Решена Майнер John taskhostw

Переводчик Google
Статус
В этой теме нельзя размещать новые ответы.
nxlame

nxlame

Новый пользователь
Сообщения
10
Реакции
0
Стандартные симптомы: вылет диспетчера задач спустя минуту простоя, блокировка сайтов антивирусов, закрытие браузеров, 100% нагрузка системы в простое и тд.
Делал все по инструкции, логи прикрепляю
 

Вложения

AV_block_remove_2023.11.01-20.52.log - вот этот лог покажите.

Диск D:\ это у вас что? Файл
Код: 
D:\autorun.inf
вам знаком? Если да, то не надо фиксить строчку с ним.
Профиксите в HijackThis
Код: 
O4 - Autorun.inf: D:\autorun.inf - open - AutoRun\AutoRunX\AutoRunX.exe (file missing)
O4 - HKCU\..\StartupApproved\Run: [AltServer] = C:\Program Files (x86)\AltServer\AltServer.exe (file missing) (2023/09/07)
O4 - HKCU\..\StartupApproved\Run: [Fluxus] = C:\Users\Иго\AppData\Roaming\Fluxus\Fluxus Executor.exe (file missing) (2023/10/29)
O4 - HKCU\..\StartupApproved\Run: [iCloudServices] = C:\Program Files (x86)\Common Files\Apple\Internet Services\iCloudServices.exe (file missing) (2023/09/07)
O4 - HKCU\..\StartupApproved\Run: [Sideloadly Daemon] = C:\Users\Иго\AppData\Local\Sideloadly\sideloadlydaemon.exe (file missing) (2023/09/07)
O4 - HKCU\..\StartupApproved\Run: [Иго] = C:\Windows\system32\cmd.exe /c start www.exinariuminix.info (2023/11/01) (sign: 'Microsoft')
O4 - HKLM\..\Run: [Realtek HD Audio] = C:\ProgramData\ReaItekHD\taskhostw.exe (file missing)
O7 - Policy: HKCU\..\Windows\Explorer: [DisableNotificationCenter ] = 1
O22 - Tasks: (disabled) IUM-F1E24CA0-B63E-4F13-A9E3-4ADE3BFF3473 - C:\Program Files (x86)\Intel\Intel(R) Update Manager\bin\iumsvc.exe --automatic (file missing)
O22 - Tasks: (disabled) Иго - C:\Windows\system32\cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v Иго /t REG_SZ /d "cmd.exe /c start www.exinariuminix.info" (sign: 'Microsoft')
O22 - Tasks: \Microsoft\Windows\CreedMobeQ\RecoveryHosts - C:\ProgramData\Microsoft\Windows\3jSUZ2i24oblf8W\CreedMobeQ.bat (file missing)

Код: 
SearcherBar [2023/05/15 01:40:58]-->"C:\SearcherBar\uninstall.exe"
Кнопки сервисов Яндекса на панели задач [2023/05/15 04:03:29]-->C:\Users\Иго\AppData\Local\Yandex\YaPin\YandexWorking.exe --uninstall
пользуетесь? Если нет, то советую деинсталировать.

Соберите свежие логи Автологером.
 
файлы которые вы спрашивали мне знакомы поэтому трогать не стал
 
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 
Дополнительно деинсталлируйте
Bonjour
Нажмите для раскрытия...
Идёт в комплекте с iTunes, но на Windows системах не нужна. Разве только для AppleTV.

Также деинсталлируйте нежелательное ПО:
Driver Easy 5.8.1
DriverPack
SearcherBar
Нажмите для раскрытия...

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код: 
    Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
Folder: C:\ProgramData\princeton-produce
2023-10-30 23:09 - 2023-10-30 23:09 - 000000000 __SHD C:\ProgramData\princeton-produce
2023-10-30 23:08 - 2023-10-30 23:08 - 000037376 _____ (Microsoft Corporation) C:\Windows\system32\rfxvmt.dll
FirewallRules: [{87E28E8C-F913-4834-90B5-56681156CB9D}] => (Allow) C:\Program Files (x86)\DriverPack\tools\aria2c.exe () [Файл не подписан]
FirewallRules: [{D8DA83FD-0F99-4C18-B46D-B681E7647389}] => (Allow) C:\Users\Иго\AppData\Roaming\DRPSu\Alice\cloud.exe (DriverPack Solution) [Файл не подписан]
FirewallRules: [{1FD1162B-5B36-4ED0-9EC8-F645B5AAB08E}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
FirewallRules: [{B41216DD-8AD1-4DA6-8943-FF5576ED18EE}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
FirewallRules: [{A7C9B541-8239-4733-93C0-7DA77F5E2AB5}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
FirewallRules: [{1DA20F90-A499-4859-98F5-D16E77F36264}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
FirewallRules: [{F0068610-734C-465F-8647-44AD3137CAA4}] => (Allow) LPort=80
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 
Хорошо. Ещё один небольшой скрипт выполните в безопасном режиме.

  • Выделите следующий код:
    Код: 
    Start::
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\ReaItekHD\taskhostw.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\Windows\SysWow64\unsecapp.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\AMD.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\audiodg.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\AppModule.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\ReaItekHD\taskhost.exe
DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\Program Files\RDP Wrapper
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
 
с безопасного режима
 

Вложения

Скрипт отработал успешно. Подведём итог - проблема решена?
 
Симптомы пропали еще после первого запуска AVBR но оставались следы майнера. Сейчас их нет и ПК работает стабильно. Думаю проблема решена. Спасибо
 
Отлично, значит завершаем:
1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.
  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
 
Исправьте по возможности:
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 6.21 (64-разрядная) v.6.21.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9013 Внимание! Скачать обновления
Telegram Desktop v.4.8.3 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.6.0.46904 Внимание! Клиент сети P2P с рекламным модулем!.
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 51 (64-bit) v.8.0.510 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u381-windows-x64.exe - Windows Offline (64-bit))^
---------------------------- [ UnwantedApps ] -----------------------------
Chrone Browser v.86.0.4240.198 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция.


Читайте Рекомендации после удаления вредоносного ПО
 
решил перепроверить наличие следов майнера и в диспетчере задач обнаружил работу файла taskhostw.exe
 

Вложения

  • scr.webp
    scr.webp
    102.7 KB · Просмотры: 50
Это нормальный системный процесс, который и находится "там где нужно" :)
Майнер под него маскировался.
 
все понял спасибо ещё раз
 
Статус
В этой теме нельзя размещать новые ответы.
Назад
Сверху Снизу