Решена Майнер/John или что-то подобное

[TakeFallAppart]

Здравствуйте. win10. В теме очень плаваю, поэтому заранее извиняюсь за некорректности. Люблю попользоваться крякнутым ПО (с помощью KeyGen), видимо словил где-то проблему. Сталкивался с таким уже ранее, пользовался утилитой avbr, но видимо не подчистил хвосты или же наткнулся еще раз.. в данный момент симптомы такие:
1. Файл hosts стал отображаться как hosts.tmp и при попытке его открыть - сразу же закрывается. (видимо там так же прописан блок на сайты к любым антивирусникам).
2. Любой запрос в браузере по поводу hosts , антивирусам, утилите avbr - закрывает браузер.
3. Скачал с другого компа Avbr, перекинул с флешки на свой, пробовал запустить в безопасном режиме от имени Администратора, выдает: "Операция отменена из-за ограничений, действующих на этом компьютере. Обратитесь к системному администратору".
4. Пробовал с загрузочной флешки через Doctor Web Live Disk просканировать систему: с переменным успехом вылечил несколько файлов, но проблему не решило. Через Curiet отправил в карантин файлы с утилиты abvr..(может, поэтому теперь ловлю пункт 3?) Вместе с этим Dr Web Cureit вылетал с ошибкой 1276.
5. Не совсем уверен, что проблема от этого, но все же. Она просто у меня где-то с год, возможно, с того момента, когда уже сталкивался с чем-то подобным. Периодически в компе начинают сильно работать вертушки (буквально на пару секунд), все виснет (курсор мышки, звук, видео) и потом все отвисает и возвращается в исходное состояние.
6. При открытии диспетчера задач в самом начале он показывает нагрузку на процессор в 98%, после нескольких секунд простоя нагрузка нормализуется.
7. Есть ощущение, что работает проц гораздо медленнее чем раньше и не справляется должным образом с нагрузкой.

С чего начать? Заранее спасибо за ответ.

 

[Sandor]

Здравствуйте!

Начните с отчётов по правилам - Правила оформления запроса о помощи

 

[TakeFallAppart]

Не понимаю, как их правильно собрать. Я скачал autologger.exe , отключил все приложения и windows defender. Переместил в удобную папку, запустил от имени администратора. Пявилось меню, где описано 2 пункта - "сейчас начнется выполнение стандартного скрипта AVZ №3...2. Следующим этапом будет перезагрузка и выполнение скрипта №2. Нажимаю ОК. Далее происходит загрузка секунд 5 и у меня просто распаковываются утилиты в соседнюю папку autologger (внутри нее AV, checkBrowserLNK, Hijack, Rsit) , но никакой папки CollectionLog не появялется, перезагрузки о которой предупреждает утилита, тоже не происходит. Что я делаю не так?

 

[Sandor]

Запустите Автологер в безопасном режиме.

 

[TakeFallAppart]

Получилось. Спасибо.

 

[Sandor]

Да, это наш старый знакомый

Скачайте AV block remover. (Ссылка на облако).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).
Как вариант, можно воспользоваться версией со случайным именем.

Если и так не сработает, запускайте из безопасного режима с поддержкой сети.

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером (уже в нормальном режиме).

 

[TakeFallAppart]

Прикрепляю отчет. Логи в нормальном режиме все равно не хочет собирать. Пробовать собирать снова через безопасный?

 

[Sandor]

Потому что AVbr не отработал как следует.
Запускайте его в безопасном режиме с поддержкой сети. Прикрепите новый его лог и пробуйте запустить Автологер.

 

[TakeFallAppart]

Вроде бы все получилось! Огромное спасибо, ожидаю дальнейших указаний.

 

[Sandor]

Хорошо, продолжаем.

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Bonjour

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\windows\system32\unsecapp.exe');
 QuarantineFile('C:\Programdata\ReaItekHD\taskhostw.exe', '');
 QuarantineFile('c:\windows\system32\unsecapp.exe', '');
 DeleteSchedulerTask('Microsoft\Windows\WindowsBackup\OnlogonCheck');
 DeleteSchedulerTask('Microsoft\Windows\WindowsBackup\TaskCheck');
 DeleteFile('C:\Programdata\ReaItekHD\taskhostw.exe', '64');
 DeleteFile('c:\windows\system32\unsecapp.exe', '');
 DeleteFile('C:\Windows\System32\unsecapp.exe', '64');
 DeleteService('Microsoft Framework');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.


Файл CheckBrowserLnk.log
из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.



Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.


Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[TakeFallAppart]

Готово!

 

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
  Task: {7D122027-158B-4A82-9137-A1312E90E8F9} - System32\Tasks\Microsoft\Windows\WindowsBackup\WinlogonCheck => C:\Programdata\ReaItekHD\taskhost.exe (Нет файла) <==== ВНИМАНИЕ
  Task: {CF2DBAF1-422C-4408-BDC9-2DC1C1E48B07} - System32\Tasks\Microsoft\Windows\WindowsBackup\RealtekCheck => C:\Programdata\ReaItekHD\taskhost.exe (Нет файла) <==== ВНИМАНИЕ
  C:\Users\Daniil\AppData\Local\Google\Chrome\User Data\Default\Extensions\laddjijkcfpakbbnnedbhnnciecidncp
  AV: Kaspersky Anti-Virus (Enabled - Up to date) {4F76F112-43EB-40E8-11D8-F7BD1853EA23}
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[TakeFallAppart]

done

 

[TakeFallAppart]

Что-то еще?

 

[Sandor]

Хорошо. Если проблема решена, в завершение:

1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[TakeFallAppart]

Готово. На этом все?

 

[Sandor]

По возможности исправьте:
------------------------------- [ Windows ] -------------------------------
Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
--------------------------- [ OtherUtilities ] ----------------------------
Microsoft Office профессиональный плюс 2019 - ru-ru v.16.0.13001.20266 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office.^
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 19.00 (x64) v.19.00 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
WinRAR 6.01 beta 1 (64-bit) v.6.01.1 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.0.0.309 Внимание! Скачать обновления
Zoom v.5.9.6 (3799) Внимание! Скачать обновления
------------------------------- [ Browser ] -------------------------------
Opera Stable 74.0.3911.203 v.74.0.3911.203 Внимание! Скачать обновления
^Проверьте обновления через меню Обновление и восстановление!^
---------------------------- [ UnwantedApps ] -----------------------------
CCleaner v.6.10 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
MixBox version 1.1.1 v.1.1.1 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner. Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!


Читайте Рекомендации после удаления вредоносного ПО