Решена Вирус Taskhost

Статус
В этой теме нельзя размещать новые ответы.

denisov-ds

Пользователь
Сообщения
25
Реакции
0
Добрый день. Подхватил майнер, маскирующийся под taskhost.exe от Realtek HD. Закрывались сайты с антивирусами, установить их не получалось. TDSSKiller.exe нашел один вирус, я удалил его. Далее Malwarebytes уже ничего не нашел. Как узнать полностью ли я избавился от вируса?
 

akok

Команда форума
Администратор
Ассоциация VN
Сообщения
21,123
Реакции
14,136
Скачайте, распакуйте и запустите (от имени администратора) AV block remover.
По окончании всех процедур произойдет перезагрузка системы. Прикрепите созданный утилитой лог AV_block_remove.log к следующему сообщению.

Если не запускается, то переименуйте ее (например в AV_br.exe)

После подготовьте логи по правилам.

Как узнать полностью ли я избавился от вируса?
Когда станет пускать на антивирусные сайты.
 

denisov-ds

Пользователь
Сообщения
25
Реакции
0
Скачайте, распакуйте и запустите (от имени администратора) AV block remover.
По окончании всех процедур произойдет перезагрузка системы. Прикрепите созданный утилитой лог AV_block_remove.log к следующему сообщению.

Если не запускается, то переименуйте ее (например в AV_br.exe)

После подготовьте логи по правилам.


Когда станет пускать на антивирусные сайты.
Ругается на файл host, если после перезагрузки запустить еще раз, опять ругается
 

Вложения

  • AV_block_remove_2022.01.16-22.40.log
    5.4 KB · Просмотры: 3

akok

Команда форума
Администратор
Ассоциация VN
Сообщения
21,123
Реакции
14,136
Подготовьте логи, посмотрим, на что там ругается.
 

denisov-ds

Пользователь
Сообщения
25
Реакции
0
Такие логи?
 

Вложения

  • CollectionLog-2022.01.16-22.54.zip
    54.4 KB · Просмотры: 11

regist

гоняюсь за туманом
Ассоциация VN/VIP
VIP
Разработчик
Сообщения
13,283
Реакции
6,493
Ругается на файл host, если после перезагрузки запустить еще раз, опять ругается
Если сейчас опять запустить, то опять ругается на hosts?
Проверьте ещё раз, если да, то свежий лог AV block remover-а прикрепите.
 

regist

гоняюсь за туманом
Ассоциация VN/VIP
VIP
Разработчик
Сообщения
13,283
Реакции
6,493
+Профиксите в HijackThis
Код:
O9-32 - Button: HKLM\..\{2670000A-7350-4f3c-8081-5663EE0C6C49}: (no name) - (no file)
O9-32 - Button: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA}: (no name) - (no file)

Код:
Java 8 Update 251 (64-bit) [20200725]-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F64180251F0}
Java 8 Update 251 [20200725]-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F32180251F0}
старую, дрявую джаву надо удалить. Если она нужна, то потом поставить свежую.

Питон сами ставили?
 

denisov-ds

Пользователь
Сообщения
25
Реакции
0

Вложения

  • AV_block_remove_2022.01.16-23.13.log
    5.4 KB · Просмотры: 2
  • 1.png
    1.png
    35.6 KB · Просмотры: 15

denisov-ds

Пользователь
Сообщения
25
Реакции
0
+Профиксите в HijackThis
Код:
O9-32 - Button: HKLM\..\{2670000A-7350-4f3c-8081-5663EE0C6C49}: (no name) - (no file)
O9-32 - Button: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA}: (no name) - (no file)

Код:
Java 8 Update 251 (64-bit) [20200725]-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F64180251F0}
Java 8 Update 251 [20200725]-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F32180251F0}
старую, дрявую джаву надо удалить. Если она нужна, то потом поставить свежую.

Питон сами ставили?
Питон да, сам
 

regist

гоняюсь за туманом
Ассоциация VN/VIP
VIP
Разработчик
Сообщения
13,283
Реакции
6,493
- выполните такой скрипт в AVZ
Код:
begin
 ClearQuarantineEx(true); 
 QuarantineFile(GetHostsFileName, '');
 CreateQurantineArchive(GetAVZDirectory + 'hosts.zip');
end.

- Файл hosts.zip из папки AVZ прикрепите к своему следующему сообщению.
 

denisov-ds

Пользователь
Сообщения
25
Реакции
0
- выполните такой скрипт в AVZ
Код:
begin
 ClearQuarantineEx(true);
 QuarantineFile(GetHostsFileName, '');
 CreateQurantineArchive(GetAVZDirectory + 'hosts.zip');
end.

- Файл hosts.zip из папки AVZ прикрепите к своему следующему сообщению.
 

Вложения

  • hosts.zip
    1 KB · Просмотры: 13

Sandor

Команда форума
Супер-Модератор
Ассоциация VN/VIP
Преподаватель
Сообщения
9,143
Реакции
2,728
Ругается на файл host
Кто именно ругается?

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

denisov-ds

Пользователь
Сообщения
25
Реакции
0
Кто именно ругается?

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ругается AV_block, скрин с логами есть выше. При каждом запуске так пишет.
 

Вложения

  • Addition.txt
    35.4 KB · Просмотры: 10
  • FRST.txt
    21.7 KB · Просмотры: 10

Sandor

Команда форума
Супер-Модератор
Ассоциация VN/VIP
Преподаватель
Сообщения
9,143
Реакции
2,728
Не цитируйте полностью предыдущее сообщение. Используйте форму быстрого ответа внизу.

Понятно. Эта программа создана для разового запуска и повторно её запускать не нужно. Она не анализирует изменения файла Hosts, а только предлагает его сброс или редактирование.

Продолжим:
Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код:
    Start::
    SystemRestore: On
    CreateRestorePoint:
    HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
    GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
    HKU\S-1-5-21-2673727639-1146869219-2240713625-1001\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
    BHO-x32: Нет имени -> {B4F3A835-0E21-4959-BA22-42B3008E02FF} -> Нет файла
    ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
    EmptyTemp:
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 

Sandor

Команда форума
Супер-Модератор
Ассоциация VN/VIP
Преподаватель
Сообщения
9,143
Реакции
2,728
Подытожим: антивирусные сайты не закрываются, лишней нагрузки на процессор нет, верно?

Если так, то в завершение и на будущее:
1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.
  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
 

denisov-ds

Пользователь
Сообщения
25
Реакции
0
Подытожим: антивирусные сайты не закрываются, лишней нагрузки на процессор нет, верно?
Антивирусные сайты не закрываются, да нагрузки стало меньше. А вопрос, нормально ли, что я не могу удалять папки от антивирусов?
Прикрепите этот файл к своему следующему сообщению.
 

Вложения

  • Безымянный.png
    Безымянный.png
    20.4 KB · Просмотры: 14
  • SecurityCheck.txt
    10.5 KB · Просмотры: 11

regist

гоняюсь за туманом
Ассоциация VN/VIP
VIP
Разработчик
Сообщения
13,283
Реакции
6,493
Пожалуйста, удалите ранее скачанный AV block remover, скачайте свежую версию.
Запустите ещё раз и проверьте будет ли опять ругаться?
 

regist

гоняюсь за туманом
Ассоциация VN/VIP
VIP
Разработчик
Сообщения
13,283
Реакции
6,493
Антивирусные сайты не закрываются, да нагрузки стало меньше. А вопрос, нормально ли, что я не могу удалять папки от антивирусов?
У вас MBAM установлен и работает. Разумеется его самозащита защищает работающую программу от удаления. И если удалить так грубо, то потом будут проблемы.
Деинсталируйте его штатно через установленные программы.
 

Sandor

Команда форума
Супер-Модератор
Ассоциация VN/VIP
Преподаватель
Сообщения
9,143
Реакции
2,728
Если вам больше не нужен Malwarebytes, его нужно сначала деинсталлировать через Панель управления - Удаление программ.
Затем для верности пройтись специализированной утилитой:
• Скачайте и запустите Malwarebytes Support Tool.
• Запустите, согласитесь с лицензионным соглашением, перейдите на вкладку Advanced Options и нажмите кнопку Clean.
• Перезагрузите компьютер при появлении запроса.
• После перезагрузки утилита запустится для окончательной очистки.

я не могу удалять папки от антивирусов?
Речь ведь идет только об той папке, что на вашем скриншоте, верно?
 
Статус
В этой теме нельзя размещать новые ответы.
Сверху Снизу