Поймал HEUR:Trojan.Win64.Miner.gen

Добрый день!
Поймал HEUR:Trojan.Win64.Miner.gen
Прошу помочь в очистке системы
Логи добавил

Уважаемый(ая) [B]Chapay73[/B], спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('c:\program files\wproxy\winproxy\winproxy.exe');
QuarantineFile('c:\program files\wproxy\winproxy\winproxy.exe', '');
QuarantineFile('C:\Users\Chapay\AppData\Local\Programs\d39c74d05f\3ee1cac651.msi', '');
QuarantineFile('C:\Users\Chapay\AppData\Roaming\newSI_1\s_inst.exe', '');
QuarantineFile('c:\windows\System32\wizchain.dll', '');
QuarantineFile('C:\WINDOWS\SysWOW64\wizchain.dll', '');
QuarantineFileF('"c:\windows\system32\msiexec.exe" /i "c:\users\chapay\appdata\local\programs\d39c74d05f', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\users\chapay\appdata\local\programs\d39c74d05f', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\users\chapay\appdata\roaming\newsi_1\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
DeleteFile('c:\program files\wproxy\winproxy\winproxy.exe', '');
DeleteFile('C:\Program Files\WProxy\WinProxy\WinProxy.exe', '64');
DeleteFile('C:\Users\Chapay\AppData\Local\Programs\d39c74d05f\3ee1cac651.msi', '64');
DeleteFile('C:\Users\Chapay\AppData\Roaming\newSI_1\s_inst.exe', '32');
DeleteFile('C:\Users\TEMP\AppData\Local\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe', '64');
DeleteFile('c:\windows\System32\wizchain.dll', '');
DeleteFile('C:\WINDOWS\SysWOW64\wizchain.dll', '64');
DeleteFileMask('c:\program files\wproxy', '*', true);
DeleteFileMask('C:\ProgramData\DataSyncPro-fed67c94-780a-457a-95dd-d020fb8389da', '*', true);
DeleteFileMask('c:\users\chapay\appdata\local\programs\d39c74d05f', '*', true);
DeleteFileMask('c:\users\chapay\appdata\local\programs\d39c74d05f', '*', true);
DeleteFileMask('c:\users\chapay\appdata\roaming\newsi_1\', '*', true);
DeleteDirectory('c:\program files\wproxy');
DeleteDirectory('c:\users\chapay\appdata\local\programs\d39c74d05f');
DeleteDirectory('c:\users\chapay\appdata\roaming\newsi_1\');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\WizAgntSvc_f566e0\Parameters', 'ServiceDll', '64');
DeleteSchedulerTask('C:\WINDOWS\Task\newSI_1.job');
DeleteSchedulerTask('drifting-amp-S-1-5-21-1458570635-507213769-1575877016-1001');
DeleteSchedulerTask('MicrosoftEdgeUpdateTaskUserS-1-5-21-1458570635-507213769-1575877016-1001Core{69765488-E5CF-4FCE-90F1-0924C5B8E4D6}');
DeleteSchedulerTask('MicrosoftEdgeUpdateTaskUserS-1-5-21-1458570635-507213769-1575877016-1001UA{2A449BCB-BAA8-46D1-8F68-9302ADEE31A8}');
DeleteSchedulerTask('WProxy\WinProxy');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 3, 3, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Деинсталлируйте бесполезные Reason Core Security и SpyHunter 5.

В папке с AVZ появится архив карантина quarantine.zip, упакуйте его в архив с паролем, выложите на файлообменник или в облако и дайте ссылку с паролем [U][B]в личном сообщении[/B][/U].

Скачайте, распакуйте и запустите [URL="https://inlnk.ru/ZZNRdX"]утилиту AV block remove[/URL], следуйте инструкциям. Если не запустится - переименуйте файл? переместите в любую папку, кроме рабочего стола и загрузок. Не поможет - запустите из безопасного режима с поддержкой сети.
Файл [B]AV_block_remove_дата_время.log[/B] из папки с программы прикрепите к своему сообщению.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B].

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

Добрый вечер!
Файл quarantine.zip выложил на яндекс диск.
Ссылку и пароль отправил Вам в личном сообщении.
К данному сообщению прикрепил AV_block_remove_2024.01.13-20.10.log

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

к данному сообщению прикрепил отчеты FRST.txt, Addition.txt оба в одном архиве

Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
HKLM-x32\...\Run: [P17RunE] => RunDll32 P17RunE.dll,RunDLLEntry (Нет файла)
GroupPolicy: Ограничение - Chrome <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
Task: {62872C0D-DFD1-4B02-9D73-6FD71052F954} - \Microsoft\Windows\Setup\EOSNotify2 -> Нет файла <==== ВНИМАНИЕ
Task: {936CDBD9-3F13-4030-AAF8-F5E2706BB432} - \newSI_1 -> Нет файла <==== ВНИМАНИЕ
Task: {A7EA9E04-563D-432E-88FB-BE0D43E6C2B1} - \Microsoft\Windows\Setup\EOSNotify -> Нет файла <==== ВНИМАНИЕ
CHR HKU\S-1-5-21-1458570635-507213769-1575877016-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [kfbkiimghfccljjpjckphhdaldebbgoc]
CHR HKLM-x32\...\Chrome\Extension: [ahnphcmhmhcjjcjhmnnjjlbmaeljecga]
CHR HKLM-x32\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb]
CHR HKLM-x32\...\Chrome\Extension: [hglcmagplhbklifejibdeldmmddbechf]
2024-01-10 23:14 - 2024-01-10 23:14 - 001186896 _____ C:\WINDOWS\SysWOW64\perfd104.dat
2017-04-13 21:50 C:\Program Files (x86)\Tencent
2017-04-13 21:50 C:\Program Files\Common Files\Tencent
2024-01-10 20:17 C:\ProgramData\RDP Wrapper
2017-04-13 21:50 C:\ProgramData\Tencent
2017-04-13 21:50 C:\Users\Chapay\AppData\Roaming\Checkers
2017-04-13 21:50 C:\Users\Chapay\AppData\Roaming\eTranslator
2017-04-13 21:50 C:\Users\Chapay\AppData\Roaming\newSI_1
2017-04-13 21:50 C:\Users\Chapay\AppData\Roaming\NotepadPlusPlusApp
2017-04-13 21:50 C:\Users\Chapay\AppData\Local\fupdate
2017-04-13 21:50 C:\Users\Chapay\AppData\Local\ifgker
2017-04-13 21:50 C:\Users\Chapay\AppData\Local\ScriptWriter
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Нет файла
ContextMenuHandlers3: [00avast] -> [CC]{472083B0-C522-11CF-8763-00608CC02F24} => -> Нет файла
HKLM\...\StartupApproved\Run32: => " QQPCTray"
FirewallRules: [{718500A3-5274-4003-859D-0B12093BDA6E}] => (Allow) LPort=3389
FirewallRules: [{6A1FED94-27BA-4207-B0A6-A240AF9E81BD}] => (Allow) LPort=3389
FirewallRules: [{0D9428A0-57EB-417E-92F3-FFBD877DEEBD}] => (Allow) LPort=3389
FirewallRules: [{04BB7FCF-2A3E-494C-A297-1D86EFFDFB07}] => (Allow) LPort=3389
FirewallRules: [{0B98938F-D795-470A-856F-568C61C4EE59}] => (Allow) LPort=3389
FirewallRules: [{7960E2F6-E300-4DB4-9B88-0D4DF42811B1}] => (Allow) LPort=3389
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
CreateRestorePoint:
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]), прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен.

Содержимое папки C:\FRST\Quarantine упакуйте с паролем, ссылку и пароль сообщите в личном сообщении.

Файл Fixlog.txt прикрепил к данному сообщению

При архивации папки Quarantine к некоторым файлам отказано в доступе.
Файл с ошибками архивации также прикрепил.

Всё, что нужно было, в карантин попало.

С майнером покончено.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.

Большое спасибо!