Помогите устранить скрытый майнер

Не могу удалить скрытый майнер с ПК. Изначально не мог поставить CureIt, Malwarebytes и ESET. После прогона ESET Online Scanner, AVbr и удаления некоторых директорий через cmd, смог поставить cureIt, но он не помог, майнер всё ещё есть - видно по скачкам загрузки GPU 2 раза в секунду 0-70% через Radeon Software, так же пытался вручную создать папку в Program Files Malwarebytes, но проводник говорит, что такая папка уже создана, хотя даже с включенным отображением скрытых папок её нету(Дата создания папки 27.09 - видимо тогда и установился вирус). После прогона AVbr нашло пользователя John, которого я удалил. Бьюсь второй день, не могу справиться. Логи приложил.

Уважаемый(ая) [B]ilyalev[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Дополнительно:
Скачайте [URL="https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] (или с [url=https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/]зеркала[/url]) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B] ([B]Scan[/B]).
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Сделал

[B]Примите к сведению[/B] - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]Start::
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-1008484430-3777987183-3485433514-1001\...\MountPoints2: {63acde65-274e-11ea-b782-309c2345c278} - "D:\autorun.exe"
IFEO\osppsvc.exe: [VerifierDlls] SppExtComObjHook.dll
IFEO\SppExtComObj.Exe: [VerifierDlls] SppExtComObjHook.dll
GroupPolicy: Ограничение - Chrome <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
Task: {014597BC-D6B2-45B4-84FB-D9FF3A44DC11} - System32\Tasks\EmmcRqiTblPbWiG2 => rundll32 "C:\Program Files (x86)\MSPGLsQQU\OpQXuI.dll",#1
Task: {0AA0F80B-56D5-4271-91E6-94CE30242EBC} - \KnUggjbCzkENXM -> Нет файла <==== ВНИМАНИЕ
Task: {1181CFA7-792A-4660-A5D4-1BE32BA7A690} - \DHnJtwLICLToHNKSY2 -> Нет файла <==== ВНИМАНИЕ
Task: {126E2565-F424-4867-8952-732099E8B93A} - \wspkbauenPuHWSZ2 -> Нет файла <==== ВНИМАНИЕ
Task: {19362182-36EB-4C3F-AE11-2EEBCDCE2C1B} - System32\Tasks\biHVDzweEpSEYo => rundll32 "C:\Program Files (x86)\SdjnHrhtSkTU2\ROJpfQJXsuhId.dll",#1
Task: {5618BEBE-E8E1-4784-961E-6FD09FEF7625} - System32\Tasks\yVYXrfKWaHMrkVCKGDj2 => rundll32 "C:\Program Files (x86)\tNQhgnHPutUZC\KAAjVFS.dll",#1
Task: {56D8E7C8-1546-4B31-BFA7-3067ADFBB118} - \gtCZMzYfd -> Нет файла <==== ВНИМАНИЕ
Task: {A1CF4482-79A8-4EE6-B541-F88E214044FD} - System32\Tasks\GYURixpfjcyPR2 => C:\WINDOWS\system32\wscript.exe "C:\ProgramData\PPLKuNbFlDHeVQVB\jkgMGlt.wsf"
Task: {B82ADB40-21CD-411C-8F5A-DA576CCED541} - System32\Tasks\RbiEEjLZyATOqzzPu2 => rundll32 "C:\Program Files (x86)\SxHJDkrLaKCDwQANMaR\rKNLahi.dll",#1
Task: {D92BA74B-5183-4164-B062-E4886C8F1131} - \CuuLzPpumRCshjvNvMW2 -> Нет файла <==== ВНИМАНИЕ
Task: {EB7FB682-E0EC-4066-89B0-6987A1A9EEC7} - \ITUoxAHvWuVjf2 -> Нет файла <==== ВНИМАНИЕ
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Нет файла
FirewallRules: [{9CBD747F-7225-4B91-BFE2-9E8FD7DD3D20}] => (Allow) LPort=1688
FirewallRules: [{A95B783F-E5EE-4627-9799-771229BB31CF}] => (Allow) LPort=445
FirewallRules: [{F3EC0F02-D8E6-4399-A8ED-9CF4121178F7}] => (Allow) LPort=33060
FirewallRules: [{DA00375B-B949-42D7-B4DA-A7C19072D431}] => (Allow) LPort=3306
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Исправить[/B] ([B]Fix[/B]) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.

Сделал, единственное, что пришлось перезагружать с ресетом - 8 минут ПК висел, даже питание на мышь и клавиатуру не было.

Путь
[QUOTE]C:\Users\lkwat\AppData\Local\Temp\files[/QUOTE]
уберите из исключений Защитника.

Malwarebytes version 4.4.10.144 есть в перечне установленных программ. Он не работает?

Убрал, мбайтс вот такое сообщение выдаёт, с настройками доступа и безопасности уже в нескольких вариациях пробовал.

Пробуйте так очистить:

• Скачайте и запустите [url=http://downloads.malwarebytes.com/file/mbst]Malwarebytes Support Tool[/url].
• Запустите, согласитесь с лицензионным соглашением, перейдите на вкладку Advanced Options и нажмите кнопку Clean.
• Перезагрузите компьютер при появлении запроса.
• После перезагрузки утилита запустится для окончательной очистки.

После нажатия кнопки "Да", приложение просто закрывается

Удалите старые и соберите новые логи FRST.txt и Addition.txt, только отметьте галочкой "90 дней".

Прикрепляю обновленные файлы

Деинсталлируйте (временно):
[QUOTE]AnVir Task Manager
CCleaner[/QUOTE]

Если в папке C:\Users\lkwat\Desktop\AV_block_remover сохранился отчёт [B]AV_block_remove.log[/B], прикрепите его к следующему сообщению.


[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]Start::
2021-09-27 14:42 - 2021-11-05 10:27 - 000000000 ____D C:\ProgramData\Malwarebytes
2021-09-27 14:42 - 2021-11-05 10:27 - 000000000 ____D C:\Program Files\Malwarebytes
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MBAMService => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MBAMService => ""="Service"
Reboot:
End::[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Исправить[/B] ([B]Fix[/B]) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.

Деинсталлировал, прогнал FRST заново

Лог AV block remove почти пустой. То есть утилита либо не отработала, либо была преждевременно закрыта.

Пробуйте запустить Malwarebytes Support Tool.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Мне нужно уйти. Если коллеги не ответят быстро, я буду здесь позже.

MalwareBytes заработал, уже идёт проверка, если найдёт майнер, отпишу, спасибо!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

MalwareBytes прогнал, он обнаружил некоторые незначительные угрозы, но сайлент майнер по прежнему активен

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Притом в msconfig при выборе диагностического запуска, автоматически включается выборочный с системными службами + автозагрузкой. Как бы я не пытался, всегда так происходит

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Еще такая ошибка появилась

Давайте ещё такой лог посмотрим:
[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]

[url]https://drive.google.com/drive/folders/1rP2QTAL4puQN2mznQMD9Qy9eI4uWINcp?usp=sharing[/url], если я правильно понял, то это полный лог автозапуска.

Плохого по логам не видно.

[list][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]Start::
cmd: sfc /scannow
End::[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Исправить[/B] ([B]Fix[/B]) один раз (!) и подождите (может выполняться долго). Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]

Сделал