Антивирус детектит вирусы без остановки [Trojan.Script.Miner.a] (заявка № 226206)

В процессе лечения удалился профиль chrome, в котором были сохранены пароли от аккаунта virusinfo и почты, привязанной к нему. Поэтому я вынужден создать новый аккаунт и новую тему (т.к. в старую не дает отписать)

[URL="https://virusinfo.info/showthread.php?t=226206"]ссылка на старую тему[/URL]

[QUOTE=thyrex;1517421]Что сейчас с проблемой?[/QUOTE]

Понаблюдал, детекты аваста пропали. Однако после полного сканирования ПК, нашлось 6 файлов, которые были помещены антивирусом в хранилище вирусов. Подскажите, это значит, что мы не долечили, или это остаточные зараженные файлы, которые не вернуться в дальнейшем?

[URL="https://i.imgur.com/uLBZ8MD.png"]список зараженных файлов[/URL]

Не понятно, куда удалился профиль браузера. Не похоже на то, что аваст удалил его. Это мы его с вами в процессе лечения удалили? Или последствия заражения?

Так же хотелось бы спросить, было ли в том вирусе шпионское по, стоит ли менять пароли?

Уважаемый(ая) [B]narra-new[/B], спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[QUOTE=narra-new;1517435]Понаблюдал, детекты аваста пропали. Однако после полного сканирования ПК, нашлось 6 файлов, которые были помещены антивирусом в хранилище вирусов. Подскажите, это значит, что мы не долечили, или это остаточные зараженные файлы, которые не вернуться в дальнейшем?[/QUOTE]
Что попало в карантин антивируса, уже не вернётся, если сами не восстановите. К тому же, судя по скриншоту, был только детект эвристики, возможно, ничего серьёзного.

[QUOTE=narra-new;1517435]Не понятно, куда удалился профиль браузера. Не похоже на то, что аваст удалил его. Это мы его с вами в процессе лечения удалили? Или последствия заражения?[/QUOTE]В процессе лечения профиль Хрома точно не трогали.

[QUOTE=narra-new;1517435]Так же хотелось бы спросить, было ли в том вирусе шпионское по, стоит ли менять пароли?[/QUOTE]
Детект был только майнера, но периодически менять пароли не мешает.

Отключите временно все экраны Avast.

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].

Загрузка через менеджер вложений, на этом аккаунте, по непонятной причине не работает

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[url]https://dropmefiles.com/69Cav[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

кликаю скрепку -> добавить файлы -> выберите файл ->выбираю архив -> загрузить и на этом этапе ничего не происходит

Дочистим реестр от вируса и мусор.

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.11.3 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.1
v400c
delref %SystemDrive%\AUTOEXEC.VBS
delref %SystemRoot%\TEMP\CC20E6A8-1B63-4884-A3DD-3219ACA2F894
delref %SystemRoot%\TEMP\CPUZ148\CPUZ148_X64.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.422\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.23\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.442\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.342\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.32\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.34.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.301\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.17\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.34.11\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.452\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.422\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.23\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.442\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.342\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.32\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.34.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.301\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.17\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.34.11\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.452\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.23\GOOGLEUPDATEBROKER.EXE
apply
restart[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].

Приложите этот файл к своему следующему сообщению.

Файлы до сих пор не получается прикрепить. [URL="https://dropmefiles.com/iIl5s"]залил на хостинг[/URL]

Система не обновляется и крайне уязвима.
[QUOTE]HotFix KB3177467 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB3177467]Скачать обновления[/url][/b][/color]
HotFix KB3125574 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB3125574]Скачать обновления[/url][/b][/color]
HotFix KB4012212 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212]Скачать обновления[/url][/b][/color]
HotFix KB4499175 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4499175]Скачать обновления[/url][/b][/color]
HotFix KB4474419 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4474419]Скачать обновления[/url][/b][/color]
HotFix KB4490628 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4490628]Скачать обновления[/url][/b][/color]
HotFix KB4539602 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4539602]Скачать обновления[/url][/b][/color][/QUOTE]Устанавливайте, это только критические хотфиксы, включая KB4012212, который закрывает опаснейшую уязвимость, используемую в т. ч. нашумевшими в 2017 году шифровальщики WannaCry и Petya/NotPetya, а также многими майнерами и троянами.

Установите Internet Explorer 11, [B]даже если им не пользуетесь[/B], это критически важный для безопасности компонент Windows.

[QUOTE]WinRAR 5.20 (64-bit) v.5.20.0 [color=red][b]Внимание! [url=https://www.rarlab.com/download.htm]Скачать обновления[/url][/b][/color][/QUOTE]Архиваторы тоже используются в нехороших целях, обновите:
[URL="https://www.anti-malware.ru/news/2019-02-21-1447/28944"]Дыра в WinRAR более 19 лет угрожала 500 миллионам пользователей[/URL].
[URL="https://www.securitylab.ru/news/498365.php"]Уязвимость в WinRAR активно эксплуатируется злоумышленниками[/URL].

[QUOTE]Java 8 Update 45 (64-bit) v.8.0.450 [color=red][b]Внимание! [url=https://java.com/download/manual.jsp]Скачать обновления[/url][/b][/color]
[color=blue][b]^Удалите старую версию и установите новую (jre-8u271-windows-x64.exe)^[/b][/color][/QUOTE]

[QUOTE]Google Chrome v.87.0.4280.88 [color=red][b]Внимание! [url=https://www.google.ru/chrome/browser/desktop/index.html]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Справка - О Google Chrome!^[/b][/color][/QUOTE]

Очистите кеш и cookie [URL="https://support.google.com/accounts/answer/32050?co=GENIE.Platform%3DDesktop&hl=ru"]в Хроме[/URL].

Спасибо за помощь! Скажите, есть ли риски сломать нелицензионную винду, если установлю все эти хотфиксы?

Гарантировать ничего нельзя, и лицензионная, бывает, падает. Но шанс невелик.

А если у меня никогда не открыты никакие порты, тоже рекомендуете все их ставить?

В общем случае да, взломать могут и локально, сами запустите нехорошее приложение.

Хорошо, спасибо за советы и за помощь! Невероятно выручили :>