая версия AVZ

Нужен лог свежего автологера.

Правила оформления запроса о помощи

FAQ Как оформить запрос о помощи в разделе лечения? Внимание! Инструкции, подготовленные нашими специалистами, пишутся (составляются) индивидуально для каждого пользователя. Не производите самостоятельного лечения на основании инструкций, которые подготовлены для другого пользователя, так как...

www.safezone.cc

 

[Fury]

Нет, только что запустил, логи свежие Свойства папки Collections(Дата)

 

[akok]

А прикрепили к теме лог от 2018 ))

 

[Fury]

Хех, странно вышло. А если так

 

[Sandor]

Дополнительно, пожалуйста:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[Fury]

Выполнил сканирование

 

[Sandor]

Лог FRST.txt получился неполный.
Переделайте, пожалуйста, предварительно отключив защитное ПО и по максимуму закрыв другие программы.

 

[Fury]

Закрыл почти всё что можно было

 

[Sandor]

Да, теперь полный.

при запуске компа обнаружил некий WINDOWSDRIVER.exe

В какой папке и какой программой вы его обнаруживаете? Покажите скриншотом.

 

[Fury]

Всегда находится в папке temp где создаёт себе папку по типу ra70g9lqf4v и создаёт файл tasks.temp %temp%

 

[Sandor]

Скачайте AutorunsVTchecker. Распакуйте и запустите. Не дожидаясь окончания сканирования,

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.​
4. Дождитесь окончания работы программы и прикрепите лог к сообщению в теме.

Подробнее читайте в руководстве Как подготовить лог UVS.

 

[Fury]

Выполнил сканирование

 

[Sandor]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v4.12 [http://dsrt.dyndns.org:8888]
   ;Target OS: NTv10.0
   v400c
   OFFSGNSAVE
   zoo %SystemDrive%\USERS\USER\APPDATA\LOCAL\TEMP\IOYCSDZ4O4QD\WINDOWSDRIVER.EXE
   addsgn 9A1EE627A2820AA007D4EDDACD3AB3767CC8A3438A36606958D3B0C3FA87C90B892B1D00FA1393E759C031334A729C855DAA8E0C1F84E33F304793DDB75F6A44 8 RiskTool.Win32.BitCMiner.gen [Kasp] 7
   
   chklst
   delvir
   
   regt 39
   deltmp
   czoo
   restart

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер будет перезагружен.

Подробнее читайте в этом руководстве.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его к своему сообщению.

Соберите ещё раз образ автозапуска uVS и тоже прикрепите к следующему сообщению.

 

[Fury]

Вот сам лог

 

[Sandor]

Спасибо, ждём повторный образ автозапуска.

 

[Fury]

И вот образ автозапуска

 

[Sandor]

Некоторое время подождите.

 

[Sandor]

Выполните, пожалуйста, такой скрипт

;uVS v4.12 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
zoo %SystemDrive%\PROGRAM FILES\WINDOWS NT\RUNTIMESERVICE\WINDOWSSECURITY.EXE
czoo

В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы.

После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)

Если архив отсутствует, то заархивруйте папку ZOO с паролем malware.​

Полученный архив отправьте на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

[Fury]

Письмо отправил на почту