Решена Как только грузится раб. стол, тут же стартует cmd

  • Автор темы Автор темы RUru
  • Дата начала Дата начала

Переводчик Google
R

RUru

Новый пользователь
Сообщения
8
Реакции
0
Здравствуйте, прошу проверить свою OS на вирусы. У меня подозрения на вирусы, т.к. при запуске windows на рабочем столе стартует cmd и что-то делает.Заранее спасибо.
 
akok

Тема 'Правила оформления запроса о помощи'

FAQ

Как оформить запрос о помощи в разделе лечения?​


Внимание!

Инструкции, подготовленные нашими специалистами, пишутся (составляются) индивидуально для каждого пользователя.
Не производите самостоятельного лечения на основании инструкций, которые подготовлены для другого пользователя, так как это может навредить Вашей операционной системе.
Не принимайте и игнорируйте во время лечения любые рекомендации, полученные вне раздела лечения, а также в личных сообщениях. Если же вы получили такое предложение, отправьте...
  • Like
 
прошу проверить свою OS на вирусы. У меня подозрения на вирусы. логи присутствуют
 

Вложения

Деинсталлируйте следующие программы:

Client Helper 6.1.6
Нажмите для раскрытия...

Если не удаляются стандартным способом, используйте Geek Uninstaller (в том числе "Принудительным удалением" по правой кнопке мыши в списке установленных программ).

2 антивируса = замедление работы и ошибки в работе системы, оставьте только один, второй деинсталлируйте:

Kaspersky Internet Security
Symantec Endpoint Protection
Нажмите для раскрытия...

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.
Выполните скрипт в AVZ (Файл - Выполнить скрипт) (..\AutoLogger\AV\avz.exe):

Код: 
begin
 DeleteFile('C:\Program Files\Client Helper\Client Helper.exe', '64');
 DeleteSchedulerTask('EdgeUpdate');
 DeleteSchedulerTask('EdgeUpdateTaskUser');
 DeleteSchedulerTask('RunGame');
 ClearHostsFile;
ExecuteSysClean;
 ExecuteWizard('TSW', 2, 3, true);
RebootWindows(true);
end.
Компьютер перезагрузится.

Пофиксите в HJT (некоторые строки могут отсутствовать):


Код: 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyServer] = hxxp://127.0.0.1:12334 (disabled)
O1 - Hosts: Reset contents to default
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [PromptOnSecureDesktop] = 0
O7 - Policy: HKLM\Software\Microsoft\Windows Defender: [DisableAntiSpyware] = 1
O7 - Policy: HKLM\Software\Microsoft\Windows Defender: [DisableAntiVirus] = 1
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 0
O7 - Policy: HKLM\Software\Policies\Microsoft\Windows Defender: [DisableAntiSpyware] = 1
O18 - HKLM\Software\Classes\Protocols\Filter\application/octet-stream: [CLSID] = {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - (no file)
O18 - HKLM\Software\Classes\Protocols\Filter\application/x-complus: [CLSID] = {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - (no file)
O18 - HKLM\Software\Classes\Protocols\Filter\application/x-msdownload: [CLSID] = {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - (no file)
O18 - HKLM\Software\Classes\Protocols\Handler\ms-help: [CLSID] = {314111C7-A502-11D2-BBCA-00C04F8EC294} - (no file)
O18 - HKLM\Software\Classes\Protocols\Handler\mso-minsb.16: [CLSID] = {3459B272-CC19-4448-86C9-DDC3B4B2FAD3} - (no file)
O18 - HKLM\Software\Classes\Protocols\Handler\osf.16: [CLSID] = {5504BE45-A83B-4808-900A-3A5C36E7F77A} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\  OverlayExcluded: (no name) - {4433A54A-1AC8-432F-90FC-85F045CF383C} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\  OverlayPending: (no name) - {F17C0B1E-EF8E-4AD4-8E1B-7D7E8CB23225} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\  OverlayProtected: (no name) - {476D0EA3-80F9-48B5-B70B-05E677C9C148} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\  OverlayExcluded: (no name) - {4433A54A-1AC8-432F-90FC-85F045CF383C} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\  OverlayPending: (no name) - {F17C0B1E-EF8E-4AD4-8E1B-7D7E8CB23225} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\  OverlayProtected: (no name) - {476D0EA3-80F9-48B5-B70B-05E677C9C148} - (no file)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\FxSound (empty)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\GoogleSystem\GoogleUpdater (empty)
O22 - Tasks: EdgeUpdate - C:\Windows\system32\cmd.exe /c auditpol /set /category:"Система" /success:enable && auditpol /set /category:"Подробное отслеживание" /subcategory:"Создание процесса" /success:enable (sign: 'Microsoft')
O22 - Tasks: EdgeUpdateTaskUser - C:\Windows\System32\wscript.exe /b "C:\ProgramData\Microsoft\wext.vbs" (sign: 'Microsoft')
O22 - Tasks: RunGame - C:\Program Files\Client Helper\Client Helper.exe /schtask (not signed - GitHub, Inc. - C920302C2EA1BEA6F1F5215384FBAB6BECF0CDE9)
O23 - Service S2: KSDE5.2 - (no file)
O26 - Tools: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MyComputer\DefragPath (default) = (no file)
O26-32 - Office Addin: HKLM\..\NativeShim - (Inquire) -> (no file)


Соберите новый CollectionLog Автологгером в обычном режиме загрузки.
 
  • Like
Реакции: akok
антивирус kis стоит а от SEP только это
2025-02-02_205329.webp
 

Вложения

Ок

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую по разрядности с Вашей операционной системой.

  • Запустите программу. Когда программа запустится, нажмите Yes (Да) для соглашения с предупреждением об отказе от ответственности.
  • Убедитесь, что в разделе Optional Scan (Дополнительное Сканирование) отмечены галочки List BCD (Список BCD) и 90 Days Files (Файлы за 90 дней).
  • Нажмите кнопку Scan (Сканировать).
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Запакуйте отчеты в архив и прикрепите его к своему следующему сообщению.
 
Последнее редактирование:
Отключите до перезагрузки антивирус.
Выделите следующий код:

Код: 
Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
Unlock: C:\FRST\
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
GroupPolicy: Ограничение - Edge <==== ВНИМАНИЕ
GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
2025-02-02 21:14 - 2025-02-02 21:56 - 000116541 _____ C:\Windows\ZAM.krnl.trace
2025-02-02 21:14 - 2025-02-02 21:56 - 000089174 _____ C:\Windows\ZAM_Guard.krnl.trace
2025-01-17 01:20 - 2025-01-17 01:25 - 000009843 _____ C:\Users\StateFarm\ex-list2.json
2025-01-17 01:19 - 2025-02-02 19:12 - 000000000 ____D C:\Users\StateFarm\AppData\Local\clienthelper-updater
2025-01-17 01:19 - 2025-01-17 01:25 - 000000000 ____D C:\Users\StateFarm\AppData\Roaming\ClientHelper
2025-01-17 01:18 - 2025-01-17 01:19 - 000000000 ____D C:\Users\StateFarm\AppData\Roaming\com.gtoppocket.launcher
2025-01-17 00:46 - 2025-01-17 00:46 - 000203680 ____N (Zemana Ltd.) C:\Windows\system32\Drivers\zamguard64.sys
2025-01-17 00:46 - 2025-01-17 00:46 - 000203680 ____N (Zemana Ltd.) C:\Windows\system32\Drivers\zam64.sys
AlternateDataStreams: C:\Windows\system32\Drivers\lconqddp.sys:changelist [1394]
AlternateDataStreams: C:\Windows\system32\Drivers\zagacsga.sys:changelist [826]
AlternateDataStreams: C:\Users\StateFarm\Application Data:d0353b486a0f166ba47ab293d0b1004e [394]
AlternateDataStreams: C:\Users\StateFarm\AppData\Roaming:d0353b486a0f166ba47ab293d0b1004e [394]
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\zam64.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\zamguard64.sys => ""="Driver"
FirewallRules: [{590A8BC9-0F24-482B-901A-09B6CB68D5FE}] => (Allow) LPort=22
FirewallRules: [{33255DFC-67A9-47CB-9C4A-589BA8D01076}] => (Allow) LPort=22
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::
Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.
Компьютер будет перезагружен автоматически.
 
забыл АВ отключить до перезагрузки
 

Вложения

Что с проблемой?
 
всё замечательно,cmd не вылезает! Спасибо ребята. Вы молодцы!
 
Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите.
Компьютер будет перезагружен автоматически.

Подготовьте лог SecurityCheck by glax24:
Скачайте архив, распакуйте в любую папку и запустите.
Дождитесь окончания сканирования, прикрепите лог C:\SecurityCheck\SecurityCheck.txt к своему следующему сообщению.
 
7-Zip 24.08 (x64) v.24.08 Внимание! Скачать обновления

+++

Severnyj

Тема 'Рекомендации после удаления вредоносного ПО'

  1. Удалите инструменты, которые были использованы во время лечения:​

  2. Создайте новую точку восстановления и удалите старые точки.​

    1. Нажмите Пуск – Программы – Стандартные – Служебные – Восстановление системы. Выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать
    2. Нажмите Пуск - Программы – Стандартные –...
  • Like
 
Удачи!
 
Войдите или зарегистрируйтесь для ответа.
Назад
Сверху Снизу