Процесс "Утилита поиска строк (GREP)" - find.exe

Добрый вечер!
Стал появляться процесс "Утилита поиска строк (GREP)" который есть около 2 гб оперативки.
Диспетчер задач показывает что исполнителем является файл [B]C://Windows/System32/find.exe
[/B]Однако если проверить через Process Explorer, то там указывается команда запуска [B]C:\ProgramData\MoviNavigator-23356c2f-e5f2-4a54-b36f-2b44f05923b0\find.exe [/B]с ключами [B]--algo 144_5 --pers BgoldPoW -i 99 --server 84.252.75.72:8080 --user ARRLXmqTUQrpjcN7P7xnnx1K1gfHQbCTiJ.Zephyr -w 0

[/B]
Папки [B]C:\ProgramData\MoviNavigator-23356c2f-e5f2-4a54-b36f-2b44f05923b0 [/B]как таковой нет (Как я понял файл с папкой быстро создаётся, запускается и потом удаляется)

В теории процесс запускается после запуска Google Chrome ~ 5 минут поле запуска (Edge я не пользуюсь)

Как избавиться от этой проблемы

Уважаемый(ая) [B]Library_Keeper[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Program Files\WProxy\WinProxy\WinProxy.exe', '');
QuarantineFile('C:\Users\User\AppData\Local\Programs\b5d62e55f2\e5b5bc5553.msi', '');
QuarantineFile('c:\windows\System32\evntagnt.dll', '');
QuarantineFile('C:\Windows\SysWOW64\evntagnt.dll', '');
QuarantineFileF('c:\program files\wproxy', '*', true, '', 0 , 0);
QuarantineFileF('C:\ProgramData\MoviNavigator-23356c2f-e5f2-4a54-b36f-2b44f05923b0', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFileF('c:\users\user\appdata\local\programs\b5d62e55f2', '*', true, '', 0 , 0);
DeleteFile('C:\Program Files\WProxy\WinProxy\WinProxy.exe', '64');
DeleteFile('C:\Users\User\AppData\Local\Programs\b5d62e55f2\e5b5bc5553.msi', '64');
DeleteFile('c:\windows\System32\evntagnt.dll', '');
DeleteFile('C:\Windows\SysWOW64\evntagnt.dll', '64');
DeleteFileMask('c:\program files\wproxy', '*', true);
DeleteFileMask('C:\ProgramData\MoviNavigator-23356c2f-e5f2-4a54-b36f-2b44f05923b0', '*', true);
DeleteFileMask('c:\users\user\appdata\local\programs\b5d62e55f2', '*', true);
DeleteDirectory('"c:\windows\system32\msiexec.exe" /i "c:\users\user\appdata\local\programs\b5d62e55f2');
DeleteDirectory('c:\program files\wproxy');
DeleteDirectory('C:\ProgramData\MoviNavigator-23356c2f-e5f2-4a54-b36f-2b44f05923b0');
DeleteDirectory('c:\users\user\appdata\local\programs\b5d62e55f2');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\EvntAgntSvc_43d775\Parameters', 'ServiceDll', '64');
DeleteSchedulerTask('clear-links-S-1-5-21-272933523-2340400884-684201627-1001');
DeleteSchedulerTask('WProxy\WinProxy');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 3, 3, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, упакуйте его в архив с паролем, выложите на файлообменник или в облако и дайте ссылку с паролем [U][B]в личном сообщении[/B][/U].

Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O22 - Task: (damaged) C:\Windows\System32\Tasks\NCH Software (empty)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Agent Activation Runtime (empty)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Google (empty)
O22 - Tasks: (disabled) Dragon_Center_updater - C:\ProgramData\MSI\Dragon Center\DragonCenter_Updater.exe DragonCenter (file missing)
O22 - Tasks: (disabled) IUM-F1E24CA0-B63E-4F13-A9E3-4ADE3BFF3473 - C:\Program Files (x86)\Intel\Intel(R) Update Manager\bin\iumsvc.exe --automatic (file missing)
O22 - Tasks: (disabled) MSI_Help_Desk_Agent - C:\Program Files (x86)\MSI\Help Desk\MSI Update Agent.exe (file missing)
O22 - Tasks: (disabled) NIUpdateServiceCheckTask - C:\Program Files (x86)\National Instruments\Shared\Update Service\NIUpdateService.exe -c -task (file missing)
O22 - Tasks: (disabled) NIUpdateServiceStartupTask - C:\Program Files (x86)\National Instruments\Shared\Update Service\NIUpdateService.exe -startupTask (file missing)[/code]
Деинсталлируйте программу Web Companion. Если нет возможности удалить стандартным способом - сделайте принудительно, с помощью [URL="https://geekuninstaller.com/ru/download"]Geek Uninstaller Free[/URL].

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B].

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

Снова здравствуйте!
Сделал все как вы сказали. Лишь архив с карантином все никак не загрузится. (Сайт уходит в вечную загрузку)

Файлы FRST и Addition в zip архиве уже вложены.

Web Companion так и не удалили.

Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
CHR StartupUrls: Default -> "hxxps://mail.ru/cnt/10445?gp=812205"
CHR HKU\S-1-5-21-272933523-2340400884-684201627-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
CHR HKLM-x32\...\Chrome\Extension: [mfhcmdonhekjhfbjmeacdjbhlfgpjabp]
2023-11-29 10:13 - 2023-11-29 10:13 - 000000000 _RSHD C:\ProgramData\WindowsTask
2023-11-29 10:13 - 2023-11-29 10:13 - 000000000 _RSHD C:\ProgramData\Windows Tasks Service
2023-11-29 10:13 - 2023-11-29 10:13 - 000000000 _RSHD C:\ProgramData\Setup
2023-11-29 10:13 - 2023-11-29 10:13 - 000000000 _RSHD C:\ProgramData\ReaItekHD
2023-11-29 10:13 - 2023-11-29 10:13 - 000000000 _RSHD C:\ProgramData\RDP Wrapper
2023-11-29 10:13 - 2023-11-29 10:13 - 000000000 _RSHD C:\Program Files\RDP Wrapper
2023-11-29 10:13 - 2023-11-29 10:13 - 000000000 _RSHD C:\Program Files (x86)\360
2023-11-19 21:28 - 2023-12-02 14:58 - 000000000 ____D C:\Windows\system32\Tasks\WProxy
2023-11-21 21:37 - 2021-08-06 20:51 - 000000053 _____ C:\Windows\WrpYGF74DrEm.ini
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Lavasoft\WebCompanion\Web Companion.lnk
Shortcut: C:\Users\User\Desktop\**\Джем Болл.lnk -> C:\Users\User\Desktop\*\Новая папка\Nevosoft.Games\drm.exe (Нет файла) <==== Cyrillic
Shortcut: C:\Users\User\Desktop\*\AutoCAD 2022 — Русский (Russian).lnk -> F:\Programs\AutoCAD 2022\acad.exe (Нет файла) <==== Cyrillic
IE trusted site: HKU\.DEFAULT\...\localhost -> localhost
IE trusted site: HKU\.DEFAULT\...\webcompanion.com -> hxxp://webcompanion.com
IE trusted site: HKU\S-1-5-21-272933523-2340400884-684201627-1001\...\localhost -> localhost
IE trusted site: HKU\S-1-5-21-272933523-2340400884-684201627-1001\...\webcompanion.com -> hxxp://webcompanion.com
FirewallRules: [TCP Query User{0911FC6F-EC01-4CF7-95DD-B6AE0B1BAD34}C:\program files (x86)\minecraft launcher\runtime\java-runtime-beta\windows-x64\java-runtime-beta\bin\javaw.exe] => (Allow) C:\program files (x86)\minecraft launcher\runtime\java-runtime-beta\windows-x64\java-runtime-beta\bin\javaw.exe => Нет файла
FirewallRules: [UDP Query User{652FB1E1-5618-4804-8913-B1030962A2D7}C:\program files (x86)\minecraft launcher\runtime\java-runtime-beta\windows-x64\java-runtime-beta\bin\javaw.exe] => (Allow) C:\program files (x86)\minecraft launcher\runtime\java-runtime-beta\windows-x64\java-runtime-beta\bin\javaw.exe => Нет файла
FirewallRules: [{4EB69AC1-275C-47A3-86B2-FBA29851FBA5}] => (Allow) C:\Program Files\PC Remote Receiver\MonectServerService.exe => Нет файла
FirewallRules: [{0800F292-3942-4112-BE5C-F6E293D2FFCB}] => (Allow) C:\Program Files\PC Remote Receiver\PCRemoteReceiver.exe => Нет файла
FirewallRules: [{6F16BE02-5244-440C-BD24-AE06C0E6082C}] => (Allow) C:\Program Files\PC Remote Receiver\MonectMediaCenter.exe => Нет файла
FirewallRules: [{02F4747E-CEC9-4A68-8EE6-49B048BE73AF}] => (Allow) C:\Program Files\WProxy\WinProxy\WinProxy.exe => Нет файла
FirewallRules: [{458255BD-FC57-4FD6-A9FE-292F6214BCCE}] => (Allow) C:\Program Files\WProxy\WinProxy\WinProxy.exe => Нет файла
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен.

Сделайте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]Malwarebytes AdwCleaner[/URL].

Приложение Web Companion было удалено, просто я дурак сделал это в самом конце, извиняюсь. (Самого файла Web Companion не было, был ярлык и пара записей в реестре). Вот файлы

[url="https://virusinfo.info/showthread.php?t=218752&p=1480599&viewfull=1#post1480599"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.

После перезагрузки в меню [B]Файлы журналов[/B] программы будет лог очистки, файл AdwCleaner[C00].txt, прикрепите к своему следующему сообщению.

Не припомните, что могли 19.11 устанавливать из непроверенных источников?

Добрый вечер! Удалил через AdwCleaner, вот логи!
19 ноября мой брат скачивал музыку и вместе с ней одновременно
попыталось скачаться одно приложение несколько раз подряд вот скрин
[ATTACH=CONFIG]689076[/ATTACH]

Вряд ли было это приложение, которое даже и не скачали, причём с яндекса.
А 29.11 что-то устанавливали взломане?

Запустите AdwCleaner, меню Параметры - Удалить AdwCleaner (в самом низу) - выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.