Майнеры, rutserv.exe удаленный доступ

На Windows 10 искал в интернете русификатор для игры, запустил скаченный исполняемый файл exe. После этого начались проблемы: в Диспетчере задач появился файл rutserv.exe, не удавалось получить доступ к сайтам антивирусов. Антивирусы в этот момент не были установлены на компьютере и был отключен Защитник Windows.

Запустился в безопасном режиме, с флэшки загрузил Dr.Web CureIt! и удалил несколько найденных вирусов Trojan.
В этот момент ещё не начал записывать пошагово все свои действия, к сожалению.

В результате поиска на форумах предположил, что был установлен xmrig-cuda.dll криптомайнер (под microsoftHost.exe, удалось найти его путь через taskhostw.exe). Нашел эти файлы и удалил, затем с помощью вирусной базы на сайте Dr.Web (статья о Trojan.Hosts.43895) нашёл список устанавливаемых вирусом файлов, искал и удалял их вручную через FAR Manager, многое совпало со списком.

! Обратил внимание, что создали удалённый доступ к компьютеру через группу пользователей «Администраторы», где был указан компьютер john. У этой группы пользователей установлен больший доступ, чем у меня, к некоторым папкам. Изменить их доступ не могу, указано «объект наследует разрешение от своего родителя».

После этого попробовал запуститься в обычном режиме, откуда попытался установить антивирус malware bytes. После якобы установки предложили перезагрузить компьютер, однако после включения компьютер самостоятельно начал перезагружаться снова, стоило ему попытаться войти в моего пользователя.

Это повторилось дважды, после чего я снова вошёл через безопасный режим. В безопасном режиме также не удалось запустить malware bytes.
В безопасном режиме снова включил Dr Web, вручную выделив все диски на компьютере. После этого dr web обнаружил ещё вирусы, в том числе файлы, которые я видел в списке с сайта Dr.Web, но не мог найти.
Удалил найденные вирусы, их уже все записал.

Думаю, что не нашел все опасные файлы, также необходимо удалить доступ этой третьей группе лиц Администраторы.

Узнал о вашем сайте и работе и решил, что необходимо сделать всё правильно для решения проблемы. Заранее спасибо за ответ.

Хотел бы уточнить, что не удалось оформить коммерческую подписку из-за новых изменений в работе paypal - гражданин РФ не может переслать средства гражданину РФ; даже без входа в пэйпэл не получилось из-за карты российского банка.

Уважаемый(ая) [B]trupsaveman[/B], спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ из папки Autologger
[code]{ Перед использованием скрипта убедитесь, что в системе не установлены упомянутые в скрипте антивирусы. Автор скрипта: regist. Modification: thyrex}
var ProgramData, ProgramFiles, ProgramFiles86, fname, OSVer: string;
PD_folders, PF_folders, O_folders, L_SID: TStringList;

procedure FillList;
begin
PD_folders:= TStringList.Create;
PD_folders.Add('360TotalSecurity');
PD_folders.Add('360safe');
PD_folders.Add('AVAST Software');
PD_folders.Add('Avg');
PD_folders.Add('Avira');
PD_folders.Add('ESET');
PD_folders.Add('Indus');
PD_folders.Add('Kaspersky Lab Setup Files');
PD_folders.Add('Kaspersky Lab');
PD_folders.Add('MB3Install');
PD_folders.Add('Malwarebytes');
PD_folders.Add('McAfee');
PD_folders.Add('Microsoft\Check');
PD_folders.Add('Microsoft\Intel');
PD_folders.Add('Microsoft\temp');
PD_folders.Add('Norton');
PD_folders.Add('grizzly');
PD_folders.Add('RealtekHD');
PD_folders.Add('RunDLL');
PD_folders.Add('Setup');
PD_folders.Add('System32');
PD_folders.Add('Windows');
PD_folders.Add('WindowsTask');
PD_folders.Add('install');
PD_folders.Add('Doctor Web');
PD_folders.Add('bebca3bc90');
PF_folders:= TStringList.Create;
PF_folders.Add('360');
PF_folders.Add('AVAST Software');
PF_folders.Add('AVG');
PF_folders.Add('ByteFence');
PF_folders.Add('Zaxar');
PF_folders.Add('COMODO');
PF_folders.Add('Cezurity');
PF_folders.Add('Common Files\McAfee');
PF_folders.Add('ESET');
PF_folders.Add('Enigma Software Group');
PF_folders.Add('GRIZZLY Antivirus');
PF_folders.Add('Kaspersky Lab');
PF_folders.Add('Malwarebytes');
PF_folders.Add('Microsoft JDX');
PF_folders.Add('Panda Security');
PF_folders.Add('SpyHunter');
PF_folders.Add('RDP Wrapper');
O_folders:= TStringList.Create;
O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\AdwCleaner'));
O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\rdp'));
O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\KVRT_Data'));
O_folders.Add(NormalDir('%windir%'+'\NetworkDistribution'));
O_folders.Add(NormalDir('%windir%'+'\speechstracing'));
O_folders.Add(NormalDir('%windir%'+'\Fonts\Mysql'));
end;

procedure Del_folders(path: string; AFL: TStringList);
var i, A: integer;
s: string;
begin
for i:= 0 to AFL.Count - 1 do
begin
fname:= NormalDir(path + AFL[i]);
if DirectoryExists(fname)
then
begin
s:= 'Found ' + fname + ' (';
A:= GetAttr(fname);
if A and 4 = 4
then s:= s + 'S';
if A and 2 = 2
then s:= s + 'H';
s:= s + 'D)';
AddToLog(s);
QuarantineFileF(fname, '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
DeleteFileMask(fname, '*', true);
FSResetSecurity(fname);
DeleteDirectory(fname);
end;
end;
end;

procedure Del_DisallowRun(SID_Name: string);
const
PolExplKey = '\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\';
DR = 'DisallowRun';
var name1, name2: string;
begin
name1:= SID_Name + PolExplKey;
name2:= name1 + DR;
if (RegKeyExists('HKEY_USERS', name2))
then
begin
AddToLog('HKEY_USERS\' + name2 + ' - Exists');
BackupRegKey('HKEY_USERS', name1, DR + SID_Name);
RegKeyDel('HKEY_USERS', name2);
RegKeyParamDel('HKEY_USERS', name1, DR);
end;
end;

procedure swprv;
begin
ExecuteFile('sc.exe', 'create "swprv" binpath= "%SystemRoot%\System32\svchost.exe -k swprv" type= own start= demand depend= RPCSS', 0, 15000, true);
RegKeyParamDel ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'wow64');
RegKeyStrParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'Description', '@%SystemRoot%\System32\swprv.dll,-102');
RegKeyStrParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'DisplayName', '@%SystemRoot%\System32\swprv.dll,-103');
RegKeyIntParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'ServiceSidType', '1');
RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%Systemroot%\System32\swprv.dll');
OSVer := RegKeyStrParamRead('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion','CurrentVersion');
if OSVer > '6.1' then RegKeyIntParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv\Parameters', 'ServiceDllUnloadOnStop', '1');;
ExecuteFile('sc.exe', 'privs "swprv" SeBackupPrivilege/SeChangeNotifyPrivilege/SeCreateGlobalPrivilege/SeCreatePermanentPrivilege/SeImpersonatePrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeIncreaseBasePriorityPrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeTcbPrivilege', 0, 15000, true);
ExecuteFile('net.exe', 'start "swprv"', 0, 15000, true);
end;

procedure AV_block_remove;
var i: integer;
begin
Clearlog;
FillList;
ProgramData:= GetEnvironmentVariable('ProgramData') + '\';
ProgramFiles:= NormalDir('%PF%');
ProgramFiles86:= NormalDir('%PF% (x86)');
Del_folders(ProgramData, PD_folders);
Del_folders(ProgramFiles, PF_folders);
Del_folders(ProgramFiles86, PF_folders);
Del_folders('', O_folders);

L_SID:= TStringList.Create;
RegKeyEnumKey('HKEY_USERS', '\', L_SID);
for i:= 0 to L_SID.Count-1 do
Del_DisallowRun(L_SID[i]);
L_SID.Free;

RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\services\TermService\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%SystemRoot%\System32\termsrv.dll');
swprv;
BackupRegKey('HKLM', 'System\Remote Manipulator System', 'RMS');
RegKeyDel('HKLM', 'System\Remote Manipulator System');
ExecuteFile('netsh.exe', 'advfirewall firewall delete rule name="allow RDP" protocol=tcp localport=3389', 0, 15000, true);
ExecuteFile('netsh.exe', 'advfirewall firewall delete rule name="Port Blocking" protocol=tcp localport=445', 0, 15000, true);
ExecuteFile('netsh.exe', 'advfirewall firewall delete rule name="Port Blocking" protocol=udp localport=445', 0, 15000, true);
ExecuteFile('netsh.exe', 'advfirewall firewall delete rule name="Port Blocking" protocol=tcp localport=139', 0, 15000, true);
ExecuteFile('netsh.exe', 'advfirewall firewall delete rule name="Port Blocking" protocol=udp localport=139', 0, 15000, true);
if MessageDLG('Удалить пользователя "John" ?'+ #13#10 + 'Если пользователь с таким именем вам не знаком, то нажмите "Да".', mtConfirmation, mbYes+mbNo, 0) = 6
then ExecuteFile('net.exe', 'user john /delete', 0, 15000, true);
PD_folders.Free;
PF_folders.Free;
O_folders.Free;
end;

begin
if GetAVZVersion < 5.18
then
begin
ShowMessage('Пожалуйста, используйте актуальную версию AVZ, например, из папки AutoLogger-а.'+#13#10+'Please use actual AVZ version, for example from AutoLogger’s folder.');
AddToLog('Текущая версия - '+FormatFloat('#0.00', GetAVZVersion));
exitAVZ;
end;
AV_block_remove;
fname:= ProgramData + 'RDPWinst.exe';
if FileExists(fname) then DeleteFile(fname);
fname:= '%windir%'+'\WrpYGF74DrEm.ini';
if FileExists(fname) then DeleteFile(fname);
ExecuteSysClean;
SaveLog(GetAVZDirectory +'AV_block_remove.log');
RebootWindows(false);
end.[/code][list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин [/b][/u][/color] [b]над первым сообщением[/b] темы.

[b][color="Red"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи. [/color][/b]

Спасибо, что откликнулись! Сделал все как вы сказали.

Сделал.

Скачайте [url=https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i] и [i]90 Days Files[/i].
[img]https://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Файлы [b]FRST.txt[/b] и [b]Addition.txt[/b] заархивируйте (в [b]один общий архив[/b]) и прикрепите к сообщению.

Просканировал и собрал оба файла в архив.

1. Выделите следующий код:
[code]
Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
IFEO\notepad.exe: [Debugger] "C:\Program Files\Notepad2\Notepad2.exe" /z
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Task: {15A32F3F-974C-4A06-926F-21A0D10C7371} - System32\Tasks\Microsoft\Windows\Wininet\RealtekHDStartUP => C:\Programdata\RealtekHD\taskhost.exe <==== ВНИМАНИЕ
Task: {2D13FA33-41CE-4AFE-A180-D885A1623AC3} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> Нет файла <==== ВНИМАНИЕ
Task: {3271D1FC-F314-40BC-9A36-A2A86BF55722} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Нет файла <==== ВНИМАНИЕ
Task: {35F25216-D240-40A2-AF22-510C4D79C654} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Нет файла <==== ВНИМАНИЕ
Task: {563B397D-E057-4EAA-9D4E-210C656A3C21} - System32\Tasks\Microsoft\Windows\Wininet\RealtekHDControl => C:\Programdata\RealtekHD\taskhost.exe <==== ВНИМАНИЕ
Task: {9DD76702-4F87-4B6A-9077-9BE7BD1E6222} - \Microsoft\Windows\Setup\gwx\rundetector -> Нет файла <==== ВНИМАНИЕ
Task: {A1A5AD75-3A93-496E-BC8D-D34AE04018B4} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Нет файла <==== ВНИМАНИЕ
Task: {BAD8A674-54B9-4F2E-BC99-15B843222F76} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Нет файла <==== ВНИМАНИЕ
Task: {D9F57F77-7A00-4FA4-AA1C-EDE55F00E649} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> Нет файла <==== ВНИМАНИЕ
Task: {DDAA90A9-F903-40ED-BFBA-36DABB073F60} - System32\Tasks\Microsoft\Windows\Wininet\Cleaner => C:\Programdata\WindowsTask\winlogon.exe <==== ВНИМАНИЕ
Task: {E2860FC0-9889-4A02-B3B3-1D06DCF15754} - System32\Tasks\Microsoft\Windows\Wininet\Taskhost => C:\Programdata\RealtekHD\taskhostw.exe <==== ВНИМАНИЕ
Task: {F9C6170C-6BE3-4722-A6B6-C601D237DDB3} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Нет файла <==== ВНИМАНИЕ
Task: {FF3CE407-D8B7-479D-B22A-0BAFA42E5DDD} - System32\Tasks\Microsoft\Windows\Wininet\Taskhostw => C:\Programdata\RealtekHD\taskhostw.exe <==== ВНИМАНИЕ
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} => -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} => -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} => -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} => -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} => -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} => -> Нет файла
FirewallRules: [VIRTCL-WMI-RPCSS-In-TCP-NoScope] => (Allow) $(runtime.system32)\svchost.exe => Нет файла
FirewallRules: [VIRTCL-WMI-WINMGMT-In-TCP-NoScope] => (Allow) $(runtime.system32)\svchost.exe => Нет файла
FirewallRules: [VIRTCL-WMI-WINMGMT-Out-TCP-NoScope] => (Allow) $(runtime.system32)\svchost.exe => Нет файла
FirewallRules: [VIRTCL-WMI-ASYNC-In-TCP-NoScope] => (Allow) $(runtime.system32)\wbem\unsecapp.exe => Нет файла
FirewallRules: [{3EFFFE18-14BF-46EF-B285-EE2C7D605AC8}] => (Allow) D:\Games\STAR WARS Battlefront II\starwarsbattlefrontii.exe => Нет файла
FirewallRules: [{B35B7B29-F200-48EF-8FD8-C18A491D04CA}] => (Allow) D:\Games\STAR WARS Battlefront II\starwarsbattlefrontii.exe => Нет файла
FirewallRules: [{AC89CFC8-E231-44EA-89D1-1BEB3CAAD313}] => (Allow) D:\Games\STAR WARS Battlefront II\starwarsbattlefrontii_trial.exe => Нет файла
FirewallRules: [{A0053C53-399C-4510-8752-2BBD7B52F893}] => (Allow) D:\Games\STAR WARS Battlefront II\starwarsbattlefrontii_trial.exe => Нет файла
FirewallRules: [{271DBC8E-214F-4837-985E-77E2CB9C382B}] => (Allow) D:\Shareman\Shareman.exe => Нет файла
FirewallRules: [{30311E41-7709-40E6-8A0E-B7A4D1F51569}] => (Allow) D:\Shareman\Shareman.exe => Нет файла
FirewallRules: [{3279F64A-4D2C-4CDC-B596-525F7DD4BDB8}] => (Block) LPort=445
FirewallRules: [{AE44667D-4BA9-4809-994B-8A454F96333C}] => (Block) LPort=445
FirewallRules: [{BEBC7AC3-6DC0-458A-BB86-0A7E2BA5122A}] => (Block) LPort=139
FirewallRules: [{8F94DEDF-DD6F-4EF9-A33E-B1487665A71F}] => (Block) LPort=139
Reboot:
End::
[/code]
2. Скопируйте выделенный текст ([b]правая кнопка мыши[/b] – [b]Копировать[/b]).
3. Запустите [b]Farbar Recovery Scan Tool[/b].
4. Нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Пофиксил, лог прикрепляю.

Проблема решена?

Да, спасибо большое!
У меня остались некоторые вопросы, в связи с чем хочу воспользоваться услугой аудита, но не могу оплатить из-за новых правил работы paypal.
Скажите пожалуйста, есть ли какой-нибудь другой способ оплатить услугу?
Писал в поддержку, но мне оттуда не ответили, может быть вы сможете помочь?

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]18[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=
=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB =E2 =EA=E0=F0=E0=ED=F2=E8=ED=E0=F5 =ED=
=E5 =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB[/LIST]