Здравствуй! Хотел скачать одну программу, распаковал архив, внутри (по инструкции) запустил батник, он же запустил два «.exe» файла внутри и сразу же резко закрылся браузер. Понял, что что-то подхватил. Резко начался закрываться regedit, заблокирован доступ к антивирусным сайтам.
Уважаемый(ая) [B]pshonkf_help[/B], спасибо за обращение на наш форум!
Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
[URL="https://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="https://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:
[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\ProgramData\Common\Recover.exe', '');
QuarantineFile('C:\ProgramData\Microsoft\WinDriver.cmd', '');
DeleteSchedulerTask('WinDriver');
DeleteFile('C:\ProgramData\Common\Recover.exe', '64');
DeleteFile('C:\ProgramData\Microsoft\WinDriver.cmd', '64');
DeleteService('IObitUnlocker');
DeleteService('SmartWindows');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(9);
ExecuteRepair(13);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]
Компьютер [U]перезагрузится[/U].
Дополнительно:
Скачайте [URL="https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B] ([B]Scan[/B]).
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Запустил AVZ от имени администратора, выполнил код, компьютер перезагрузился. Regedit по прежнему сразу же закрывается после открытия. Антивирусные сайты так же не открываются. Проверил файлы: удалился "WinDriver.cmd", но остался "Recover.exe". Повторил процедуру, без изменений.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Файлы прикрепил.
[B]Примите к сведению[/B] - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]
Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
HKLM\...\Policies\Explorer: [SettingsPageVisibility] hide:windowsdefender;
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender Security Center: Ограничение <==== ВНИМАНИЕ
Startup: C:\Users\smilek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\caps-min.exe [2022-01-20] () [Файл не подписан]
GroupPolicy: Ограничение - Edge <==== ВНИМАНИЕ
GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Task: {E6B9AA12-7D1D-4A3D-B30D-0F0980CFB24E} - System32\Tasks\caps-min => "E:\programs\CapsLang\caps-min.exe" (Нет файла)
Task: {05FAF021-EB26-4AD9-94CA-9F332525B166} - System32\Tasks\Google Chrome => C:\Program Files\Google\Chrome\Application\chrome.exe [2781472 2024-02-22] (Google LLC -> Google LLC) <==== ВНИМАНИЕ
Task: {990999B3-9435-4D8E-BDA0-7361E99F71BA} - System32\Tasks\GoogleSystem\GoogleUpdater\GoogleUpdaterTaskSystem124.0.6315.0{D4375DA2-E563-4410-9863-2F955F86B5EA} => C:\Program Files (x86)\Google\GoogleUpdater\124.0.6315.0\updater.exe [4698400 2024-02-22] (Google LLC -> Google LLC) <==== ВНИМАНИЕ
AutoConfigURL: [{B619D778-2691-4A8F-869B-2534A28BE868}] => hxxps://antizapret.prostovpn.org/proxy.pac <==== ВНИМАНИЕ
AutoConfigURL: [S-1-5-21-2026279081-4085191003-2484660149-1001] => hxxps://antizapret.prostovpn.org/proxy.pac <==== ВНИМАНИЕ
ManualProxies: 0hxxps://antizapret.prostovpn.org/proxy.pac <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
RemoveProxy:
CHR HomePage: Default -> hxxps://mail.ru/cnt/10445?gp=813024
S2 GoogleUpdaterInternalService124.0.6315.0; C:\Program Files (x86)\Google\GoogleUpdater\124.0.6315.0\updater.exe [4698400 2024-02-22] (Google LLC -> Google LLC) <==== ВНИМАНИЕ
S2 GoogleUpdaterService124.0.6315.0; C:\Program Files (x86)\Google\GoogleUpdater\124.0.6315.0\updater.exe [4698400 2024-02-22] (Google LLC -> Google LLC) <==== ВНИМАНИЕ
S2 SmartWindows; C:\ProgramData\Common\Recover.exe [2812704 2024-02-26] (Discord Inc. -> Discord - hxxps://discord.com/) [Файл не подписан]
S2 UsoSvc_bkp; C:\Windows\system32\usosvc.dll [102400 2024-02-14] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\Windows\System32\WaaSMedicSvc.dll [90112 2024-02-14] (Microsoft Windows -> Microsoft Corporation)
S3 wuauserv_bkp; C:\Windows\system32\wuaueng.dll [130528 2024-02-14] (Microsoft Windows -> Microsoft Corporation)
C:\ProgramData\Common\Recover.exe
Hosts:
FirewallRules: [{96C70DD0-ADE1-4C86-9127-1D8469CB6E3B}] => (Allow) C:\Temp\7zS7EC9\HP.EasyStart.exe => Нет файла
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::
[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Исправить[/B] ([B]Fix[/B]) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.
Далее:
Скачайте вложенный архив, извлеките из него три файла и в [B]безопасном режиме[/B] запустите каждый по очереди (согласитесь с внесением изменений в реестр).
Перезагрузите компьютер в нормальный режим и соберите такой лог:
Скачайте [URL='https://www.bleepingcomputer.com/download/farbar-service-scanner/dl/62/'][B]Farbar Service Scanner[/B][/URL]
Запустите.
Убедитесь, что отмечены пункты:
[LIST][*][B]Internet Services[/B][*][B]Windows Firewall[/B][*][B]System Restore[/B][*][B]Security Center/Action Center[/B][*][B]Windows Update[/B][*][B]Windows Defender[/B][/LIST]
Нажмите кнопку "[B]Scan[/B]"
Будет создан отчёт ([B]FSS.txt[/B]) в той же папке, откуда запущена утилита.
Прикрепите этот файл к своему ответу.
Выполнил.
Повторите ту же процедуру, но с другими тремя файлами (архив Services2.zip).
После перезагрузки в нормальном режиме соберите новый FSS.txt
Выполнил.
p.s. Caps-min — программа для переключения языка через CAPS.
[quote="pshonkf_help;1530112"]Caps-min — программа для переключения языка через CAPS[/quote]
Понятно. Виноват, нужно было спросить до удаления. Восстановить самостоятельно сможете или помочь?
Выполните такой скрипт:
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]
Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
cmd: DISM.exe /Online /Cleanup-image /Restorehealth
cmd: sfc /scannow
cmd: winmgmt /salvagerepository
cmd: winmgmt /verifyrepository
cmd: "%WINDIR%\SYSTEM32\lodctr.exe" /R
cmd: "%WINDIR%\SysWOW64\lodctr.exe" /R
cmd: "%WINDIR%\SYSTEM32\lodctr.exe" /R
cmd: "%WINDIR%\SysWOW64\lodctr.exe" /R
Reboot:
End::
[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Исправить[/B] ([B]Fix[/B]) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.
Выполнил. Не беспокойтесь, уже восстановил. Ещё вопрос: как вирус вредил системе? Что он делал? Майнер? Кейлорег?
Хорошо.
[QUOTE]Программа защиты ресурсов Windows обнаружила поврежденные файлы и успешно их восстановила.[/QUOTE]
[quote="pshonkf_help;1530116"]Майнер?[/quote]
Да.
[quote="pshonkf_help;1530116"]как вирус вредил системе?[/quote]
Вы это описали в первом сообщении.
Как себя ведёт система сейчас?
Хорошо, спасибо, понял. Самое главное: редактор реестра и антивирусные сайты — открывается! Какие-то лаги или нагрузку на систему даже вчера не обнаружил. Спасибо большое за быструю помощь, премного вам благодарен!
Хорошо, в завершение, пожалуйста:
1.
Переименуйте FRST.exe (или FRST64.exe) в [B]uninstall.exe[/B] и запустите.
Компьютер перезагрузится.
Остальные утилиты лечения и папки можно просто удалить.
2.[LIST][*]Загрузите [B][URL=https://www.comss.ru/page.php?id=1813]SecurityCheck by glax24 & Severnyj[/URL][/B], сохраните утилиту на [I]Рабочем столе[/I] и извлеките из архива.[*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7/8/8.1/10[/I])[*]Если увидите [U]предупреждение от вашего фаервола или SmartScreen[/U] относительно программы SecurityCheck, не блокируйте ее работу[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B][*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*]Прикрепите этот файл к своему следующему сообщению.[/LIST]
Выполнил.
Исправьте по возможности:
[color=red][b]Контроль учётных записей пользователя [b]отключен[/b][/b][/color]
Запрос на повышение прав для администраторов [color=red][b]отключен[/b][/color]
[color=blue][b]^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^[/b][/color]
[url=https://www.outsidethebox.ms/10034/]Так ли страшен Контроль учётных записей[/url]
Python 3.12.0 (64-bit) v.3.12.150.0 [color=red][b]Внимание! [url=https://www.python.org/downloads/windows/]Скачать обновления[/url][/b][/color]
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.38.33130 v.14.38.33130.0 [color=red][b]Внимание! [url=https://aka.ms/vs/17/release/vc_redist.x64.exe]Скачать обновления[/url][/b][/color]
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.38.33130 v.14.38.33130.0 [color=red][b]Внимание! [url=https://aka.ms/vs/17/release/vc_redist.x86.exe]Скачать обновления[/url][/b][/color]
Discord v.1.0.9023 [color=red][b]Внимание! [url=https://discordapp.com/api/download?platform=win]Скачать обновления[/url][/b][/color]
Viber v.21.5.0.3 [color=red][b]Внимание! [url=https://download.cdn.viber.com/desktop/windows/ViberSetup.exe]Скачать обновления[/url][/b][/color]
qBittorrent v.4.6.1 [color=red][b]Внимание! [url=https://www.qbittorrent.org/download.php]Скачать обновления[/url][/b][/color]
Google Chrome v.122.0.6261.69 [color=red][b]Внимание! [url=https://www.google.ru/intl/ru/chrome/update/]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Справка - О браузере Google Chrome!^[/b][/color]
Спасибо большое, обновил ;)