Printable View
Здраствуйте. Скачал кряк 3ds Max и пошло поехало. Сначала дико тормозил. Запустил в безопасном режиме и почистил подозрительные папки. Не смог удалить папку Internet Explorer. Хотел удалить потому что в нем происходили изменения в ту дату когда скачал. Не получилось, подумал вирус. Скачал Malwarebytes. Не устанавливается с сообщением "Недопустимый путь". Уже все делал. Переименовывал, перемещал и тд. Прилагаю логи из программы AutoLogger
Уважаемый(ая) [B]zufar4ik[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[QUOTE=zufar4ik;1519625]Не смог удалить папку Internet Explorer.[/QUOTE]
Не трогайте, она не при чём.
Скачайте, распакуйте и запустите [URL="https://bit.ly/3sxnX3j"]утилиту AV block remove[/URL], следуйте инструкциям.
Файл [B]AV_block_remove.log[/B] из папки с программы прикрепите к своему сообщению.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B].
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
[QUOTE=Vvvyg;1519627]Не трогайте, она не при чём.
Скачайте, распакуйте и запустите [URL="https://bit.ly/3sxnX3j"]утилиту AV block remove[/URL], следуйте инструкциям.
Файл [B]AV_block_remove.log[/B] из папки с программы прикрепите к своему сообщению.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B].
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).[/QUOTE]
Все сделал. Во время проверки, AvBr задал вопрос удалить ли пользователя с именем John. У меня и правда появились какие то другие разрешения на каких то других людей. Также оказалось, что это был майнер и AvBlock все сделал (точнее почистил hosts, после чего ПК перезагрузился, но я не стал запускать AV второй раз. СПАСИБО ВАМ ОГРОМНОЕ!!!!!!!! Все же прилагаю файлы, которые вы просили
Прошло 20 минут......
Все же запустил еще раз, и снова появлися John и снова hosts и снова перезагрузка. Думаю что все таки что то не так
Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
HKU\S-1-5-21-3656459966-172021967-2248542221-1001\...\MountPoints2: {7f48032e-45ea-11eb-831d-b42e99b5f672} - "D:\startme.exe"
HKU\S-1-5-21-3656459966-172021967-2248542221-1001\...\MountPoints2: {c0eead0c-b4aa-11ea-8274-b42e99b5f672} - "D:\SISetup.exe"
HKU\S-1-5-21-3656459966-172021967-2248542221-1001\...\MountPoints2: {7f48032e-45ea-11eb-831d-b42e99b5f672} - "D:\startme.exe"
HKU\S-1-5-21-3656459966-172021967-2248542221-1001\...\MountPoints2: {c0eead0c-b4aa-11ea-8274-b42e99b5f672} - "D:\SISetup.exe"
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕCHR HKU\S-1-5-21-3656459966-172021967-2248542221-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fhkbfkkohcdgpckffakhbllifkakihmh]
AlternateDataStreams: C:\Users\zufar\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
FirewallRules: [{FD2AF5A3-9E63-48AB-951A-6C0797D5905F}] => (Allow) C:\Program Files (x86)\Zona\Zona.exe => Нет файла
FirewallRules: [{35F94068-0CFA-4AD1-93CC-E474EC84B670}] => (Allow) C:\Program Files (x86)\Zona\Zona.exe => Нет файла
FirewallRules: [TCP Query User{65E4F0A4-36C8-4F68-BA1C-8DEA817B50E9}C:\program files\java\jre1.8.0_45\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_45\bin\javaw.exe => Нет файла
FirewallRules: [UDP Query User{BBCB01A2-6A98-4EFD-9DE8-1CE469C0A17E}C:\program files\java\jre1.8.0_45\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_45\bin\javaw.exe => Нет файла
FirewallRules: [TCP Query User{1C063606-D01D-42A6-9C31-3A11D8D5CE8F}C:\program files\java\jre1.8.0_251\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_251\bin\javaw.exe => Нет файла
FirewallRules: [UDP Query User{758C9361-4B3A-493E-A91B-D1B8A3EA849E}C:\program files\java\jre1.8.0_251\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_251\bin\javaw.exe => Нет файла
FirewallRules: [{572EC937-404B-4387-AC73-1AD59E0127FA}] => (Block) C:\program files\java\jre1.8.0_251\bin\javaw.exe => Нет файла
FirewallRules: [{0A6D92EC-B86C-42C8-88B9-C4D234E4DEFA}] => (Block) C:\program files\java\jre1.8.0_251\bin\javaw.exe => Нет файла
FirewallRules: [TCP Query User{1ECD4F88-E94D-4F64-9967-7283978878EF}C:\program files\java\jre1.8.0_261\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_261\bin\javaw.exe => Нет файла
FirewallRules: [UDP Query User{D78E1A85-B33D-4AB5-A078-5F9A208F98B3}C:\program files\java\jre1.8.0_261\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_261\bin\javaw.exe => Нет файла
FirewallRules: [{943005B5-4952-4A9E-B649-44F15A04A0E6}] => (Allow) C:\Program Files\Mozilla Firefox\firefox.exe => Нет файла
FirewallRules: [{F7C0DA0C-39BD-4891-B74B-93A7168FE478}] => (Allow) C:\Program Files\Mozilla Firefox\firefox.exe => Нет файла
FirewallRules: [TCP Query User{27263CDC-CE7B-467F-9C15-7A6653607CCD}C:\program files\ivms-4200 station\ivms-4200\ivms-4200 client\ivms-4200.exe] => (Allow) C:\program files\ivms-4200 station\ivms-4200\ivms-4200 client\ivms-4200.exe => Нет файла
FirewallRules: [UDP Query User{AE8F5946-8540-4954-A574-C7D6ACAD5EAE}C:\program files\ivms-4200 station\ivms-4200\ivms-4200 client\ivms-4200.exe] => (Allow) C:\program files\ivms-4200 station\ivms-4200\ivms-4200 client\ivms-4200.exe => Нет файла
FirewallRules: [TCP Query User{3BDEA295-6DE2-49A5-9BC6-DF894A9B78D5}C:\users\zufar\downloads\pavlovvr\pavlov\binaries\win64\pavlov-win64-shipping.exe] => (Allow) C:\users\zufar\downloads\pavlovvr\pavlov\binaries\win64\pavlov-win64-shipping.exe => Нет файла
FirewallRules: [UDP Query User{A1CD5B29-1FE6-41D0-B84E-BE6EE8AA83C1}C:\users\zufar\downloads\pavlovvr\pavlov\binaries\win64\pavlov-win64-shipping.exe] => (Allow) C:\users\zufar\downloads\pavlovvr\pavlov\binaries\win64\pavlov-win64-shipping.exe => Нет файла
FirewallRules: [{4B256E75-CD5E-4ABD-903D-407084450A8B}] => (Allow) C:\Users\zufar\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{5734EA75-B226-4642-97C4-01D3476529B9}] => (Allow) C:\Users\zufar\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{E173E7D0-0060-4289-9D35-8006CDCD60C9}] => (Allow) C:\SteamLibrary\steamapps\common\wallpaper_engine\bin\diagnostics32.exe => Нет файла
FirewallRules: [{92DA3464-3417-4498-B0C3-ADEC12D3B291}] => (Allow) C:\SteamLibrary\steamapps\common\wallpaper_engine\bin\diagnostics32.exe => Нет файла
FirewallRules: [TCP Query User{5182AFC0-5690-4AC2-8FB4-E20750A72102}C:\users\zufar\downloads\job simulator\jobsimulator.exe] => (Allow) C:\users\zufar\downloads\job simulator\jobsimulator.exe => Нет файла
FirewallRules: [UDP Query User{58237BC8-0935-4318-9C37-CBCE952C0B8D}C:\users\zufar\downloads\job simulator\jobsimulator.exe] => (Allow) C:\users\zufar\downloads\job simulator\jobsimulator.exe => Нет файла
FirewallRules: [TCP Query User{A0B804BD-A057-4341-9D11-84111F2DBD0F}C:\users\zufar\downloads\racket.fury\racketfury.exe] => (Allow) C:\users\zufar\downloads\racket.fury\racketfury.exe => Нет файла
FirewallRules: [UDP Query User{BC0F7071-A3C0-44C7-9959-CA42A8A13177}C:\users\zufar\downloads\racket.fury\racketfury.exe] => (Allow) C:\users\zufar\downloads\racket.fury\racketfury.exe => Нет файла
FirewallRules: [{02ED242C-133D-4FF8-878A-EB307071ADA4}] => (Allow) C:\Program Files\iTunes\iTunes.exe => Нет файла
FirewallRules: [TCP Query User{569DDF0F-2627-4C5E-842F-8E5935D80E3E}C:\program files (x86)\altserver\altserver.exe] => (Allow) C:\program files (x86)\altserver\altserver.exe => Нет файла
FirewallRules: [UDP Query User{C8C393E1-7C7C-46F1-BD18-67319464D4E6}C:\program files (x86)\altserver\altserver.exe] => (Allow) C:\program files (x86)\altserver\altserver.exe => Нет файла
FirewallRules: [{345619AF-8E26-481C-9B3C-CF22ACF6CFD7}] => (Block) C:\program files (x86)\altserver\altserver.exe => Нет файла
FirewallRules: [{DFAE6804-1341-4E2F-99D2-04E2A3EA7BE3}] => (Block) C:\program files (x86)\altserver\altserver.exe => Нет файла
FirewallRules: [TCP Query User{D9139303-B9B4-443E-95DF-586C9EEFF7C6}C:\users\zufar\downloads\the.climb.vr\crytek_climb_wip\bin\win_x64\climb.exe] => (Allow) C:\users\zufar\downloads\the.climb.vr\crytek_climb_wip\bin\win_x64\climb.exe => Нет файла
FirewallRules: [UDP Query User{986AD71C-BE21-405F-B290-A2460661B152}C:\users\zufar\downloads\the.climb.vr\crytek_climb_wip\bin\win_x64\climb.exe] => (Allow) C:\users\zufar\downloads\the.climb.vr\crytek_climb_wip\bin\win_x64\climb.exe => Нет файла
FirewallRules: [{8A369059-5B52-4F3D-83D5-C317E39FFE96}] => (Block) C:\users\zufar\downloads\the.climb.vr\crytek_climb_wip\bin\win_x64\climb.exe => Нет файла
FirewallRules: [{1815B2D8-F081-4837-8F3F-6A85EA5CC73E}] => (Block) C:\users\zufar\downloads\the.climb.vr\crytek_climb_wip\bin\win_x64\climb.exe => Нет файла
FirewallRules: [TCP Query User{E08EFF30-A083-4054-8AD5-322DF8F43E9B}C:\program files (x86)\common files\oracle\java\javapath_target_87145875\java.exe] => (Allow) C:\program files (x86)\common files\oracle\java\javapath_target_87145875\java.exe => Нет файла
FirewallRules: [UDP Query User{C1907205-5A39-437C-BE00-DBF0F84DAF6B}C:\program files (x86)\common files\oracle\java\javapath_target_87145875\java.exe] => (Allow) C:\program files (x86)\common files\oracle\java\javapath_target_87145875\java.exe => Нет файла
FirewallRules: [{9BF765B5-89F1-4A48-B279-EE97C1272AEF}] => (Block) C:\program files (x86)\common files\oracle\java\javapath_target_87145875\java.exe => Нет файла
FirewallRules: [{8DE3E254-1045-4918-BA6D-E4B210A2A17B}] => (Block) C:\program files (x86)\common files\oracle\java\javapath_target_87145875\java.exe => Нет файла
FirewallRules: [{F2977606-A72C-4B17-8415-9B117C0BC078}] => (Allow) C:\Program Files (x86)\Sony\Xperia Companion\XperiaCompanion.exe => Нет файла
FirewallRules: [{D1BDE682-4A96-4C74-8BDB-070EE0AC73FB}] => (Allow) C:\Program Files (x86)\Overwolf\0.162.0.13\OverwolfBrowser.exe => Нет файла
FirewallRules: [{F29C98B9-DCD3-4448-B7A2-A7134B6601C7}] => (Allow) C:\Program Files (x86)\Overwolf\0.162.0.13\OverwolfBrowser.exe => Нет файла
FirewallRules: [{B6EB4936-0E36-43B9-AEAC-9681F8290F0E}] => (Block) C:\Program Files (x86)\Overwolf\0.162.0.13\OverwolfBrowser.exe => Нет файла
FirewallRules: [{89DADABA-6497-4BEC-B868-1933D2E93AAE}] => (Block) C:\Program Files (x86)\Overwolf\0.162.0.13\OverwolfBrowser.exe => Нет файла
FirewallRules: [{8DBC29C4-B1AA-4D32-97F4-BEB54B68DB75}] => (Allow) C:\Program Files (x86)\CodeMeter\Runtime\bin\CodeMeter.exe => Нет файла
FirewallRules: [{CAC49B67-7576-4EA7-A795-7A4AE52E54CC}] => (Allow) C:\Program Files (x86)\CodeMeter\Runtime\bin\CodeMeter.exe => Нет файла
FirewallRules: [{88331602-2FB2-4033-87F4-78AA27648172}] => (Allow) C:\Program Files\CodeMeter\Runtime\bin\CmWebAdmin.exe => Нет файла
FirewallRules: [{62E04584-94BC-4593-A622-89FD84D13E4D}] => (Allow) C:\Program Files\CodeMeter\Runtime\bin\CmWebAdmin.exe => Нет файла
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
[b]Vvvyg[/b], Код который вы отправили я вставил в окошко в программе и нажал исправить. Файлы прилагаю
В окошко не надо, программа прямо из буфера обмена берёт данные. Сработало.
Всё на этом.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.
[b]Vvvyg[/b], как понять все на этом? Я по прежнему не могу зайти. И у меня так и остался пользователь John. Каспийский работает через одно место. Malwarebytes запускает установку но не завершает. А каждый раз когда я запускаю AVZBr он перезагружает ПК но не очищает Джона и hosts
Пользователя John в системе нет, hosts чист, судя по логам FRST.
AVZBr больше запускать не нужно.
Malwarebytes деинсталлируйте
Зайти куда не можете, из каких браузеров?
Новые логи Farbar Recovery Scan Tool сделайте.
[b]Vvvyg[/b], Сделал новые логи. Пробовал удалить Malwarebytes не получилось (фото прилагаю). Все же запустил AVRBr чтобы вам показать что John есть (фото прилагаю). Когда заходил в безопасный режим, помимо моей учетки есть John. А hosts и правда чистые. Также в разрешениях файлов появились какие то Trusted Installer и Администраторы.
Логи - означает выполнить рекомендации по FRST из сообщения #3, а не делать исправление снова.
AVZBr не проверяет наличие пользователя John, просто запрашивает его удаление.
[b]Vvvyg[/b], Извините, вы правы Johna нет.
Удалите Kaspersky Password Manager и Kaspersky Secure Connection.
Загрузите систему в безопасном режиме.
Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
CHR HKU\S-1-5-21-3656459966-172021967-2248542221-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fhkbfkkohcdgpckffakhbllifkakihmh]
S2 MBAMIService; C:\ProgramData\MB3Install\MBAMIService.exe [231120 2019-06-26] () [Файл не подписан]
S2 MBAMInstallerService; "C:\Program Files\Malwarebytes\Anti-Malware\MBAMInstallerService.exe" [X]
S0 MbamElam; C:\Windows\System32\DRIVERS\MbamElam.sys [19912 2020-10-05] (Microsoft Windows Early Launch Anti-malware Publisher -> Malwarebytes)
Unlock: C:\ProgramData\Kaspersky Lab
Unlock: C:\ProgramData\Kaspersky Lab Setup Files
Unlock: C:\Program Files\Kaspersky Lab
Unlock: C:\Users\Default\AppData\Local\Kaspersky Lab
Unlock: C:\Program Files (x86)\Kaspersky Lab
2021-04-12 20:31 - 2021-04-12 20:03 - 000007804 _____ C:\Windows\system32\Drivers\etc\2021-04-12_20-31_hosts.bak
2021-04-12 22:42 - 2021-04-12 20:36 - 000000852 _____ C:\Windows\system32\Drivers\etc\2021-04-12_22-42_hosts.bak
2021-04-12 20:03 - 2021-04-11 20:16 - 000008095 _____ C:\Windows\system32\Drivers\etc\2021-04-12_20-03_hosts.bak
2021-04-11 18:39 - 2021-04-11 20:51 - 000000000 __SHD C:\DrWeb Quarantine
2021-04-11 18:04 - 2021-04-11 21:55 - 000000000 ____D C:\Windows\system32\Tasks\Doctor Web
2021-04-11 18:04 - 2021-04-11 18:04 - 000000000 ____D C:\Users\zufar\Doctor Web
2021-04-11 17:21 - 2021-04-11 17:22 - 000000000 ____D C:\ProgramData\MB3Migration
2021-04-11 17:21 - 2021-04-11 17:22 - 000000000 ____D C:\ProgramData\MB3CoreBackup
C:\ProgramData\MB3Install
C:\Program Files\Malwarebytes
C:\Windows\System32\DRIVERS\MbamElam.sys
CustomCLSID: HKU\S-1-5-21-3656459966-172021967-2248542221-1001_Classes\CLSID\{8C23B656-4E6E-4B45-9920-9617168D39A3}\InprocServer32 -> C:\Program Files\Autodesk\3ds Max 2021\Inventor Server\Bin\TestServer.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-3656459966-172021967-2248542221-1001_Classes\CLSID\{073CB204-6B29-46FC-AB98-451F1D068741}\InprocServer32 -> C:\Program Files\Autodesk\3ds Max 2021\Inventor Server\Bin\TestServer.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-3656459966-172021967-2248542221-1001_Classes\CLSID\{E5B0515D-48D2-4F04-906D-0192ED65A2DD}\InprocServer32 -> C:\Program Files\Autodesk\3ds Max 2021\Inventor Server\Bin\TestServer.dll => Нет файла
ContextMenuHandlers3: [MBAMShlExt] -> {57CE581A-0CB6-4266-9CA0-19364C90A0B3} => -> Нет файла
ContextMenuHandlers6: [MBAMShlExt] -> {57CE581A-0CB6-4266-9CA0-19364C90A0B3} => -> Нет файла
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\35065F43-4BB2-439A-BFF7-0F1014F2E0CD}_is1" /f
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Сообщите, что с проблемами.
[b]Vvvyg[/b], выполнил
После исправлений удалось программы Kaspersky удалить?
[b]Vvvyg[/b], я удалил вручную. Дал себе разрешения вручную. Проблема в том что программа - установщик не может установить и кнопка обзор серая. По факту вирусов не осталось, но вирус напартачил с разрешениями
Можно автоматизировать и в реестре разрешения сбросить на стандартные.
[URL="http://www.tweaking.com/files/setups/tweaking.com_windows_repair_aio.zip"]Windows Repair (All In One)[/URL], распакуйте, запустите, "Jump To Repairs", "Open Repairs", отметьте пункты:
[B]01 "Reset Registry Permissions[/B]
[B]02 "Reset File Permissions[/B]
[B]03 "Reset Service Permissions[/B]
[B]Start Repairs[/B], перезагрузка..