Статус
В этой теме нельзя размещать новые ответы.

denisov-ds

Новый пользователь
Сообщения
25
Реакции
0
Добрый день. Подхватил майнер, маскирующийся под taskhost.exe от Realtek HD. Закрывались сайты с антивирусами, установить их не получалось. TDSSKiller.exe нашел один вирус, я удалил его. Далее Malwarebytes уже ничего не нашел. Как узнать полностью ли я избавился от вируса?
 
Скачайте, распакуйте и запустите (от имени администратора) AV block remover.
По окончании всех процедур произойдет перезагрузка системы. Прикрепите созданный утилитой лог AV_block_remove.log к следующему сообщению.

Если не запускается, то переименуйте ее (например в AV_br.exe)

После подготовьте логи по правилам.

Как узнать полностью ли я избавился от вируса?
Когда станет пускать на антивирусные сайты.
 
Скачайте, распакуйте и запустите (от имени администратора) AV block remover.
По окончании всех процедур произойдет перезагрузка системы. Прикрепите созданный утилитой лог AV_block_remove.log к следующему сообщению.

Если не запускается, то переименуйте ее (например в AV_br.exe)

После подготовьте логи по правилам.


Когда станет пускать на антивирусные сайты.
Ругается на файл host, если после перезагрузки запустить еще раз, опять ругается
 

Вложения

  • AV_block_remove_2022.01.16-22.40.log
    5.4 KB · Просмотры: 4
Подготовьте логи, посмотрим, на что там ругается.
 
Такие логи?
 

Вложения

  • CollectionLog-2022.01.16-22.54.zip
    54.4 KB · Просмотры: 11
Ругается на файл host, если после перезагрузки запустить еще раз, опять ругается
Если сейчас опять запустить, то опять ругается на hosts?
Проверьте ещё раз, если да, то свежий лог AV block remover-а прикрепите.
 
+Профиксите в HijackThis
Код:
O9-32 - Button: HKLM\..\{2670000A-7350-4f3c-8081-5663EE0C6C49}: (no name) - (no file)
O9-32 - Button: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA}: (no name) - (no file)

Код:
Java 8 Update 251 (64-bit) [20200725]-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F64180251F0}
Java 8 Update 251 [20200725]-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F32180251F0}
старую, дрявую джаву надо удалить. Если она нужна, то потом поставить свежую.

Питон сами ставили?
 

Вложения

  • AV_block_remove_2022.01.16-23.13.log
    5.4 KB · Просмотры: 3
  • 1.png
    1.png
    35.6 KB · Просмотры: 40
+Профиксите в HijackThis
Код:
O9-32 - Button: HKLM\..\{2670000A-7350-4f3c-8081-5663EE0C6C49}: (no name) - (no file)
O9-32 - Button: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA}: (no name) - (no file)

Код:
Java 8 Update 251 (64-bit) [20200725]-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F64180251F0}
Java 8 Update 251 [20200725]-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F32180251F0}
старую, дрявую джаву надо удалить. Если она нужна, то потом поставить свежую.

Питон сами ставили?
Питон да, сам
 
- выполните такой скрипт в AVZ
Код:
begin
 ClearQuarantineEx(true); 
 QuarantineFile(GetHostsFileName, '');
 CreateQurantineArchive(GetAVZDirectory + 'hosts.zip');
end.

- Файл hosts.zip из папки AVZ прикрепите к своему следующему сообщению.
 
- выполните такой скрипт в AVZ
Код:
begin
 ClearQuarantineEx(true);
 QuarantineFile(GetHostsFileName, '');
 CreateQurantineArchive(GetAVZDirectory + 'hosts.zip');
end.

- Файл hosts.zip из папки AVZ прикрепите к своему следующему сообщению.
 

Вложения

  • hosts.zip
    1 KB · Просмотры: 13
Ругается на файл host
Кто именно ругается?

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 
Кто именно ругается?

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ругается AV_block, скрин с логами есть выше. При каждом запуске так пишет.
 

Вложения

  • Addition.txt
    35.4 KB · Просмотры: 10
  • FRST.txt
    21.7 KB · Просмотры: 10
Не цитируйте полностью предыдущее сообщение. Используйте форму быстрого ответа внизу.

Понятно. Эта программа создана для разового запуска и повторно её запускать не нужно. Она не анализирует изменения файла Hosts, а только предлагает его сброс или редактирование.

Продолжим:
Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код:
    Start::
    SystemRestore: On
    CreateRestorePoint:
    HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
    GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
    HKU\S-1-5-21-2673727639-1146869219-2240713625-1001\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
    BHO-x32: Нет имени -> {B4F3A835-0E21-4959-BA22-42B3008E02FF} -> Нет файла
    ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
    EmptyTemp:
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 
Подытожим: антивирусные сайты не закрываются, лишней нагрузки на процессор нет, верно?

Если так, то в завершение и на будущее:
1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.
  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
 
Подытожим: антивирусные сайты не закрываются, лишней нагрузки на процессор нет, верно?
Антивирусные сайты не закрываются, да нагрузки стало меньше. А вопрос, нормально ли, что я не могу удалять папки от антивирусов?
Прикрепите этот файл к своему следующему сообщению.
 

Вложения

  • Безымянный.png
    Безымянный.png
    20.4 KB · Просмотры: 40
  • SecurityCheck.txt
    10.5 KB · Просмотры: 11
Пожалуйста, удалите ранее скачанный AV block remover, скачайте свежую версию.
Запустите ещё раз и проверьте будет ли опять ругаться?
 
Антивирусные сайты не закрываются, да нагрузки стало меньше. А вопрос, нормально ли, что я не могу удалять папки от антивирусов?
У вас MBAM установлен и работает. Разумеется его самозащита защищает работающую программу от удаления. И если удалить так грубо, то потом будут проблемы.
Деинсталируйте его штатно через установленные программы.
 
Если вам больше не нужен Malwarebytes, его нужно сначала деинсталлировать через Панель управления - Удаление программ.
Затем для верности пройтись специализированной утилитой:
• Скачайте и запустите Malwarebytes Support Tool.
• Запустите, согласитесь с лицензионным соглашением, перейдите на вкладку Advanced Options и нажмите кнопку Clean.
• Перезагрузите компьютер при появлении запроса.
• После перезагрузки утилита запустится для окончательной очистки.

я не могу удалять папки от антивирусов?
Речь ведь идет только об той папке, что на вашем скриншоте, верно?
 
Статус
В этой теме нельзя размещать новые ответы.
Назад
Сверху Снизу