Подцепил майнер. AutoLogger не работает

Приветствую. Установил сегодня ориг. лицензионную последнюю Windows 10 Pro x64 и установил все обновления и драйвера. Установил игру и сразу система начала вести себя странно. Файлы программы CPUID HWMonitor испорчены и её не удалить(просит доступа у "[B]Администратор[COLOR="#FF0000"]ы[/COLOR][/B]"), хоть и показывает что пустая. Помогло переименование этой папки и повторная установка CPUID HWMonitor. После этого началось самое интересное. Запустил мониторинг в ней и увидел что процессор нагружен полностью, не закрывая её открыл диспетчер задач и нагрузка сразу упала. Перепроверил несколько раз, одно и то же. Также проц не нагружается если отключить интернет, даже если диспетчер задач закрыт.


AutoLogger из инструкции не запускает процесс. Встроенный антивирус не разрешает, даже после отключения.
Сделал лог от AdwCleaner, FRST и CureIt.


Сайт Virustotal насчитал 60+ вирусов. Выложил этот установочный файл на обменник т.к. через форму [url]https://virusinfo.info/upload_virus.php?tid=37678[/url] не получается загрузить, может быть из-за того что файл весит 5мб.

Помогите пожалуйста убрать эту нечисть. Заранее спасибо!

Уважаемый(ая) [B]murtuz90[/B], спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[B]upd.
[/B]
Установил и запусти кое-как AnVir Task Manager(сразу вылетала, также как и её VirusTotalUpload.exe, пришлось переименовать исполняемый файл) и он выявил что процесс это C:\ProgramData\WindowsTask\MicrosoftHost.exe. Отправил его в карантин через него(не помогает, он опять повторно запускается и AnVir его постоянно убивает) и на проверку на сайт virustotal:

[url]https://www.virustotal.com/gui/file/12a209356db82dc1fc47da0a9a146096f6a9e7cd99e2ec71d513f394b57fc5f8/detection/f-12a209356db82dc1fc47da0a9a146096f6a9e7cd99e2ec71d513f394b57fc5f8-1725913932[/url]

При попытке зайти в эту папку и в папку C:\ProgramData\ проводник сразу закрывается, и при попытке зайти на эту страницу virustotal браузер закрывается.

[B]upd 2[/B]

Нашёл в исключениях встроенного антивируса папку C:\ProgramData\ и после удаления он нашел несколько вирусов и удалил. Пока что процессор не грузится сам по себе. Решил установить Malwarebytes, но он испортил его файлы тоже. Боится похоже собака) Кстати теперь получилось с AutoLogger-ом. Лог приложил.

Здравствуйте!

Скачайте, распакуйте и запустите [URL="https://inlnk.ru/ZZNRdX"]утилиту AV block remove[/URL], следуйте инструкциям. Если не запустится - переименуйте файл, переместите в любую папку, кроме рабочего стола и загрузок. Не поможет - запустите из безопасного режима с поддержкой сети.
Файл [B]AV_block_remove_дата_время.log[/B] из папки с программы прикрепите к своему сообщению.

Соберите и прикрепите новый CollectionLog Автологером.

[QUOTE=Sandor;1531717]Здравствуйте!

Скачайте, распакуйте и запустите [URL="https://inlnk.ru/ZZNRdX"]утилиту AV block remove[/URL], следуйте инструкциям. Если не запустится - переименуйте файл, переместите в любую папку, кроме рабочего стола и загрузок. Не поможет - запустите из безопасного режима с поддержкой сети.
Файл [B]AV_block_remove_дата_время.log[/B] из папки с программы прикрепите к своему сообщению.

Соберите и прикрепите новый CollectionLog Автологером.[/QUOTE]
Здравствуйте! Спасибо за помощь! Лог Автологгера почему-то не получилось загрузить на форум, поэтому даю ссылку на обменник [url]https://dropmefiles.net/ru/kcQz9KA[/url]

[URL=https://virusinfo.info/showthread.php?t=4491]"Пофиксите" в HijackThis[/URL] только следующее:
[CODE]
F2 - HKLM\..\WinLogon: [Shell] = explorer.exe,wuf.exe wtime.cmd
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 4
O22 - Tasks: GridinSoft Trojan Killer - C:\Program Files\Trojan Killer\tk64.lrp -finishrem (file missing)
O27 - Account: (Hidden) User 'John' is invisible on logon screen

[/CODE]
Перезагрузите компьютер.

Соберите и прикрепите новые логи Farbar Recovery Scan Tool.

Не нужно полностью цитировать предыдущее сообщение, пишите в нижнем поле быстрого ответа.


[quote="murtuz90;1531718"]Лог Автологгера почему-то не получилось загрузить на форум[/quote]
Удалите ваши [url=https://virusinfo.info/showthread.php?t=130567]старые вложения[/url].

Спасибо. Всё сделал

[B]Примите к сведению[/B] - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]
Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
2024-09-11 03:41 - 2024-09-11 03:45 - 000000000 ____D C:\ProgramData\HitmanPro
2024-09-11 03:21 - 2024-09-11 04:18 - 000000000 ____D C:\Program Files\GridinSoft Anti-Malware
2024-09-11 03:21 - 2024-09-11 03:38 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\GridinSoft Anti-Malware
2024-09-11 03:21 - 2024-09-11 03:21 - 000000000 ____D C:\ProgramData\GridinSoft
FirewallRules: [{24C5F92A-C9A2-49D6-9894-E9673A3E0C0E}] => (Allow) C:\Windows\Windows Driver Foundation (WDF).exe => Нет файла
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::
[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Исправить[/B] ([B]Fix[/B]) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.

Готово

Хорошо. Проблема решена?

Ну вроде да, хотя она и была решена [B]вроде[/B] в 3м посте. Единственное что заметил это не удаляется переименованная папка CPUID HWMonitor "C:\Program Files\CPUIDd"

Думаю лучше снести систему и заново поставить. Надеюсь вирус не пробрался на другие локальные диски. Спасибо за помощь!

[quote="murtuz90;1531724"]снести систему и заново поставить[/quote]
Нет необходимости. Притом, заражение скорее всего произошло при активации. Активатор вероятно "весит" 200+ мегабайт, т.е. самораспаковывающийся архив, содержащий сам активатор и майнер.

Чтобы удалить указанное выполните скрипт:
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]
Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
2024-09-11 02:25 - 2024-09-11 02:25 - 000000985 _____ C:\Users\Public\Desktop\CPUID HWMonitor.lnk
2024-09-11 02:25 - 2024-09-11 02:25 - 000000000 ____D C:\Program Files\CPUID
2024-09-11 02:16 - 2024-09-11 03:34 - 000000000 ____D C:\Program Files\Trojan Killer
Reboot:
End::
[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Исправить[/B] ([B]Fix[/B]) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.


В завершение, если больше проблем нет:
1.
Переименуйте FRST.exe (или FRST64.exe) в [B]uninstall.exe[/B] и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.[LIST][*]Загрузите [B][URL=https://www.comss.ru/page.php?id=1813]SecurityCheck by glax24 & Severnyj[/URL][/B], сохраните утилиту на [I]Рабочем столе[/I] и извлеките из архива.[*]Запустите из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] [*]Если увидите [U]предупреждение от вашего фаервола или SmartScreen[/U] относительно программы SecurityCheck, не блокируйте ее работу[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B][*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*]Прикрепите этот файл к своему следующему сообщению.[/LIST]

Проблема в папке C:\Program Files\CPUID[B]d[/B], которую я переименовал чтобы установить заново CPUID HWMonitor. Все-равно выполнить скрипт для папки с рабочей программой?

Также пытаюсь запустить другую игру у которой взломанный, но безопасный лаунчер, но AutoLogger берётся откуда-то(хотя это вроде портативная программа и я удалил все архивы с ним, папки и исполняемые файлы) и создает в папке AutoLogger[B]e[/B](я так раньше переименовывал чтобы запустить) на рабочем столе крэш-файл этого лаунчера. Как его можно полностью удалить?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Сделал как вы написали

По порядку:

[quote="murtuz90;1531726"]Проблема в папке C:\Program Files\CPUIDd[/quote]
Пробуйте удалить её в безопасном режиме.


[quote="murtuz90;1531726"]AutoLogger берётся откуда-то(хотя это вроде портативная программа и я удалил все архивы с ним, папки и исполняемые файлы)[/quote]
[URL="https://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="https://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL] программу обязательно запускайте из папки Автологера:

[CODE]var PathAutoLogger : string;
begin
clearlog;
PathAutoLogger := Copy(GetAVZDirectory, 0, (Length(GetAVZDirectory)-3));
AddToLog('start time ' + FormatDateTime('yyyy.mm.dd-hh:mm:ss', now) +#13#10+ PathAutoLogger);
if RegKeyExists('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps', 'x64') then
begin
AddToLog('LocalDumps - exists.');
if not RegKeyDel('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps', 'x64')
then AddToLog('Failed to delete LocalDumps')
end
else AddToLog('LocalDumps key missing.');
if RegKeyParamExists('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting', 'DontShowUI', 'x64') then
begin
AddToLog('DontShowUI - exists.');
if not RegKeyParamDel('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting', 'DontShowUI', 'x64')
then AddToLog('Failed to delete DontShowUI');
end
else AddToLog('DontShowUI parameter missing.');
SaveLog(PathAutoLogger+'report.log');
end.
[/CODE]

report.log из папки AVZ прикрепите к следующему сообщению.

Исправьте по возможности:
Dell SupportAssist v.4.0.3.61632 [color=red][b]Внимание! [url=https://downloads.dell.com/serviceability/Catalog/SupportAssistInstaller.exe]Скачать обновления[/url][/b][/color]

Видны две версии 7-z. Удалите обе и если нужен, [url=https://www.7-zip.org/download.html]установите заново[/url].

Готово

Это не тот. А такой есть?
[QUOTE]AutoLoggerreport.log[/QUOTE]

Уже снёс систему для спокойствия. Спасибо за помощь!