Autologger: Невозможно создать папку... Отказано в доступе

Здравствуйте, по порядку. Подхватил кучу вирусов с сайта thebyrut.org ([url]https://thebyrut.org/23880-shadows-of-doubt.html[/url] верхняя ссылка "Скачать торрент" качает не игру, а фейковый установщик с кучей вирусов). Скачал касперский, подчистил кучу всего - майнер и т.д, логи есть. Хочу теперь взять "Помогите+", чтобы подчистить, но Autologger не работает, не создает папку, отказано в доступе (запуск от им. адм-ра). Windows 10. Защита от вирусов и угроз не запускается, там бесконечная загрузка (может он и блокает autologger).

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[ATTACH=CONFIG]689381[/ATTACH]


Также интересует вопрос, как собственно оплатить Помогите+, кроме Paypal ничего нет, а он, очевидно, в России не работает.

Уважаемый(ая) [B]Vasyan228[/B], спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Запускаю естественно от им. администратора, Касперский выключен

Здравствуйте!

Пробуйте запустить Автологер в безопасном режиме.

Система оплаты для "плюс" услуг не работает, продолжаем здесь. Не волнуйтесь, просто были выходные.

Спасибо за ответ. Создал папку на рабстоле и из нее запустилось, доступ был закрыт только с рабочего стола. Вроде по логам все чисто, но проверить еще раз стоит.

[quote="Vasyan228;1530130"]Вроде по логам все чисто[/quote]
Увы, нет. Два типа заражения. Будем лечить последовательно.

Скачайте [URL='https://inlnk.ru/ZZNRdX']AV block remover[/URL] (или с [URL='https://gateway.ipfs.io/ipns/k51qzi5uqu5dgxe9lp4ajfxoa6kx673upp405piwtr9dx2ecuz0bn02560gn9i']зеркала[/URL]).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).

Если и так не сработает, запускайте программу из любой папки [I]кроме папок[/I] Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт [B]AV_block_remove_дата-время.log[/B], прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый [b]CollectionLog[/b] Автологером.

Запускается, но просит скачать последнюю версию и выключается. [url]https://www.comss.ru/page.php?id=8842[/url] попробовал скачать здесь, то же самое. На зеркале вообще не работает ссылка, ошибка 504.

Теперь еще скачал вроде даже с официального сайта safezone cc (ссылку не дают вставить) то же самое! Просит последнюю версию.


script ver. 2024.01.08
File name: AV-br.exe
Start-up time: 2024.02.27-18:04:52
Launched from: C:\Users\Vasya228\Downloads\AVbr (2)\AV_block_remover\
System: x64 Windows 10 Home
Build number: 19045
AVBr has been run with local Administrator rights.
Elevation of privileges of rights is successful.
System booted up in Normal Mode.
Last update was on: 2024.02.17
Current date is: 2024.02.27
This version is out of date.

Верно, были проблемы. Сейчас утилита на SafeZone обновлена.
Скачайте ещё раз и выполняйте.

Готово. Еще был видимо создан пользователь John и удален.

Хорошо, уже должно полегчать. Но ещё есть над чем поработать.

[URL="https://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="https://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:

[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Program Files (x86)\Google\GoogleUpdater\124.0.6315.0\updater.exe', '');
DeleteFile('C:\Program Files (x86)\Google\GoogleUpdater\124.0.6315.0\updater.exe');
DeleteService('GoogleUpdater InternalService 124.0.6315.0');
DeleteService('GoogleUpdater Service 124.0.6315.0');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(9);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

Компьютер [U]перезагрузится[/U].


Далее:
Скачайте [URL="https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B] ([B]Scan[/B]).
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Спасибо за помощь, готово.

[B]Примите к сведению[/B] - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]
Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-64119638-2647892706-650127379-1000\...\MountPoints2: {55dc1d24-88c3-11ee-984a-74563c3d13f2} - "F:\SISetup.exe"
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-64119638-2647892706-650127379-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
Edge StartupUrls: Default -> "hxxp://www.google.com/","hxxp://mystart.incredibar.com/mb201?a=6PQWYLACIv&i=26","hxxp://www.mail.ru/cnt/7829","hxxp://mystart.incredibar.com/mb203?a=6PQWYLACIv&i=26","hxxp://istart.webssearches.com/?type=hp&ts=1409577309&from=slbnew&uid=ST1000DM003-1CH162_W1D3M2GAXXXXW1D3M2GA","hxxp://www.oursurfing.com/?type=hp&ts=1442512841&z=9232717bac28a631859fe7be81e8de0cgzzowgobzg&from=amt&uid=st1000dm003-1ch162_w1d3m2gaxxxxw1d3m2ga","hxxp://mail.ru/cnt/10445?gp=blackbear16","hxxp://mail.ru/cnt/10445?gp=811138","hxxps://encrypted.google.com/"
C:\Users\Vasya228\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\bgnodfikjoihkcjjnefbjkeclamhipak
CHR StartupUrls: Default -> "hxxp://www.google.com","hxxp://mystart.incredibar.com/mb201?a=6PQWYLACIv&i=26","hxxp://www.mail.ru/cnt/7829","hxxp://mystart.incredibar.com/mb203?a=6PQWYLACIv&i=26","hxxp://istart.webssearches.com/?type=hp&ts=1409577309&from=slbnew&uid=ST1000DM003-1CH162_W1D3M2GAXXXXW1D3M2GA","hxxp://www.oursurfing.com/?type=hp&ts=1442512841&z=9232717bac28a631859fe7be81e8de0cgzzowgobzg&from=amt&uid=st1000dm003-1ch162_w1d3m2gaxxxxw1d3m2ga","hxxp://mail.ru/cnt/10445?gp=blackbear16","hxxp://mail.ru/cnt/10445?gp=811138","hxxps://encrypted.google.com"
S2 AVGWscReporter; "C:\Program Files\AVG\Antivirus\wsc_proxy.exe" /runassvc /rpcserver [X]
EmptyTemp:
Reboot:
End::
[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Исправить[/B] ([B]Fix[/B]) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.

Скрипт нужно было просто скопировать в буфер обмена? Никуда не вставлять, верно?

Верно, он выполнился из буфера обмена.

Проблема решена?

Спасибо большое за помощь. На опыта пользования компьютером все было решено еще после очистки Касперским, так что с тех пор ничего по опыту не изменилось, все было обычно. Главное, что удалено всё окончательно и больше не будет воровать данные, например.

В завершение, пожалуйста:

1.
Переименуйте FRST.exe (или FRST64.exe) в [B]uninstall.exe[/B] и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.[LIST][*]Загрузите [B][URL=https://www.comss.ru/page.php?id=1813]SecurityCheck by glax24 & Severnyj[/URL][/B], сохраните утилиту на [I]Рабочем столе[/I] и извлеките из архива.[*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7/8/8.1/10[/I])[*]Если увидите [U]предупреждение от вашего фаервола или SmartScreen[/U] относительно программы SecurityCheck, не блокируйте ее работу[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B][*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*]Прикрепите этот файл к своему следующему сообщению.[/LIST]

готово

Исправьте по возможности:

Контроль учётных записей пользователя [b]включен[/b]
Запрос на повышение прав для администраторов [color=red][b]отключен[/b][/color]
[color=blue][b]^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^[/b][/color]

[url=https://www.outsidethebox.ms/10034/]Так ли страшен Контроль учётных записей[/url]

Notepad++ (64-bit x64) v.8.5.8 [color=red][b]Внимание! [url=https://github.com/notepad-plus-plus/notepad-plus-plus/releases/latest]Скачать обновления[/url][/b][/color]
Python 3.11.5 (64-bit) v.3.11.5150.0 [color=red][b]Внимание! [url=https://www.python.org/downloads/windows/]Скачать обновления[/url][/b][/color]
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.38.33126 v.14.38.33126.1 [color=red][b]Внимание! [url=https://aka.ms/vs/17/release/vc_redist.x64.exe]Скачать обновления[/url][/b][/color]
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.38.33126 v.14.38.33126.1 [color=red][b]Внимание! [url=https://aka.ms/vs/17/release/vc_redist.x86.exe]Скачать обновления[/url][/b][/color]
WinRAR 6.24 (64-разрядная) v.6.24.0 [color=red][b]Внимание! [url=https://www.rarlab.com/download.htm]Скачать обновления[/url][/b][/color]
µTorrent v.1.8.2 [color=red][b]Внимание! Клиент сети P2P с рекламным модулем![/b][/color].
Google Chrome v.122.0.6261.70 [color=red][b]Внимание! [url=https://www.google.ru/intl/ru/chrome/update/]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Справка - О браузере Google Chrome!^[/b][/color]

---------------------------- [ UnwantedApps ] -----------------------------
Кнопки сервисов Яндекса на панели задач v.3.7.9.0 [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Спасибо большое за помощь. Только теперь почему-то папка с Аутологгером постоянно возвращается на рабочий стол после удаления, и даже после очищения корзины. Это при каждом новом включении компьютера. В ней еще вот такая папка вот с такими файлами. Как это убрать?

Также обнаружил, что не работает внутреигровой оверлей в Nvidia GeForce Experience, потому что удален exe-файл NVIDIA Share (как рассказано в этом видео, из-за вируса - [url]https://youtu.be/eCzecCWQBJY[/url]). Также в папке C: ProgramData обнаружены следующие файлы, которые тоже относятся к вирусам, полностью не удалось очистить.. Так что лучше, наверное, будет переустановить Виндоус, а не мучаться?

Если вы ещё не переустановили систему, можем попробовать исправить.

Скачайте Autologger, запустите его и дайте отработать.

Затем, запустите AVZ из папки ...\Autologger\AV\av_z.exe и выполните скрипт (Файл -> Выполнить скрипт):
[CODE]var PathAutoLogger : string;
begin
clearlog;
PathAutoLogger := Copy(GetAVZDirectory, 0, (Length(GetAVZDirectory)-3));
AddToLog('start time ' + FormatDateTime('yyyy.mm.dd-hh:mm:ss', now) +#13#10+ PathAutoLogger);
if RegKeyExists('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps', 'x64') then
begin
AddToLog('LocalDumps - exists.');
if not RegKeyDel('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps', 'x64')
then AddToLog('Failed to delete LocalDumps')
end
else AddToLog('LocalDumps key missing.');
if RegKeyParamExists('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting', 'DontShowUI', 'x64') then
begin
AddToLog('DontShowUI - exists.');
if not RegKeyParamDel('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting', 'DontShowUI', 'x64')
then AddToLog('Failed to delete DontShowUI');
end
else AddToLog('DontShowUI parameter missing.');
SaveLog(PathAutoLogger+'report.log');
end.[/CODE]

Появится файл Autologgerreport.log
Прикрепите его к следующему сообщению.