Вирус даже после переустановки Windows

Доброго дня.

Столкнулся с необычной проблемой.

Вирус издаёт звуки (напоминает уведомление о сообщениях), включает отрывки музыки (не из моей коллекции и не из коллекции Windows), абсолютно рандомно. Т.к. было некогда этим заниматься, работал с выключенным звуком, не напрягало до одного момента пока не заблокировался буфер обмена. Т.е. скопировать можно, а "вставка" не работает. Этот баг снимается перезагрузкой, всё это сопровождается звуками. Этого может не быть 2 дня, а может мучать целый день.

По итогу было решено переустановить Windows 11. У меня 2 диска, SSD и HDD, сначала отформатировал то что было на SSD и туда накатил новую винду, не помогло. После этого отформатировал оба диска и на SSD снова накатил чистую винду. Проблема не исчезла.

Обратился в поддержу Microsoft, они изучили, протестировали и сказали, что с Windows проблем нет.
Куда копать дальше? Мог ли вирус проникнуть в "биос"?

Версия 23Н2, но это появлялось и на более старых версиях.

Логи по ссылке: [url]https://cloud.mail.ru/public/Nqmy/HLSt5TC5h[/url]

Уважаемый(ая) [B]alex2601[/B], спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Логи крепятся к сообщению в расширенном режиме, а не ссылкой на облако.

Я не слышал о реальных вирусах в BIOS, да ещё и проигрывающих музыку.
Скорее всего, связано с какой-то программой, а их установлено немало, и весьма необязательных.
Куча приложений от Gigabyte, TopSite - знаете, что такое? И по времени установки подозреваю, что ставили не по отдельности, а каким-то пакетным установщиком.
Я бы проверил на свежеустановленной чистой системе, только необходимые драйвера и браузер.

Сделайте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]Malwarebytes AdwCleaner[/URL].

К сожалению не обратил внимание на место прикрепления логов.

Все эти программы устанавливались пакетом с официального приложения Gigabyte Control Center, который был установлен на чистую систему, сразу после переустановки. Проблема в том, что система переустанавливалась именно из-за этого вируса.
TopSite - это утилита, которая снимает позиции сайта в поисковой выдаче, официальный софт, к нему вопросов нет.

Весь остальной софт устанавливал через Microsoft Store. Оба жёстких диска были отформатированы.

Обратил внимание, что дважды ловил данную проблему при настройке rdp, когда вводил логины и пароли для удалённого доступа. И в момент, когда нужно ввести пароль (он на почте), переставала работать функция буфера обмена.

До этого при копировании / вставке, например в поисковую строку, вставлялись фразы, которые я не копировал в буфер обмена (какие-то поздравления с днём рождения и подобное, с ссылкой на сайты-источники).

Все это периодически сопровождается звуками. Это заставляет меня думать, что всё же имеет место быть вирусная составляющая, а не проблема с железом. Но вот почему вирус возникает снова даже после форматирования и после 2х заново установленных windows - для меня загадка.

Логи AdwCleaner прикрепил.

Предыдущее сообщение не отображается, прикладываю логи

Система не сборка какая-то?

Попробуйте определить источник звуков по этому рецепту: [URL="https://answers.microsoft.com/ru-ru/windows/forum/all/звуки-windows/46d1d00c-71d7-4d13-bd75-5a53326cecfe"]Звуки Windows непонятного происхождения[/URL].

Добавлю, что ещё понаблюдайте есть ли звуки при отключённом интернете?

Система - сборка с рутрекера, но в этом не вижу проблемы, потому что проблема появилась ДО установки данной сборки и продолжилась после.

Спасибо, воспользуюсь этим советом, но звуки вообще не беда, основная проблема в блокировке буфера обмена, которая сохранилась даже после переустановки Windows и форматирования жёстких дисков.

Мог ли вирус оказаться на загрузочной флешке, если она создавалась на заражённой системе?
И можно ли пользоваться сохранёнными excel файлами?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=regist;1529425]Добавлю, что ещё понаблюдайте есть ли звуки при отключённом интернете?[/QUOTE]

Это будет проблематично, т.к. без интернета для меня использование компьютера бессмысленно.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Добрый вечер!
В течение всего дня вирус не подавал признаков жизни.

Проснулся в тот момент, когда я вводил данные для подключения к удалённым серверам.
И до этого вирус активировался именно на этом моменте, при попытке ввести данные для подключения к удалённому рабочему столу блокировался буфер обмена. После этого начинались звуки.

До этого в настройках защитника windows включил закрыть доступ защищённым папкам.
По вашей рекомендации поставил программу Process Monitor, где отловил звуки, появляющиеся ровно каждые 10 минут. Эти звуки издают процессы: ShellExperienceHost.exe, consent.exe, svchost.exe, SystemSettings.exe - прикладываю скрины.

До этого (на всякий случай) обновил BIOS.

Возникла мысль, что вирус появляется после переустановки винды, т.к. загрузочный файл был записан на заражённой системе.

Помимо этого с рабочего стола стали пропадать недавно созданные текстовые файлики.

Следующим действием попробую сделать загрузочную флешку с чистой системы и переустановить винду с неё.

Пока до переустановки сделайте такой лог.

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].

Прикладываю лог [url]https://cloud.mail.ru/public/EwML/s7AhmwM5a[/url]

К сожалению не смог прикрепить к вложениям, из-за недостатка места.

Ничего с первого взгляда тоже не видно система - сборка? Встречались со встроенными закладками, которые не выковырять никак.

Да, система сборка, не знаю где взять оригинальный образ (важное примечание - сборка отличающаяся от предыдущих).

Переустановил, чистая система, полностью отформатированные и удалённые разделы.

Тестирую ту же самую ошибку (на чистой системе):

1. Включаю "Подключение к удалённому рабочему столу"
2. Ввожу IP-адрес и пользователя.
3. Сохраняю параметры подключения.
4. Нажимаю "подключить" и ввожу пароль.
ок.

---

5. Повторяю пункты 1-4 со 2-м сервером.
ок

---

6. Пытаюсь выполнить пункты 1-4 с 3-м сервером.
1. Ок.
2. Не вводится IP-адрес, блокируется буфер обмена.

На данный момент никаких звуков в системе не происходит.

Оригинал установить просто, с помощью [URL="https://www.microsoft.com/ru-ru/software-download/windows10"]средства для создания носителя[/URL].
Про такие фокусы с буфером обмена не слышал, но крайне маловероятно, что это проделки вируса.

По всей видимости вирус находится на одном из удалённых серверов, т.к. вышеописанный алгоритм повторил на другом компьютере с абсолютно идентичным результатом. Если не заходить в rdp - никаких симптомов заражения не происходит (звуки, блокировка буфера обмена).

Я не могу представить, как удалённый сервер может блокировать буфер обмена ещё до подключения к нему. Но, в любом случае, проблема явно не в вирусах, предлагаю с дальнейшими изысканиями переместиться на какой-нибудь форум сисадминов )