Printable View
За непродолжительное время при скачивании какого то ПО, скорее всего KMSAuto с сайта kms-auto.cc, обнаруживал в системе вирус майнер, один раз из за него уже переустанавливал систему, так как использование антивирусных утилит не помогло, после сканирования системы и удаления файлов вируса, при перезагрузке майнер появлялся вновь. Второй раз пролечил Dr.WEB Cureit, антивирусом AVG и тупым удалением фалов в папках системы, жду последствия) Лог с автологера во вложении.
Уважаемый(ая) [B]Chasch[/B], спасибо за обращение на наш форум!
Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O4 - HKCU\..\StartupApproved\Run: [uFiler] = "C:\Program Files (x86)\uFiler\uFiler.exe" -autorun (file missing) (2023/08/26)
O4 - HKLM\..\StartupApproved\Run: [Realtek HD Audio] = C:\ProgramData\RealtekHD\taskhostw.exe (file missing) (2023/09/09)
O7 - Policy: *\..\Policies\Explorer\DisallowRun: Fix all
O7 - Policy: HKCU\..\Windows\Explorer: [DisableNotificationCenter ] = 1[/code]
Скачайте, распакуйте и запустите [URL="https://inlnk.ru/ZZNRdX"]утилиту AV block remove[/URL], следуйте инструкциям. Если не запустится - переименуйте файл. Не поможет - запустите из безопасного режима с поддержкой сети.
Файл [B]AV_block_remove_дата_время.log[/B] из папки с программы прикрепите к своему сообщению.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B].
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
[QUOTE=Vvvyg;1528784]Запустите HijackThis, расположенный в папке Autologger и [URL="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/URL]:[code]O4 - HKCU\..\StartupApproved\Run: [uFiler] = "C:\Program Files (x86)\uFiler\uFiler.exe" -autorun (file missing) (2023/08/26)
O4 - HKLM\..\StartupApproved\Run: [Realtek HD Audio] = C:\ProgramData\RealtekHD\taskhostw.exe (file missing) (2023/09/09)
O7 - Policy: *\..\Policies\Explorer\DisallowRun: Fix all
O7 - Policy: HKCU\..\Windows\Explorer: [DisableNotificationCenter ] = 1[/code]
Скачайте, распакуйте и запустите [URL="https://inlnk.ru/ZZNRdX"]утилиту AV block remove[/URL], следуйте инструкциям. Если не запустится - переименуйте файл. Не поможет - запустите из безопасного режима с поддержкой сети.
Файл [B]AV_block_remove_дата_время.log[/B] из папки с программы прикрепите к своему сообщению.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B].
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).[/QUOTE]
Строки пофиксил, запрашиваемые логи во вложении)
[NOTICE]Не нужно полностью цитировать сообщения, просто пишите в окне "Быстрый ответ".[/NOTICE]
Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
File: C:\Windows\system32\rfxvmt.dll
Unlock: C:\Users\uresh\AppData\Roaming\Sysfiles
Folder: C:\Users\uresh\AppData\Roaming\Sysfiles
2023-09-09 11:57 - 2023-09-09 11:57 - 000037376 _____ (Microsoft Corporation) C:\Windows\system32\rfxvmt.dll
2023-09-09 11:57 - 2023-09-09 11:57 - 000000000 __SHD C:\Users\uresh\AppData\Roaming\Sysfiles
2023-09-08 10:54 - 2023-09-08 10:54 - 779850129 _____ C:\Windows\MEMORY.DMP
2023-09-08 10:54 - 2023-09-08 10:54 - 001466140 _____ C:\Windows\Minidump\090823-10687-01.dmp
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен.
C:\Windows\system32\rfxvmt.dll
Файл не подписан
MD5: E3E4492E2C871F65B5CEA8F1A14164E2
Дата создания и изменения: 2023-09-09 11:57 - 2023-09-09 11:57
Размер: 000037376
Атрибуты: ----A
Название Компании : Microsoft Corporation
Внутренний Имя: rfxvmt.dll
Оригинальный Имя: rfxvmt.dll
Продукт: Microsoft® Windows® Operating System
Описание: Microsoft RemoteFX VM Transport
Файл Версия: 10.0.15063.0 (WinBuild.160101.0800)
Продукт Версия: 10.0.15063.0
Авторское право: © Microsoft Corporation. All rights reserved.
VirusTotal: [url]https://www.virustotal.com/gui/file/32ff81be7818fa7140817fa0bc856975ae9fcb324a081d0e0560d7b5b87efb30/detection/f-32ff81be7818fa7140817fa0bc856975ae9fcb324a081d0e0560d7b5b87efb30-1688214050[/url]
====== Конец от File: ======
"C:\Users\uresh\AppData\Roaming\Sysfiles" => был разблокирован
========================= Folder: C:\Users\uresh\AppData\Roaming\Sysfiles ========================
====== Конец от Folder: ======
C:\Windows\system32\rfxvmt.dll => успешно перемещены
"C:\Users\uresh\AppData\Roaming\Sysfiles" Папка переместить:
C:\Users\uresh\AppData\Roaming\Sysfiles => успешно перемещены
C:\Windows\MEMORY.DMP => успешно перемещены
C:\Windows\Minidump\090823-10687-01.dmp => успешно перемещены
Системе требуется перезагрузка.
==== Конец от Fixlog 17:02:01 ====
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
лог Fixlog.txt скинул
Fixlog.txt лучше было вложением.
Порядок, остатки майнера зачистили.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.