Подозрение на вредоносное ПО

[K_a_S]

При запуске диспетчера задач ноут провисает(3-5с) а также внезапно прилетел запрос на подключение на anydesk, хотя авто-запуск данной програмы отключен, и запускалась сама програма более года назад. Время от времени провисает ноут очень сильно.

[Info_bot]

Уважаемый(ая) K_a_S, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи (https://virusinfo.info/pravila.html).

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+ (https://virusinfo.info/content.php?r=613-sub_pomogite).

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект (https://virusinfo.info/content.php?r=113-virusinfo.info-donate).

[Vvvyg]

Скачайте, распакуйте и запустите утилиту ClearLNK (https://virusinfo.info/soft/tool.php?tool=ClearLNK). Скопируйте текст ниже в окно утилиты и нажмите "Лечить".

>>> "C:\Users\Acer\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\839a0129131e3c7f\7.1 Surround Sound.lnk" -> ["C:\Program Files\Razer\RzAppEngine\rzappengine.exe" =>> --application-host=apps.razer.com --profile-directory=Default hxxps://apps.razer.com/app-launcher/RzUiQiNlDnNMZ1NZ-HFhVAUiRz/]
>>> "C:\Users\Acer\AppData\Roaming\Microsoft\Windows\St art Menu\Programs\Easy Diffusion\Easy Diffusion (2).lnk" -> ["C:\All\Start Stable Diffusion UI.cmd"]
>>> "C:\Users\Acer\AppData\Local\Autodesk\3dsMax\2020 - 64bit\ENU\temp\PruneScene\uac.lnk" -> ["C:\temp\uac.bat"]
>>> "C:\Users\Acer\AppData\Roaming\Microsoft\Windows\St art Menu\Programs\Easy Diffusion\Easy Diffusion.lnk" -> ["C:\All\Start Stable Diffusion UI.cmd"]
>>> "C:\Users\Acer\AppData\Roaming\Microsoft\Windows\St art Menu\Programs\uTorrent Web.lnk" -> ["C:\Users\Acer\AppData\Roaming\uTorrent Web\utweb.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Lavasoft\WebCompanion\Web Companion.lnk" -> ["C:\Program Files (x86)\Lavasoft\Web Companion\Application\WebCompanion.exe" =>> --startmenu]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\plumbing-proteins\polo-printer.lnk" -> ["C:\ProgramData\polar-polyphonic\polo-printer"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\plumbing-proteins\Uninstall polo-printer.lnk" -> ["C:\ProgramData\polar-polyphonic\unins000.exe"]
>>> "C:\Users\Acer\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\polo-printer.lnk" -> ["C:\ProgramData\polar-polyphonic\bin.exe"]
>>> "C:\Users\defaultuser100000\AppData\Roaming\Microso ft\Windows\Start Menu\Programs\Accessibility\On-Screen Keyboard.lnk" -> ["C:\WINDOWS\system32\osk.exe"]
>>> "C:\Users\defaultuser100000\AppData\Roaming\Microso ft\Windows\Start Menu\Programs\Accessibility\Narrator.lnk" -> ["C:\WINDOWS\system32\narrator.exe"]
>>> "C:\Users\defaultuser100000\AppData\Roaming\Microso ft\Windows\SendTo\Fax Recipient.lnk" -> ["C:\WINDOWS\system32\WFS.exe" =>> /SendTo]
>>> "C:\Users\Acer\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Legends Of Idleon - Mod Menu.lnk" -> ["C:\Program Files (x86)\triple7inc\Legends of Idleon\Legends Of Idleon - Mod Menu.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Legends of Idleon - Mod Menu\Legends Of Idleon - Mod Menu.lnk" -> ["C:\Program Files (x86)\triple7inc\Legends of Idleon\Legends Of Idleon - Mod Menu.exe"]
>>> "C:\Users\Acer\AppData\Roaming\Microsoft\Windows\St art Menu\Legends Of Idleon - Mod Menu.lnk" -> ["C:\Program Files (x86)\triple7inc\Legends of Idleon\Legends Of Idleon - Mod Menu.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Legends of Idleon - Mod Menu\Uninstall.lnk" -> ["C:\Program Files (x86)\triple7inc\Legends of Idleon\Uninstall.exe"]
>>> "C:\Users\defaultuser100000\AppData\Local\Microsoft \Windows\WinX\Group3\09 - Mobility Center.lnk" -> ["C:\WINDOWS\system32\mblctr.exe"]
>>> "C:\Users\Acer\AppData\Roaming\Microsoft\Windows\Se ndTo\Получатель факса.lnk" -> ["C:\WINDOWS\system32\wfs.exe" =>> /SendTo]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WibuKey\Server Monitor.lnk" -> ["C:\Program Files (x86)\WIBUKEY\Bin\WkSvMon.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WibuKey\Network Server.lnk" -> ["C:\Program Files (x86)\WIBUKEY\Server\WkSvMgr.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\Network Server.lnk" -> ["C:\Program Files (x86)\WIBUKEY\Server\WkSvMgr.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WibuKey\WibuKey Help (English).lnk" -> ["C:\Program Files (x86)\WIBUKEY\Help\WKUSEUS.CHM"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WibuKey\WibuKey Help (French).lnk" -> ["C:\Program Files (x86)\WIBUKEY\Help\WKUSEFR.CHM"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WibuKey\WibuKey Help (German).lnk" -> ["C:\Program Files (x86)\WIBUKEY\Help\WKUSEDE.CHM"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Sublime Text.lnk" -> ["C:\All\idk\Sublime Text\sublime_text.exe"]
>>> "C:\Users\Acer\AppData\Roaming\Microsoft\Windows\St art Menu\Programs\Accessibility\On-Screen Keyboard.lnk" -> ["C:\WINDOWS\system32\osk.exe"]
>>> "C:\Users\Acer\AppData\Roaming\Microsoft\Windows\St art Menu\Programs\Accessibility\Narrator.lnk" -> ["C:\WINDOWS\system32\narrator.exe"]
>>> "C:\Users\Acer\AppData\Roaming\Microsoft\Windows\Se ndTo\Fax Recipient.lnk" -> ["C:\WINDOWS\system32\WFS.exe" =>> /SendTo]
>>> "C:\Users\Acer\AppData\Local\Microsoft\Windows\WinX \Group3\09 - Mobility Center.lnk" -> ["C:\WINDOWS\system32\mblctr.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoCAD 2021 — Русский (Russian)\Утилита перемещения лицензий — AutoCAD 2021.lnk" -> ["C:\Program Files (x86)\Common Files\Autodesk Shared\Adlm\R20\LTU.exe" =>> 001M1 2021.0.0.F -d SA -l ru-RU]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Medibang\MediBang Paint Pro\MediBang Paint Pro.lnk" -> ["C:\All\MediBang Paint Pro\MediBangPaintPro.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\GribLand.lnk" -> ["C:\All\idk\GribLand\Bootstrap.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\UltData for Android.lnk" -> ["C:\Program Files (x86)\Tenorshare\UltData - Android Data Recovery\NetFrameCheck.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\UltData for Android\Деинсталлировать UltData for Android.lnk" -> ["C:\Program Files (x86)\Tenorshare\UltData - Android Data Recovery\unins000.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Java\Configure Java.lnk" -> ["C:\Program Files (x86)\Java\jre1.8.0_331\bin\javacpl.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Java\Check For Updates.lnk" -> ["C:\Program Files (x86)\Java\jre1.8.0_331\bin\javacpl.exe" =>> -tab update]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Java\About Java.lnk" -> ["C:\Program Files (x86)\Java\jre1.8.0_331\bin\javacpl.exe" =>> -tab about]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Tenorshare 4uKey.lnk" -> ["C:\Program Files (x86)\Tenorshare\Tenorshare 4uKey\Start.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Tenorshare 4uKey\Uninstall Tenorshare 4uKey.lnk" -> ["C:\Program Files (x86)\Tenorshare\Tenorshare 4uKey\unins000.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\NVIDIA Corporation\NVIDIA RTX Voice.lnk" -> ["C:\Program Files\NVIDIA Corporation\NVIDIA RTX Voice\NVIDIA RTX Voice.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Dead Cells [GOG.com]\Dead Cells (OpenGL).lnk" -> ["C:\GOG Games\Dead Cells\deadcells_gl.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Dead Cells [GOG.com]\Удалить Dead Cells.lnk" -> ["C:\GOG Games\Dead Cells\unins000.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Dead Cells [GOG.com]\Dead Cells.lnk" -> ["C:\GOG Games\Dead Cells\deadcells.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Accessories\Snipping Tool.lnk" -> ["C:\WINDOWS\system32\SnippingTool.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FlashIntegro\VSDC Free Video Editor\Help\Справка VSDC Free Video Editor.lnk" -> ["C:\Program Files\FlashIntegro\VideoEditor\vsdc_manual.pdf"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FlashIntegro\VSDC Free Video Editor\Help\Лицензионное соглашение.lnk" -> ["C:\Program Files\FlashIntegro\VideoEditor\License Agreement.rtf"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FlashIntegro\VSDC Free Video Editor\Help\Файл Readme.lnk" -> ["C:\Program Files\FlashIntegro\VideoEditor\Readme.rtf"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FlashIntegro\VSDC Free Video Editor\VSDC Free Video Editor.lnk" -> ["C:\Program Files\FlashIntegro\VideoEditor\VideoEditor.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FlashIntegro\VSDC Free Video Editor\VSDC Free Screen Recorder.lnk" -> ["C:\Program Files\FlashIntegro\VideoEditor\Tools\ScreenRecorde r.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FlashIntegro\VSDC Free Video Editor\VSDC Free Video Capture.lnk" -> ["C:\Program Files\FlashIntegro\VideoEditor\Tools\VideoCapture. exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FlashIntegro\VSDC Free Video Editor\Активация продукта.lnk" -> ["C:\Program Files\FlashIntegro\VideoEditor\Activation.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FlashIntegro\VSDC Free Video Editor\Обновление программы.lnk" -> ["C:\Program Files\FlashIntegro\VideoEditor\Updater.exe"]Отчёт о работе прикрепите.

Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки (http://virusinfo.info/showthread.php?t=4491):
Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки (http://virusinfo.info/showthread.php?t=4491):

O4 - HKLM\..\StartupApproved\Run: [RZSurroundHelper] = C:\WINDOWS\system32\RZSurroundHelper.exe (file missing) (2022/10/12)
O15 - Trusted Zone: *.localhost
O15 - Trusted Zone: hxxp://hola.org
O15 - Trusted Zone: hxxp://webcompanion.com
O22 - Tasks: Opera scheduled assistant Autoupdate 1633613981 - C:\Users\Acer\AppData\Local\Programs\Opera\launche r.exe --scheduledautoupdate --component-name=assistant --component-path="C:\Users\Acer\AppData\Local\Programs\Opera\assista nt" $(Arg0) (file missing)
O22 - Tasks: Opera scheduled Autoupdate 1633613979 - C:\Users\Acer\AppData\Local\Programs\Opera\launche r.exe --scheduledautoupdate $(Arg0) (file missing)
O22 - Tasks: polo-printer - C:\ProgramData\polar-polyphonic\bin.exe /H (file missing)
O22 - Tasks: RTXVoice_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8} - C:\Program Files\NVIDIA Corporation\NVIDIA RTX Voice\NVIDIA RTX Voice.exe -minimized (file missing)
Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe (https://virusinfo.info/showthread.php?t=7239):
begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl "Microsoft-Windows-Windows Defender/Operational" wd.evtx "/q:*[System [(EventID=1116)]]"', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl "Microsoft-Windows-PowerShell/Operational" "Windows PowerShell.evtx"', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl "Doctor Web" "Doctor Web.evtx"', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=128m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.
В папке с AVZ появится архив Events.7z, загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.

[K_a_S]

Доброе утро, спасибо за скорый ответ, вот все отчёты
ссылка на архив Events.7z:
https://drive.google.com/file/d/1K0_q6t_BZuniYEgeUGJu7SJcQrl_mIr7/view?usp=sharing

[Vvvyg]

Служба Anydesk Remote Access была в автоматическом запуске. в журнале системы запись:

2025-01-24 22:05:05
ImagePath: '"C:\Program Files (x86)\AnyDesk\AnyDesk.exe" --service
ServiceName: AnyDesk Service
ServiceType: служба режима пользователя
AccountName: LocalSystem
StartType: Автоматически
В остальном больше похоже на аппаратные проблемы.

Сделайте проверку и исправление ошибок файловой системы: в меню "Пуск" ("Start") и в строке поиска введите "cmd". На результатах поиска нажмите правой клавишей мыши и выберите пункт "Запуск от имени администратора".

В командной строке введите chkdsk C: /F и нажмите Enter. Нажмите Y и затем перезагрузите систему. При загрузке ошибки файловой системы будут исправлены (если найдутся).

Откройте меню "Пуск" ("Start") и в строке поиска введите "cmd". На результатах поиска нажмите правой клавишей мыши и выберите пункт "Запуск от имени администратора".

Введите sfc /scannow и нажмите Enter.
Система восстановит недостающие или изменённые системные файлы, для этого может потребоваться перезагрузка.

[K_a_S]

Спасибо, что развеяли мои опасения. После того, как всплыл AnyDesk, я проверил диспетчер задач, чтобы убедиться, что он не в автозапуске. Он был выключен, видимо, отображалось некорректно. Примите мою искреннюю благодарность. Вы - лучшие люди в мире!