Решена trojan.multi.lockedfolder.a

[qeelz]

Доброй ночи!
trojan.multi.lockedfolder.a realtekHD taskhostw и прочее, подмена файла hosts, KVRT и Cureit не помогают

 

[akok]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ из папки Autologger (Файл - Выполнить скрипт):

  begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Programdata\ReaItekHD\taskhost.exe', '');
 QuarantineFile('C:\ProgramData\ReaItekHD\taskhostw.exe', '');
 QuarantineFile('C:\ProgramData\windowstask\audiodg.exe', '');
 QuarantineFile('C:\ProgramData\windowstask\microsofthost.exe', '');
 DeleteFile('C:\Programdata\ReaItekHD\taskhost.exe', '64');
 DeleteFile('C:\Programdata\ReaItekHD\taskhostw.exe', '64');
 DeleteFile('C:\ProgramData\windowstask\audiodg.exe', '32');
 DeleteFile('C:\ProgramData\windowstask\microsofthost.exe', '32');
 DeleteSchedulerTask('Microsoft\Windows\CheckGlobalR\RecoveryTask');
 DeleteSchedulerTask('Microsoft\Windows\CheckGlobalR\xfQnWHZcVWT8fBXb');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Realtek HD Audio', 'x64');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O4 - Autorun.inf: E:\autorun.inf - open - sources\SetupError.exe x64 (file missing)
O4 - Autorun.inf: K:\autorun.inf - open - sources\SetupError.exe x64 (file missing)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{4E897C3E-A9B3-4463-A1A5-ADB6EA9AA359} - \Microsoft\Windows\Wininet\winsers (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{A200CD22-BFB6-44BF-ACE3-4F1716DF28B3} - \Microsoft\Windows\CheckGlobalR\RecoveryHosts (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{BB65E571-1C25-4F9B-83AD-CCD9B31B46AF} - \Microsoft\Windows\Wininet\winser (no xml)
O22 - Tasks: (damaged) \Microsoft\Windows\Application Experience\MareBackup - C:\Windows\system32\compattelrunner.exe -m:aemarebackup.dll -f:BackupMareData (user missing) (sign: 'Microsoft')
O22 - Tasks: (damaged) \Microsoft\Windows\Application Experience\MareBackup - C:\Windows\system32\compattelrunner.exe -m:appraiser.dll -f:DoScheduledTelemetryRun (user missing) (sign: 'Microsoft')

Скачайте, распакуйте (в подпапку) и запустите AV block remover или с зеркала
По окончании всех процедур произойдет перезагрузка системы. Прикрепите созданный утилитой лог AV_block_remove.log к следующему сообщению.

Если не запускается, то переименуйте ее (например в AV_b_r.exe) или воспользуйтесь версией с случайным именем файла

 

[qeelz]

файл на почте, лог прикладываю

 

[Sandor]

Теперь в нормальном режиме загрузки соберите новый CollectioinLog Автологером.

 

[qeelz]

прикрепил

 

[Sandor]

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[qeelz]

отчеты FRST

 

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  
  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  CHR StartupUrls: Default -> "hxxp://www.yandex.ru/?win=55&clid=1787308","hxxp://mail.ru/cnt/7993/","hxxp://home.sweetim.com/?crg=3.1010000.10002&barid={8A7EBD82-4B99-11E2-951A-54E6FC83B445}","hxxps://www.google.com/"
  2023-08-30 01:13 - 2023-08-30 01:13 - 000000000 __SHD C:\ProgramData\princeton-produce
  2023-08-30 01:13 - 2023-08-30 01:13 - 000000000 __SHD C:\Program Files\NETGATE
  2023-08-30 01:13 - 2023-08-30 01:13 - 000000000 ____D C:\Program Files\CPUID
  2023-08-30 01:13 - 2023-08-30 01:13 - 000000000 ____D C:\Program Files\7-Zip
  2023-08-30 01:13 - 2023-08-30 01:13 - 000000000 ____D C:\Program Files (x86)\MSI
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::
• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[qeelz]

готово

 

[akok]

Что с проблемой?

 

[qeelz]

Что с проблемой?

проблема ушла после первого скрипта в AVZ и фиксов HijackThis. лишних папок в ProgramData, Program Files и Program Files (x86) нет.

 

[akok]

Тогда финализируем
Подготовьте лог лог SecurityCheck by glax24

Чтобы автоматически удалить все файлы и папки, созданные FRST, в том числе сам инструмент, переименуйте FRST/FRST64.exe в uninstall.exe и запустите его. Процедура требует перезагрузки

 

[qeelz]

лог SecurityCheck