Нагрузка процессора. Майнер Win32/Qhost

Доброго дня, столкнулся с майнером, который скрывался от диспетчера задач и закрывал все антивирусные/ремонтные сайты через прокси (я полагаю) и собственно, нагружал процессор до 80-90 градусов. Обнаружил совершенно случайно и с трудом удалось удалить, но есть подозрения, что это ещё не всё. Файл hosts я уже почистил.
Пожалуйста, помогите замести грязные следы оставленные вирусом, если таковые конечно есть. Я хочу быть уверен, что он уничтожен и такого больше не повторится.

P.S. Хотелось бы узнать ещё как удалить скрытую папку WindowsTask. Неприятно осознавать, что она у меня есть ещё. И да, скрытые файлы у меня видны, но этой папки нет вообще, однако перейти я могу в неё через адресную строку.

Свежий отчёт прилагается.

Уважаемый(ая) [B]Nyamurai[/B], спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

У Вас похоже майнер который блокируют доступ к антивирусным продуктам.

Cкачайте, распакуйте и запустите [B][URL="https://1drv.ms/u/s!Aguwh-yruJSWmEvTY4GTCeR-hDOu?e=YOoS73"]AV block remover[/URL][/B] или сокращённо [B]AVbr[/B] - это утилита, предназначенная для удаления конкретного майнера, в том числе блокирующего установку антвирусного софта и доступ на сайты AV компаний и форумов с лечением. Может применяться и в других случаях при похожих способах блокировки антивирусов.

Симптомы этого майнера: Вирус не дает возможность скачать антивирус, блокирует сайты, закрывает диспетчер задач и gpedit.msc, закрывает браузер при попытке найти или скачать cureit и др. антивирусные утилиты, "пропал" установленный антивирус.
Кстати, помимо майнинга и блокировки антивирусов этот [B]вирус устанавливает RMS[/B]. [B][I]Так что ваши данные тоже могли быть похищены.[/I][/B]

[B]Для использования утилиты необходимо:[/B]
Скачать утилиту и распаковать её в любое удобное для вас место.
После распаковки временно отключить антивирус (если он у вас есть), в том числе отключить Windows Defender. Если боитесь отключать антивирус, чтобы не скачало ещё больше вирусов, то дополнительно временно отключитесь от интернета.
Запустить файл AVbr.exe

[B]В ходе работы утилиты[/B] рядом с этим файлом будет создана папка ..\AV_block_remover содержащая в том числе:
- AV_block_remove.log - лог работы утилиты.
- quarantine.zip - стандартный архив AVZ с карантином удалённых файлов.
- Backup - папка с резервной копией некоторых настроек, изменённых в ходе лечения.

[B]Утилита удаляет сам майнер и его производные.[/B]
Снимает запреты на установку антивирусного ПО. В том числе удаляет папки от антивирусов если они пустые, а если не пустые, то восстанавливает на них стандартные права доступа.
Восстанавливает службу теневого копирования.
Если пользователь согласится, то удаляет учётную запись "John", которую создаёт майнер и которая не видна в Управлении учётными записями.
В зависимости от выбора пользователя сбрасывает к состоянию по умолчанию файл Hosts или открывает его для редактирования вручную.
Так как после утилиты всё равно могут оставаться некоторые следы от вируса, либо система может быть параллельно заражена и другим вирусом, то после лечения этой утилиты настоятельно рекомендуется создать тему в разделе лечения. Например в "Помощь в удалении вредоносного ПО" выполнив правила оформления запроса.

Утилита представляет собой оболочку со скриптом для запуска антивирусной утилиты от Олега Зайцева - AVZ. По своему принципу работы аналогична AutoLogger-у. И, точно также как и он, автоматически каждый день пересобирается на сервере.


[B]После того как пролечитесь им соберите свежие логи по правилам.[/B]

[b]SQ[/b], собственно вот логи. Если я что-то попутал - простите.

[QUOTE=SQ;1521985]
[B]После того как пролечитесь им соберите свежие логи по правилам.[/B][/QUOTE]

Где новые логи автологгера?

Приношу свои извинения, я не правильно понял какие логи надо было скинуть. Вот.

Отлично, следов майнер в логах не видно.


[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Malwarebytes)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt[/COLOR][/B] (где x - любая цифра).[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Сделано.

[url=https://virusinfo.info/showthread.php?t=218752&p=1480599&viewfull=1#post1480599]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). [B]Отчет после удаления прикрепите.[/B]

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.corovin.info/FRST_Icon.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"SigCheckExt"[/i].
[img]https://i.corovin.info/FRST.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Вот.

[LIST][*] Закройте и сохраните все открытые приложения.[*] Выделите следующий код::
[CODE]
Start::
CreateRestorePoint:
CloseProcesses:
CHR StartupUrls: Default -> "hxxp://www.trovi.com/?gd=&ctid=CT3322283&octid=EB_ORIGINAL_CTID&ISID=M5BC712B1-ABBD-4CED-962D-03C95DC6E3F5&SearchSource=55&CUI=&UM=5&UP=SP58AFC78D-80DC-496F-AE70-F2761DF3FD3D&SSPV=","fbdirecto.net/1/","hxxp://www.oursurfing.com/?type=hp&ts=1433224957&z=5a72af5ed9cac7ce6342aa1g5z0c6cfo5odzft8w0q&from=amt&uid=HitachiXHTS547575A9E384_J2190054D7T6YCD7T6YCX","hxxps://www.google.com/"
Folder: C:\Users\HIdra\AppData\Local\TKHGKNXA
File: C:\WINDOWS\SysWOW64\MafiaSetup.exe
AlternateDataStreams: C:\Users\HIdra\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\HIdra\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [492]
FirewallRules: [UDP Query User{D8D7F0CF-175E-49DF-B200-46B5C5938C54}F:\steamlibrary\steamapps\common\doom\doomx64vk.exe] => (Allow) F:\steamlibrary\steamapps\common\doom\doomx64vk.exe => Нет файла
FirewallRules: [TCP Query User{E331E9F9-F624-4798-BD80-163F47315C8E}F:\steamlibrary\steamapps\common\doom\doomx64vk.exe] => (Allow) F:\steamlibrary\steamapps\common\doom\doomx64vk.exe => Нет файла
FirewallRules: [UDP Query User{2B80AE97-C04B-492A-8FCF-5E52D184E7C6}F:\папка винил\игры\polarstar\ghostrecon.exe] => (Block) F:\папка винил\игры\polarstar\ghostrecon.exe => Нет файла
FirewallRules: [TCP Query User{3F453F6C-BB08-43B7-900A-D43CC2DD82A1}F:\папка винил\игры\polarstar\ghostrecon.exe] => (Block) F:\папка винил\игры\polarstar\ghostrecon.exe => Нет файла
FirewallRules: [UDP Query User{67A42445-00E3-49C3-8D96-63AFA20C78DF}C:\program files\java\jre1.8.0_45\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_45\bin\javaw.exe => Нет файла
FirewallRules: [TCP Query User{42647E6F-66D1-4C48-91D5-3027A0EB2A08}C:\program files\java\jre1.8.0_45\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_45\bin\javaw.exe => Нет файла
FirewallRules: [UDP Query User{55075639-B733-4A15-BEB1-9B2732DD71AD}D:\steam\steamapps\common\for honor\forhonor.exe] => (Allow) D:\steam\steamapps\common\for honor\forhonor.exe => Нет файла
FirewallRules: [TCP Query User{DF941D5F-6AA7-481A-823D-56EAD64CA8A8}D:\steam\steamapps\common\for honor\forhonor.exe] => (Allow) D:\steam\steamapps\common\for honor\forhonor.exe => Нет файла
FirewallRules: [UDP Query User{B24CA3D1-F329-4D4A-BD74-19143896C75F}D:\steam\steamapps\common\insurgency2\insurgency_x64.exe] => (Allow) D:\steam\steamapps\common\insurgency2\insurgency_x64.exe => Нет файла
FirewallRules: [TCP Query User{C40086BE-6845-4465-9687-DCB151F74E69}D:\steam\steamapps\common\insurgency2\insurgency_x64.exe] => (Allow) D:\steam\steamapps\common\insurgency2\insurgency_x64.exe => Нет файла
FirewallRules: [UDP Query User{17D398E7-034F-4CB4-A11B-C0B74856B13C}D:\steam\steamapps\common\metro 2033\metro2033benchmark.exe] => (Block) D:\steam\steamapps\common\metro 2033\metro2033benchmark.exe => Нет файла
FirewallRules: [TCP Query User{87B5D0D0-99F9-488B-984C-772706CEDD33}D:\steam\steamapps\common\metro 2033\metro2033benchmark.exe] => (Block) D:\steam\steamapps\common\metro 2033\metro2033benchmark.exe => Нет файла
FirewallRules: [UDP Query User{3EB61A4A-3DAB-4E3B-8E00-C11012697FD3}D:\steam\steamapps\common\7 days to die\7daystodie.exe] => (Allow) D:\steam\steamapps\common\7 days to die\7daystodie.exe => Нет файла
FirewallRules: [TCP Query User{18B1D2E9-5C7E-4BF9-BFFD-56233A0C3F34}D:\steam\steamapps\common\7 days to die\7daystodie.exe] => (Allow) D:\steam\steamapps\common\7 days to die\7daystodie.exe => Нет файла
FirewallRules: [UDP Query User{4CD8A9A0-8CA3-4DD5-90CB-D067F8B60E22}D:\steam\steamapps\common\arma 3\arma3_x64.exe] => (Block) D:\steam\steamapps\common\arma 3\arma3_x64.exe => Нет файла
FirewallRules: [TCP Query User{E9EECB97-EC8D-452B-928A-EFA4C38E6CB2}D:\steam\steamapps\common\arma 3\arma3_x64.exe] => (Block) D:\steam\steamapps\common\arma 3\arma3_x64.exe => Нет файла
FirewallRules: [{651F4EBB-EAFA-42DE-ACB3-603866800A1B}] => (Allow) C:\Users\HIdra\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
FirewallRules: [{40582217-AAF1-4F80-8EBF-D1F94B34CBE0}] => (Allow) C:\Users\HIdra\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
FirewallRules: [TCP Query User{6798F650-8361-451A-9C58-9447047B51FD}D:\steam\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Allow) D:\steam\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe => Нет файла
FirewallRules: [UDP Query User{BCE7CD7E-F47A-46FF-BD2E-15EE53330AB8}D:\steam\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Allow) D:\steam\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe => Нет файла
FirewallRules: [TCP Query User{DA411061-B27D-4C06-BEA8-AC7EABBDD4F9}D:\games\fallout76\fallout76.exe] => (Allow) D:\games\fallout76\fallout76.exe => Нет файла
FirewallRules: [UDP Query User{022884E7-F0C2-4209-BD9B-ABD6751C0371}D:\games\fallout76\fallout76.exe] => (Allow) D:\games\fallout76\fallout76.exe => Нет файла
FirewallRules: [TCP Query User{DFCDC755-121E-43D8-B43C-7A7D64CF56F4}D:\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe] => (Block) D:\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe => Нет файла
FirewallRules: [UDP Query User{5CD70257-00C7-4B2F-A9B3-4DC89E4F0584}D:\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe] => (Block) D:\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe => Нет файла
FirewallRules: [{9F41FE52-D0A7-43DE-969D-ADFDAD1041AE}] => (Allow) D:\Steam\steamapps\common\Monster Hunter World\MonsterHunterWorld.exe => Нет файла
FirewallRules: [{F9B359C8-9479-4B9A-BD29-754369128C15}] => (Allow) D:\Steam\steamapps\common\Monster Hunter World\MonsterHunterWorld.exe => Нет файла
FirewallRules: [{352B9D91-81FD-4AA0-9497-866408E9865E}] => (Allow) N:\SteamLibrary\steamapps\common\Serious Sam 4\Bin\x64\Sam4_Unrestricted.exe => Нет файла
FirewallRules: [{A8A73C54-ACFE-4986-A8AE-611BDC2FAC9C}] => (Allow) N:\SteamLibrary\steamapps\common\Serious Sam 4\Bin\x64\Sam4_Unrestricted.exe => Нет файла
End::
[/CODE][*] Скопируйте выделенный текст ([b]правой кнопкой - Копировать[/b]).[*] Запустите FRST/FRST64 (от имени администратора). [*] Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). . [*] Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]


Обратите внимание, что в логах регистрируется проблема с диском/флэшкой
[CODE]Error: (09/19/2021 11:20:13 PM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk3\DR3.

Error: (09/19/2021 11:20:09 PM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk3\DR3.

Error: (09/19/2021 11:20:05 PM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk3\DR3.

Error: (09/19/2021 11:20:02 PM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk3\DR3.

Error: (09/19/2021 11:19:58 PM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk3\DR3.[/CODE]

Так, я это сделал, но какие конкретно логи теперь нужны? Или нужно что-то другое?

В логах ничего вредоносного не обнаружено. Сообщите что с проблемой?

Я полагаю проблема решена, всё работает как положено и никаких лишних нагрузок нет, как и перегрева в целом. Огромное спасибо вам, вы спасли меня и мой ПК.

Проделайте завершающие шаги:

1. Пожалуйста, запустите adwcleaner.exe
В меню Параметры прокрутите вниз и выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2. Загрузите [URL="https://www.comss.ru/page.php?id=1813"]SecurityCheck by glax24 & Severnyj[/URL], сохраните утилиту на Рабочем столе и извлеките из архива.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [COLOR="#0000FF"]C:\SecurityCheck\SecurityCheck.txt[/COLOR]
Прикрепите этот файл к своему следующему сообщению.

Вот. Извиняюсь за ожидание.

Ознакомьтесь с информацией:

------------------------------- [ HotFix ] --------------------------------
HotFix KB5004237 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB5004237]Скачать обновления[/url][/b][/color]
--------------------------- [ OtherUtilities ] ----------------------------
Notepad++ (32-bit x86) v.7.8.8 [color=red][b]Внимание! [url=https://notepad-plus-plus.org/downloads/]Скачать обновления[/url][/b][/color]
Microsoft Office Word 2010 v.14.0.4763.1000 [color=red][b]Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до [url=https://products.office.com/ru-ru/]последней версии[/url] или используйте [url=https://products.office.com/ru-RU/office-online/]Office Online[/url] или [url=https://ru.libreoffice.org/download/]LibreOffice[/url][/b][/color]
------------------------------- [ Backup ] --------------------------------
Microsoft OneDrive v.21.139.0711.0001 [color=red][b]Внимание! [url=https://go.microsoft.com/fwlink/?linkid=860984]Скачать обновления[/url][/b][/color]
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 16.04 (x64) v.16.04 [color=red][b]Данная версия программы больше не поддерживается разработчиком.[/b][/color]. [b]Удалите старую версию, [url=https://www.7-zip.org/download.html]скачайте[/url] и установите новую.[/b]
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.0.0.309 [color=red][b]Внимание! [url=https://discordapp.com/api/download?platform=win]Скачать обновления[/url][/b][/color]
Telegram Desktop version 2.4.7 v.2.4.7 [color=red][b]Внимание! [url=https://tdesktop.com/win]Скачать обновления[/url][/b][/color]
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.46074 [color=red][b]Внимание! Клиент сети P2P с рекламным модулем![/b][/color].
--------------------------------- [ SPY ] ---------------------------------
Radmin Viewer 3.5.2 v.3.52.1.0000 [color=red][b]Внимание! Программа удаленного доступа![/b][/color]
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 251 (64-bit) v.8.0.2510.8 [color=red][b]Внимание! [url=https://java.com/download/manual.jsp]Скачать обновления[/url][/b][/color]
[color=blue][b]^Удалите старую версию и установите новую (jre-8u301-windows-x64.exe)^[/b][/color]
-------------------------------- [ Media ] --------------------------------
K-Lite Mega Codec Pack 15.2.6 v.15.2.6 [color=red][b]Внимание! [url=https://files3.codecguide.com/K-Lite_Codec_Pack_1646_Mega.exe]Скачать обновления[/url][/b][/color]
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 32 NPAPI v.32.0.0.171 [color=red][b]Данная программа больше не поддерживается разработчиком.[/b][/color] Рекомендуется деинсталлировать ее.
Adobe Flash Player 32 PPAPI v.32.0.0.453 [color=red][b]Данная программа больше не поддерживается разработчиком.[/b][/color] Рекомендуется деинсталлировать ее.
------------------------------- [ Browser ] -------------------------------
Google Chrome v.93.0.4577.82 [color=red][b]Внимание! [url=https://www.google.ru/chrome/browser/desktop/index.html]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Справка - О Google Chrome!^[/b][/color]
Mozilla Firefox 62.0.2 (x86 ru) v.62.0.2 [color=red][b]Внимание! [url=https://www.mozilla.org/ru/firefox/all/]Скачать обновления[/url][/b][/color]

На этом всё!