Решена Недавно загрузил ПО, возникли проблемы с вирусом

[prozcrayz]

Нет, у меня даже аккаунта там не было. Сейчас зарегистрировался, проверил, все отключено

Случаем вам api не подключили

 

[akok]

У меня пока закончились варианты

 

[Sandor]

@prozcrayz, попробуйте создать другую локальную учётную запись Windows и понаблюдайте там.

 

[prozcrayz]

Имеете в виду зайти на аккаунт ВК и Стим на новой учетной записи?

понаблюдайте там.

 

[Sandor]

Да, именно так.

 

[prozcrayz]

Все сделал, на этой учетной записи вышел из аккаунтов

 

[Sandor]

Войдите и сообщите будут ли проявляться те же проблемы.

 

[prozcrayz]

Здравствуйте, никаких чатов и фейк-ссылок больше не было. Если раньше добавляли каждый день по несколько чатов, то сейчас ни одного, я думаю по этому поводу успех. Посмотрел в интернете по поводу центра обновления Windows, делал все как показывали, но при попытке изменить разрешения для админа мне отказывается в доступе

 

[Sandor]

никаких чатов и фейк-ссылок больше не было

Хорошо, значит перенесите нужные данные из прежнего профиля (Рабочий стол, Документы, Загрузки и т.п.), после чего старый профиль можно удалить.

Посмотрел в интернете по поводу центра обновления Windows, делал все как показывали

Уточните, что именно сейчас не работает?
Для верности соберите новые логи FRST.txt и Addition.txt

 

[prozcrayz]

Уточните, что именно сейчас не работает?

В редакторе реестра по этому пути "Компьютер\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv", когда нажимаешь на wuauserv ПКМ и хочешь добавить в права администратора полный доступ отказывает в доступе

По крайней мере так говорят в интернете

перенесите нужные данные

Перенести возможно только через флешку?

 

[prozcrayz]

никаких чатов

А нет, стоило сказать и опять добавили в чат

 

[Sandor]

хочешь добавить в права администратора полный доступ отказывает в доступе

Я правильно понимаю, что вы пытаетесь включить неработающее обновление системы?

 

[prozcrayz]

Да, если это возможно конечно

 

[Sandor]

опять добавили в чат

Тут других вариантов нет, кроме как выйти из аккаунта на всех устройствах. Зайти и сменить пароль на сложный. Где возможно использовать 2FA.

если это возможно конечно

Можем попробовать. Но сложность в том, что ранее были использованы некие твики как раз для отключения (вот фрагмент лога):

Tasks\Disable Update Center => %ComSpec% -> %SystemRoot%\Control_OSServices\UpdateCenter

Сейчас дам скрипт.

 

[prozcrayz]

Тут других вариантов нет

А если вторую учетную запись сделать основной, а эту удалить?

 

[Sandor]

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

gt-launcher 5.2.2
Web Components
WindowsWord 2020.10

Видны несколько VPN программ. При необходимости оставьте одну, остальные деинсталлируйте.



Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  File: C:\Program Files (x86)\RAIDXpert2\rcpopup.exe
  HKU\S-1-5-21-2807580563-1285779368-1930336120-1000\...\Policies\Explorer: [HideSCAHealth] 1
  HKU\S-1-5-21-2807580563-1285779368-1930336120-1002\...\Policies\Explorer: [HideSCAHealth] 1
  Task: {DCD74AD8-0FE7-401D-BD1F-BBCA47E0D78E} - System32\Tasks\Disable Update Center => %ComSpec%  -> %SystemRoot%\Control_OSServices\UpdateCenter\/C IF /I "%PROCESSOR_ARCHITECTURE%"=="x86" (%SystemRoot%\Control_OSServices\UpdateCenter\Wub.exe /D /P) ELSE (%SystemRoot%\Control_OSServices\UpdateCenter\Wub_x64.exe /D /P)
  HKU\S-1-5-21-2807580563-1285779368-1930336120-1002\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  C:\Users\User\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\eojdchmehigfpbbadpljjfjgnfmcifkn
  C:\Users\User\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\hjfhbdephncmhdmomijibpmfiodgjkmm
  CHR HKU\S-1-5-21-2807580563-1285779368-1930336120-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh]
  C:\Users\User\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\hkbgkpjfmcdmgoncmdhammecdcmcflko
  AlternateDataStreams: C:\Users\Public\desktop.ini:WinDeviceId [130]
  startbatch:
  del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
  del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Code Cache\Js\*.*"
  del /s /q "%userprofile%\AppData\Local\Microsoft\Edge\User Data\Default\Cache\*.*"
  del /s /q "%userprofile%\AppData\Local\Microsoft\Edge\User Data\Default\Code Cache\Js\*.*"
  endbatch:
  StartRegedit:
  Windows Registry Editor Version 5.00
  
  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wuauserv]
  "PreshutdownTimeout"=dword:036ee800
  "DisplayName"="@%systemroot%\\system32\\wuaueng.dll,-105"
  "ErrorControl"=dword:00000001
  "ImagePath"=hex(2):25,00,73,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\
    74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,\
    00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,\
    6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00
  "Start"=dword:00000003
  "Type"=dword:00000020
  "Description"="@%systemroot%\\system32\\wuaueng.dll,-106"
  "DependOnService"=hex(7):72,00,70,00,63,00,73,00,73,00,00,00,00,00
  "ObjectName"="LocalSystem"
  "ServiceSidType"=dword:00000001
  "RequiredPrivileges"=hex(7):53,00,65,00,41,00,75,00,64,00,69,00,74,00,50,00,72,\
    00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,00,43,00,72,00,\
    65,00,61,00,74,00,65,00,47,00,6c,00,6f,00,62,00,61,00,6c,00,50,00,72,00,69,\
    00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,00,43,00,72,00,65,00,\
    61,00,74,00,65,00,50,00,61,00,67,00,65,00,46,00,69,00,6c,00,65,00,50,00,72,\
    00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,00,54,00,63,00,\
    62,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,53,00,65,\
    00,41,00,73,00,73,00,69,00,67,00,6e,00,50,00,72,00,69,00,6d,00,61,00,72,00,\
    79,00,54,00,6f,00,6b,00,65,00,6e,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,\
    00,67,00,65,00,00,00,53,00,65,00,49,00,6d,00,70,00,65,00,72,00,73,00,6f,00,\
    6e,00,61,00,74,00,65,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,\
    00,00,00,53,00,65,00,49,00,6e,00,63,00,72,00,65,00,61,00,73,00,65,00,51,00,\
    75,00,6f,00,74,00,61,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,\
    00,00,00,53,00,65,00,53,00,68,00,75,00,74,00,64,00,6f,00,77,00,6e,00,50,00,\
    72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00,00,00,00,00
  "FailureActions"=hex:80,51,01,00,00,00,00,00,00,00,00,00,03,00,00,00,14,00,00,\
    00,01,00,00,00,60,ea,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00
  
  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wuauserv\Parameters]
  "ServiceDll"=hex(2):25,00,73,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,\
    00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\
    77,00,75,00,61,00,75,00,65,00,6e,00,67,00,2e,00,64,00,6c,00,6c,00,00,00
  "ServiceDllUnloadOnStop"=dword:00000001
  "ServiceMain"="WUServiceMain"
  
  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wuauserv\Security]
  "Security"=hex:01,00,14,80,78,00,00,00,84,00,00,00,14,00,00,00,30,00,00,00,02,\
    00,1c,00,01,00,00,00,02,80,14,00,ff,00,0f,00,01,01,00,00,00,00,00,01,00,00,\
    00,00,02,00,48,00,03,00,00,00,00,00,14,00,9d,00,02,00,01,01,00,00,00,00,00,\
    05,0b,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,\
    20,02,00,00,00,00,14,00,ff,01,0f,00,01,01,00,00,00,00,00,05,12,00,00,00,01,\
    01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00
  
  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wuauserv\TriggerInfo]
  
  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wuauserv\TriggerInfo\0]
  "Type"=dword:00000005
  "Action"=dword:00000001
  "Guid"=hex:e6,ca,9f,65,db,5b,a9,4d,b1,ff,ca,2a,17,8d,46,e0
  
  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wuauserv\TriggerInfo\1]
  "Type"=dword:00000005
  "Action"=dword:00000001
  "Guid"=hex:c8,46,fb,54,89,f0,4c,46,b1,fd,59,d1,b6,2c,3b,50
  EndRegedit:
  StartBatch:
  net stop wuauserv
  net start wuauserv
  Endbatch:
  StartPowershell:
  Set-MpPreference -DisableAutoExclusions $true -Force
  set-mppreference -mapsreporting basic -Force
  set-mppreference -DisableRealtimeMonitoring $false -Force
  set-mppreference -DisablePrivacyMode $true -Force
  set-mppreference -DisableIOAVProtection $false -Force
  set-mppreference -CheckForSignaturesBeforeRunningScan $true -Force
  set-mppreference -PUAProtection enabled -Force
  Update-MpSignature
  Get-MpComputerStatus
  get-mppreference
  EndPowershell:
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора (если уже его закрыли).
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[prozcrayz]

Программы удалил

 

[Sandor]

С исправлением обновления системы может помочь переустановка с сохранением данных. Впрочем, если это у вас г-сборка, может и не сработать.

А если вторую учетную запись сделать основной, а эту удалить?

Как я понял из ваших предыдущих ответов - во вновь созданном профиле (учётной записи системы) проблема тоже проявилась. Значит не в профиле дело.

 

[prozcrayz]

Все скачал и перезагрузил, все обновилось и все супер)

 

[Sandor]

Отлично!

Malwarebytes можете деинсталлировать.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

В заключение:

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.