Printable View
- ноут начинае греться после длительного бездействия
- ЦП и память загружены на 100% при открытии диспетчера задач эти показатели снижаются
- периодически начал замечать открытый PowerShell который я не открывал (в терминале появлялся текст из буфера обмена)
- при использовании браузера открывается окно поиска на странице, в котором появляется текст типа testtesttest либо произвольные повторяющиеся символы
Уважаемый(ая) [B]Skiff85[/B], спасибо за обращение на наш форум!
Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[QUOTE=Skiff85;1526753]- при использовании браузера открывается окно поиска на странице, в котором появляется текст типа testtesttest либо произвольные повторяющиеся символы[/QUOTE]
testtesttest - это при проверке перехватчиков клавиатуры в AVZ.
Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O15 - Trusted Zone: *.localhost
O15 - Trusted Zone: http://webcompanion.com
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Hewlett-Packard\HP Support Assistant (empty)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Remediation (empty)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Задачи просмотра событий (empty)
O22 - Tasks: (disabled) DolbySelectorTask - C:\Program Files\Dolby Digital Plus\ddp.exe -autostart (file missing)
O22 - Tasks: IntelSURQC-Upgrade-86621605-2a0b-4128-8ffc-15514c247132 - C:\Program Files\Intel\SUR\QUEENCREEK\Updater\bin\IntelSoftwareAssetManagerService.exe --automatic (file missing)
O22 - Tasks: IntelSURQC-Upgrade-86621605-2a0b-4128-8ffc-15514c247132-Logon - C:\Program Files\Intel\SUR\QUEENCREEK\Updater\bin\IntelSoftwareAssetManagerService.exe --automatic (file missing)
O22 - Tasks_Migrated: Adobe Flash Player PPAPI Notifier - C:\WINDOWS\SysWOW64\Macromed\Flash\FlashUtil32_32_0_0_414_pepper.exe -check pepperplugin (file missing)
O22 - Tasks_Migrated: Adobe Flash Player Updater - C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe (file missing)
O22 - Tasks_Migrated: ASUS Smart Gesture Launcher - C:\Program Files (x86)\ASUS\ASUS Smart Gesture\AsTPCenter\x64\AsusTPLauncher.exe (file missing)
O22 - Tasks_Migrated: Yandex.Stroka.User.S-1-5-21-1797226627-2148345677-2942997528-1001 - C:\Users\Jum Skiff\AppData\Local\Yandex\SearchBand\Application\5.5.0.1923\searchbandapp64.exe /logon (file missing)
O22 - Tasks_Migrated: Обновление Браузера Яндекс - C:\Users\Jum Skiff\AppData\Local\Yandex\YandexBrowser\Application\browser.exe --background-update --noerrdialogs (file missing)[/code]
Скачайте, распакуйте и запустите [url=https://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]>>> "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\9dbe234ff03c1f99\Yandex.lnk" -> ["C:\Users\Jum Skiff\AppData\Local\Yandex\YandexBrowser\Application\browser.exe" =>> --profile-directory=Default]
>>> "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Call of Duty.lnk" -> ["C:\Program Files\BlueStacks\HD-RunApp.exe" =>> -json "{\"app_icon_url\":\"\",\"app_name\":\"Call of Duty\",\"app_url\":\"\",\"app_pkg\":\"com.activision.callofduty.shooter\"}"]
>>> "C:\Users\Jum Skiff\AppData\Local\Programs\Lenovo\Lenovo Service Bridge\LSB.exe.lnk" -> ["C:\L\LSB\LSB\bin\Release\LSB.exe"]
>>> "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\VAG Programmer\VAG EEPROM Programmer.lnk" -> ["C:\Users\Jum Skiff\Desktop\VAG\Новая папка\VAG EEPROM Programmer\VAG.exe"]
>>> "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\VAG Programmer\Uninstall.lnk" -> ["C:\Users\Jum Skiff\Desktop\VAG\Новая папка\VAG EEPROM Programmer\Uninstall.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Image-Line\FL Studio 20.lnk" -> ["C:\Program Files\Image-Line\FL Studio 20\FL64.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Image-Line\More....lnk" -> ["C:\Program Files\Image-Line\Shared\Start"]
>>> "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Image-Line\More....lnk" -> ["C:\Program Files\Image-Line\Shared\Start"]
>>> "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SnoreToast\0.7.0\SnoreToast.lnk" -> ["C:\Users\Jum Skiff\AppData\Local\Programs\WhatsApp-Monitor\resources\app.asar.unpacked\node_modules\node-notifier\vendor\snoreToast\snoretoast-x64.exe"][/CODE]Отчёт о работе прикрепите.
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].
Если не влезет во вложения - на облако/файлообменник и ссылку.
Готово
Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.13 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
deltmp
delref %SystemDrive%\PROGRAM FILES\ACER\ACERSYNC\ACERSYNC_SENDGOOGLEACCOUNTTOMOBILE.EXE
delref %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS DEFENDER\PLATFORM\4.18.2107.4-0\DRIVERS\WDNISDRV.SYS
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BITDEFENDER\SETUPINFORMATION\CL-26-D7AD9BA6-54A8-4F62-AA3C-E96B3CE11792\SETUPLAUNCHER.EXE
delref %Sys32%\DRIVERS\UZI1NJA2.SYS
delref %Sys32%\DRIVERS\VDI1NJA2.SYS
delref %SystemDrive%\USERS\JUM SKIFF\APPDATA\LOCAL\PROGRAMS\PYTHON\PYTHON38\DOC\PYTHON388.CHM
apply
restart[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B].
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Готово
Деинсталлируйте Bitdefender Agent, без самого антивируса он бесполезен.
Выделите и скопируйте в буфер обмена следующий код:[CODE][B]Start::
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-1797226627-2148345677-2942997528-1001\...\Run: [BlueMail] => C:\WINDOWS\explorer.exe me.blueone.win:noopt:hidden (Нет файла) <==== ВНИМАНИЕ
BootExecute: autocheck autochk * bddel.exe
CHR Notifications: Default -> hxxps://dlmmoreigrcom1674397031038.tikstok.fun
CHR StartupUrls: Default -> "hxxp://ru.msn.com/?pc=UP97&ocid=UP97DHP","hxxps://find-it.pro/?utm_source=distr_m"
S3 MBAMWebProtection; \SystemRoot\system32\DRIVERS\mwac.sys [X]
StartBatch:
del /s /q C:\Windows\SoftwareDistribution\download\*.*
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
del /s /q C:\Windows\Temp\*.*
del /s /q "%userprofile%\AppData\Local\temp\*.*"
ipconfig /flushdns
sfc /scannow
endbatch:
Reboot:
End::[/B][/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Упакуйте его в архив и прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Готово .
Признаков майнера не видно.
Если проблема повторится - сделайте новый полный образ автозапуска uVS, только именно в то время, когда есть нагрузка, [B]не запуская диспетчер задач[/B].