Сама по себе появилась вторая учетная запись [Trojan.Win64.Miner.qn, Trojan-Ransom.Win32.Wanna.m ]

[COLOR=#141414][FONT=&quot]Всем привет. Проблемы начались вчера. У меня проводной интернет. Подключен через роутер. Со вчерашнего дня стал пропадать интернет. Помогало только перезагрузка роутера ( по советам тех. поддержки моего провайдера ) Но после перезагрузки, через минут 20-30, интернет снова пропадал. В конце концов подключил интернет кабель на прямую в системный блок и помогло. Все вроде работало. Сегодня при включении компьютера обнаружил что появилась вторая учетная запись. Название SQL. USER. Запаролена. Компьютер давненько стал подтормаживать. Решил просканировать Курейтом. Сканировал правильно, в безопасном режиме. В итоге 5 вирусов. Три вируса под названием Back Door. Graybird , Back Door. Siggen , VBS. Siggen , один Троян и ещё какой то. Номера к сожалению не переписал. Не догадался так как думал что возможно избавился от проблемы. Подозрительная учетная запись осталась. Решил повторно пройтись курейтом. Нашел ещё один, Trojan. Siggen6. 44651. Учетная запись осталась. В итоге удалил её в ручную. Вопросы к вам такие, связаны ли все эти проблемы ? И всё ли правильно я сделал ? Ось Windows 7. Дальше ещё хуже. Переустанавливал ОС. Но проблемы те же. Недавно синий экран и опять та же учетная запись появилась[/FONT][/COLOR]

Уважаемый(ая) [B]Headsmen[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Как прикрепить логи ?[ATTACH]667694[/ATTACH][ATTACH]667695[/ATTACH]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[ATTACH]667696[/ATTACH]

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('C:\Windows\Fonts\1sass.exe');
TerminateProcessByName('C:\Windows\Fonts\svchost.exe');
TerminateProcessByName('c:\windows\fonts\wininit.exe');
StopService('RpcEptManger');
StopService('Samserver');
QuarantineFile('C:\Windows\Fonts\1sass.exe', '');
QuarantineFile('C:\Windows\Fonts\svchost.exe', '');
QuarantineFile('c:\windows\fonts\wininit.exe', '');
QuarantineFile('C:\Windows\mssecsvc.exe', '');
DeleteFile('C:\Windows\Fonts\1sass.exe', '32');
DeleteFile('C:\Windows\Fonts\svchost.exe', '32');
DeleteFile('c:\windows\fonts\wininit.exe', '32');
DeleteFile('C:\Windows\mssecsvc.exe', '32');
DeleteService('RpcEptManger');
DeleteService('Samserver');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Закрывайте дыру, заплатка для которой вышла ещё в апреле: [url]http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598[/url]
Иначе взломают снова.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[ATTACH]667736[/ATTACH][ATTACH]667737[/ATTACH]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
HKU\S-1-5-21-4243549005-3158866523-1559013322-1000\...\Run: [ASRockOCTuner] => [X]
HKU\S-1-5-21-4243549005-3158866523-1559013322-1000\...\Run: [ASRockIES] => [X]
HKU\S-1-5-21-4243549005-3158866523-1559013322-1000\...\Run: [zASRockInstantBoot] => [X]
FF Homepage: Mozilla\Firefox\Profiles\ni6fget0.default -> hxxp://home.sweetim.com/?crg=4.0002002
FF Extension: (AlterGeo Addons) - C:\Users\Олег\AppData\Roaming\Mozilla\Firefox\Profiles\ni6fget0.default\Extensions\{B100D0FF-0001-8CE4-2790-AACE49B8AE35} [2012-03-12] [Legacy] [not signed]
FF SearchPlugin: C:\Users\Олег\AppData\Roaming\Mozilla\Firefox\Profiles\ni6fget0.default\searchplugins\sweetim.xml [2012-02-14]
CHR HKLM-x32\...\Chrome\Extension: [hdjacnejoohiamgmaciljlpniffgkojd] - <no Path/update_url>
S3 gdrv; \??\C:\Windows\gdrv.sys [X]
S3 SWUMX20; system32\DRIVERS\swumx20.sys [X]
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
2017-12-12 23:59 - 2017-12-12 23:59 - 000633112 _____ C:\ProgramData\inis33.exe
2017-12-11 22:56 - 2017-12-13 17:34 - 003514368 ____S C:\Windows\tasksche.exe
2017-12-11 22:56 - 2017-12-13 17:33 - 003514368 ____S C:\Windows\qeriuwjhrf
2017-12-12 00:10 - 2017-12-12 00:10 - 000000000 ____D C:\Users\123
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> No File
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], в FRST нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
[QUOTE]Windows Firewall is disabled.
EnableLUA: 0[/QUOTE]Файрволл и UAC отключены, обновления, хотя бы то, что я явно указал, не установили. Ждите рецидива.

В какую папку с Farbar Recovery Scan Tool ?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Обновил всё. На это потребовалась целая ночь

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[ATTACH]667751[/ATTACH]

Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].

Приложите этот файл к своему следующему сообщению.

[ATTACH]667754[/ATTACH]

[QUOTE]Adobe Flash Player 11 ActiveX 64-bit v.11.1.102.55 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player_ax.exe]Скачать обновления[/url][/b][/color]
Adobe Flash Player 11 Plugin 64-bit v.11.1.102.55 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player.exe]Скачать обновления[/url][/b][/color][/QUOTE]
Очень старые версии с множеством критических уязвимостей. Обновите, или удалите вовсе.

[QUOTE]Internet Explorer 9.0.8112.16421 [color=red][b]Внимание! [url=http://windows.microsoft.com/ru-ru/internet-explorer/ie-11-worldwide-languages]Скачать обновления[/url][/b][/color]
[color=blue][b]^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^[/b][/color][/QUOTE]Обновите Internet Explorer до 11-й версии, [U]даже если им не пользуетесь[/U], это критически важный для безопасности компонент Windows.

И всё на этом.

Всё сделал как посоветовали. Буду наблюдать дальше. Огромное спасибо

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\fonts\svchost.exe - [B]Trojan.Win64.Miner.qn[/B][*] c:\windows\mssecsvc.exe - [B]Trojan-Ransom.Win32.Wanna.m[/B] ( BitDefender: Gen:Variant.Adware.Barys.1890 )[/LIST][/LIST]