Обсуждение завершено Подозрение на неизвестное вредоносное ПО

MONARX

MONARX

Новый пользователь
Сообщения
38
Реакции
0
Добрый день, прошу помощи в ситуации с вредоносным процессом Qt5WebEngine. Который взломал половину игр на ПК, проник в ряд приложений, и вызывает разные ошибки связанные с процессам tasklist.exe. Либо же чёрный экран.
Описание есть в этой теме В работе - Вредоносное ПО Cryptowall Ramsomware Вся эта ситуация началась после установки инсталлятора в котором был Trojan.Win32/Wacatac.H!ml его пропустил антивирус, результат удаление многих функций из Windows, нарушение целостности системных файлов, внедрение в драйвера видеокарты, наличие проблем со звуком периодические прерывания. Источник программы которая автоматически инсталлирует Qt5 в папки с программами в системе не нашел. И за него происходит перегрузка ПК и приходится выходить из системы свернуть окна нет возможности когда вылетает ошибка. Пожалуйста прошу помогите выгнать это с пк.
 

Вложения

  • Qt5.jpg
    Qt5.jpg
    78.1 KB · Просмотры: 42
Сортировка по дате Сортировка по голосам
1. У моих друзей этих библиотек в папке нет, играем вместе на оф сервере. Еще раз, когда это работает, вылетала ошибка на процесс tasklist.exe и сбивалось апаратное ускорение в браузере.
2 Снова вчера наблюдал хрень с приостановкой видео на Youtube , включил видео и воспроизведение остановилось само собой, потом пришлось заново включать дальше. Такое происходит после появления этих библиотек чего не было лет 10 и атаки вируса который обнаружил только SpyHunter. На моем компе такого не было, и проблем с инетом нет. Тут 4к воспроизводится легко даже 8к пробовал, чтобы Youtube клинило на ровном месте.

6890866.png


Это следы трояна в браузере, где он не известно, уже не раз удалял эти файлы но снова заражается. Обратите внимание на название папки где его следы.
Dr Web даже не советуйте он ничего не видит, проверено, тоже самое с другими они не находят это. Даже не ставил больше смысла нет.
 

Вложения

  • CollectionLog-2023.02.24-11.37.zip
    54.7 KB · Просмотры: 4
Позитивный голос 0 Негативный голос
Удалите полностью Яндекс-браузер и все его сопутствующие приложения типа алисы, менеджера браузеров, кнопки яндекса и т.д.
Перезагрузите компьютер в безопасный режим и запустите проверку на вирусы оттуда, только нормальным полноценным антивирусом.
 
Позитивный голос 0 Негативный голос
AlexZir написал(а):
Удалите полностью Яндекс-браузер и все его сопутствующие приложения типа алисы, менеджера браузеров, кнопки яндекса и т.д.
Перезагрузите компьютер в безопасный режим и запустите проверку на вирусы оттуда, только нормальным полноценным антивирусом.
Нажмите для раскрытия...
Интересно каким имено это проверять, по тому что уже в старой винде пробовал разные только систему засорил а результата ноль. Уже варианты заканчиваются.
 
Позитивный голос 0 Негативный голос
Да легко. Скачиваете триальную версию того же Eset Nod32 с официального сайта, устанавливаете, обновляете базы и вперёд, на проверку. После окончания лечения можно его удалить, хотя я советую купить лицензию.
У вас в стиме, яндекс-браузере и edge интересные параметры прописаны:
--type=gpu-process --gpu-preferences=UAAAAAAAAADgAAAYAAAAAAAAAAAAAAAAAABgAAAAAAAwAAAAAAAAAAAAAAAQAAAAAAAAAAAAAAAAAAAAAAAAAEgAAAAAAAAASAAAAAAAAAAYAAAAAgAAABAAAAAAAAAAGAAAAAAAAAAQAAAAAAAAAAAAAAAOAAAAEAAAAAAAAAABAAAADgAAAAgAAAAAAAAACAAAAAAAAAA= --mojo-platform-channel-handle=1908 --field-trial-handle=1988,i,5854292622061539328,7139760109811458572,131072 /prefetch:2
Нажмите для раскрытия...
А вариантов решения проблемы обычно всегда по крайней мере на 1 больше, чем уже опробовано
 
Позитивный голос 0 Негативный голос
Вот наконец то нашло это, и как убрать? Сейчас ESET сканит но пока ничего не нашел. Если не найдет тогда фиг его знает как убрать это. Я думал стим не задет, оказалось что и его заразило. Не удивительно что в безопасном режиме Edge сам открывает страницу на сайт Microsoft и при этом вылетает проводник.

Увы, Eset ничего не нашел. Не знаю уже куда копать.
 
Последнее редактирование:
Позитивный голос 0 Негативный голос
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

Код: 
Start::
SystemRestore: On
CreateRestorePoint:
HKU\S-1-5-21-4260606148-67846778-2486142644-1001\...\Run: [YandexBrowserAutoLaunch_18AE6CCE42C9FE39CFEFAEDDA0820C99] => "C:\Users\MONARX\AppData\Local\Yandex\YandexBrowser\Application\browser.exe" --shutdown-if-not-closed-by-system-restart (Нет файла)
HKU\S-1-5-21-4260606148-67846778-2486142644-1001\...\MountPoints2: {75e5150f-b474-11ed-82d3-b42e99d6245f} - "H:\autorun.exe"
Task: {E0F10DCF-44AD-40E8-9370-FB5DA59F93FB} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => C:\Windows\system32\MusNotification.exe (Нет файла)
Edge StartupUrls: Default -> "hxxps://ya.ru","hxxps://ovgorskiy.ru"
FF Plugin-x32: @perfectworld.com/npArcPlayNowPlugin -> D:\Arc\Plugins\npArcPluginFF.dll [Нет файла]
U4 mhyprot2; C:\Users\MONARX\AppData\Local\Temp\mhyprot3.sys [2132520 2022-08-30] (Microsoft Windows Hardware Compatibility Publisher -> miHoYo) <==== ВНИМАНИЕ
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ContextMenuHandlers5: [ACE] -> {5E2121EE-0300-11D4-8D3B-444553540000} =>  -> Нет файла
EmptyTemp:
Reboot:
End::

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
Отключите до перезагрузки антивирус, запустите FRST, нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве.
 
Позитивный голос 0 Негативный голос
+ "Пофиксите" в HijackThis (некоторые строки могут отсутствовать):
Код: 
O4 - HKCU\..\Run: [MicrosoftEdgeAutoLaunch_630E2F82B50B7A52C2B39682BE1B5242] = C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe --no-startup-window --win-session-start /prefetch:5
O4 - HKCU\..\StartupApproved\Run: [YandexBrowserAutoLaunch_18AE6CCE42C9FE39CFEFAEDDA0820C99] = C:\Users\MONARX\AppData\Local\Yandex\YandexBrowser\Application\browser.exe --shutdown-if-not-closed-by-system-restart (2023/02/23)
O22 - BITS Job: (download) {2BCBF10D-0C53-4937-AEF5-454236C9990C} - https://soft.export.yandex.ru/status.xml?stat=install&bitness=64&brandID=int-custo&browser_bitness=64&build=custo&build_id=&clid=2270482&client_id=8741664383715578007&df=1&distr_yandexuid=1000209521658314374&eid=import_instr_limit.-1%3Bno_seed_trials.1%3Binst_date.1677160471&install_type=0&installed=23.1.1.1111&ld=0&machine_id=db0f2f92a2cefe2095239ce25ff4b1b9&os=win10&partner_id=&pok=1&searchbandapp=0&stats_send_status=1&sv=23.1&ud=0&ui=1D35B348-AC20-48E4-9052-F39435AE56F7&user_agent=Mozilla%2F5.0+(Windows+NT+10.0%3B+Win64%3B+x64)+AppleWebKit%2F537.36+(KHTML%2C+like+Gecko)+Chrome%2F108.0.0.0+YaBrowser%2F23.1.1.1111+Yowser%2F2.5+Safari%2F537.36&ver=23.1.1.1111&win_version=10.0.22000&yasoft=yabrowser -> C:\Users\MONARX\AppData\Local\Temp\Yandex_Browser_BITS_7872_1216539515\response - 'C:\Users\MONARX\AppData\Local\Yandex\YandexBrowser\Application\browser.exe' '"C:\Users\MONARX\AppData\Local\Yandex\YandexBrowser\Application\browser.exe" --broupdater-stat-bits --broupdater-stat-name=install --bits_job_guid={2BCBF10D-0C53-4937-AEF5-454236C9990C}'
 
Позитивный голос 0 Негативный голос
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
Код: 
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RebootWindows(true);
end.
 
Позитивный голос 0 Негативный голос
Для Windows 11 X64 22H2 с включеным TRM 2.0 и безопасной загрузой, это врядли подходит. Второй скрипт навернул Edge и теперь сипятся все процессы в диспетчере куча глюков появилась. Браузер не открывается, ав диспетчере задач процессы вылетают сразу все при наведении курсора. И перустановка результата нет, теперь придется винду переустанавливать. Кроме этого все твики улетели. Огромное спасибо.

bug 1.png



Edge пришлось удалить, последствия "скрита" отменил восстановением системы. Более менее все вернулось в нормалное состояние. Вот только Edge теперь накрылся и после перустановки опять белый экран.
 
Последнее редактирование:
Позитивный голос 0 Негативный голос
Поздравлю всех причастных и не очень.

Скрипт или таки фикс в HJT? Он вероятнее ломает edge.

HiJackThis - руководство к программе.

официальное руководство к программе HiJackThis
regist.safezone.cc

ska79 написал(а):
O4 - HKCU\..\Run: [MicrosoftEdgeAutoLaunch_630E2F82B50B7A52C2B39682BE1B5242] = C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe --no-startup-window --win-session-start /prefetch:5
Нажмите для раскрытия...
откатите
 
Позитивный голос 0 Негативный голос
Позитивный голос 0 Негативный голос
Установите инсталятор с оф. источниках. Это должно исправить Edge и вернуть нормальное состояние. Если он поврежден.

Код: 
https://c2rsetup.officeapps.live.com/c2r/downloadEdge.aspx?platform=Default&source=EdgeStablePage&Channel=Stable&language=ru&brand=M100
 
Последнее редактирование:
Позитивный голос 0 Негативный голос
wumbo12 написал(а):
Установите инсталятор с оф. источниках. Это должно исправить Edge и вернуть нормальное состояние. Если он поврежден.

Код: 
https://c2rsetup.officeapps.live.com/c2r/downloadEdge.aspx?platform=Default&source=EdgeStablePage&Channel=Stable&language=ru&brand=M100
Нажмите для раскрытия...
Уже пробовал ставить отсюда, результат тот же, белое окно в браузере или чёрное. Не работает. Через greek удалял не помогает.
Без имени.jpg
 
Позитивный голос 0 Негативный голос
Скопируйте папку C:\Users\имя пользователя\AppData\Local\Microsoft\Edge\User Data (то есть сделайте бекап папки со всем её содержимым)
попробуйте удалить содержимое исходной папки если получится.
Пробуйте открыть браузер.
 
Позитивный голос 0 Негативный голос
Назад
Сверху Снизу