Майнер com surrogate! [HEUR:Trojan.Win32.Autoit.gen, HEUR:Trojan.Win32.Miner.gen]

Доброй ночи, уважаемые хелперы. Завелся майнер на компьютере, без понятия откуда (последнее, что я сделал, это обновил игру в стиме). После запуска компьютера активируется "com surrogate" и загружает процессор на 99%. Лечится обыкновенным снятием задачи через диспетчер. Но тем не менее, это все равно геморно, поэтому хотелось бы избавиться от этого паразита раз и навсегда.
Ваш форум уже помог мне однажды, этим летом, поэтому я снова прибегаю к вашей помощи :)

[SIZE=2]И, кстати, [URL="https://virusinfo.info/showthread.php?t=225359"]MalwareBytes[/URL][COLOR=#555555][FONT=Arial] я установить также не могу из-за "непредвиденной ошибки". Но если вирус можно удалить не прибегая к этой программе, то решать вопрос с установкой не стоит.

[/FONT][/COLOR][/SIZE][SIZE=3]
[/SIZE]

Уважаемый(ая) [B]Ironbutt[/B], спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[QUOTE]NetShield Kit 1.3.40.0 [2020/10/23 05:32:48]-->"C:\ProgramData\Package Cache\{020bb293-0705-4d82-98c4-1a62a464fabf}\nsk-win32-bundle.exe" /uninstall[/QUOTE]удалите через Установку программ.


Выполните скрипт в AVZ из папки Autologger
[code]{ Перед использованием скрипта убедитесь, что в системе не установлены упомянутые в скрипте антивирусы. Автор скрипта: regist. Modification: thyrex}
var ProgramData, ProgramFiles, ProgramFiles86, fname, OSVer: string;
PD_folders, PF_folders, O_folders: TStringList;

procedure FillList;
begin
PD_folders:= TStringList.Create;
PD_folders.Add('360TotalSecurity');
PD_folders.Add('360safe');
PD_folders.Add('AVAST Software');
PD_folders.Add('Avg');
PD_folders.Add('Avira');
PD_folders.Add('ESET');
PD_folders.Add('Indus');
PD_folders.Add('Kaspersky Lab Setup Files');
PD_folders.Add('Kaspersky Lab');
PD_folders.Add('MB3Install');
PD_folders.Add('Malwarebytes');
PD_folders.Add('McAfee');
PD_folders.Add('Norton');
PD_folders.Add('grizzly');
PD_folders.Add('RealtekHD');
PD_folders.Add('RunDLL');
PD_folders.Add('Setup');
PD_folders.Add('System32');
PD_folders.Add('Windows');
PD_folders.Add('WindowsTask');
PD_folders.Add('install');
PD_folders.Add('Doctor Web');
PF_folders:= TStringList.Create;
PF_folders.Add('360');
PF_folders.Add('AVAST Software');
PF_folders.Add('AVG');
PF_folders.Add('ByteFence');
PF_folders.Add('Zaxar');
PF_folders.Add('COMODO');
PF_folders.Add('Cezurity');
PF_folders.Add('Common Files\McAfee');
PF_folders.Add('ESET');
PF_folders.Add('Enigma Software Group');
PF_folders.Add('GRIZZLY Antivirus');
PF_folders.Add('Kaspersky Lab');
PF_folders.Add('Malwarebytes');
PF_folders.Add('Microsoft JDX');
PF_folders.Add('Panda Security');
PF_folders.Add('SpyHunter');
PF_folders.Add('RDP Wrapper');
O_folders:= TStringList.Create;
O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\AdwCleaner'));
O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\rdp'));
O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\KVRT_Data'));
O_folders.Add(NormalDir('%windir%'+'\NetworkDistribution'));
O_folders.Add(NormalDir('%windir%'+'\speechstracing'));
O_folders.Add(NormalDir('%windir%'+'\Fonts\Mysql'));
end;

procedure Del_folders(path: string; AFL: TStringList);
var i: integer;
A: integer;
s: string;
r: boolean;
begin
for i:= 0 to AFL.Count - 1 do
begin
fname:= NormalDir(path + AFL[i]);
r:= False;
if DirectoryExists(fname)
then
begin
s:= 'Found ' + fname + ' (';
A:= GetAttr(fname);
if A and 4 = 4
then
begin
r:= True;
s:= s + 'S';
end;
if A and 2 = 2
then
begin
r:= True;
s:= s + 'H';
end;
s:= s + 'D)';
AddToLog(s);
QuarantineFileF(fname, '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
DeleteFileMask(fname, '*', true);
if r then FSResetSecurity(fname);
DeleteDirectory(fname);
end;
end;
end;

procedure swprv;
begin
ExecuteFile('sc.exe', 'create "swprv" binpath= "%SystemRoot%\System32\svchost.exe -k swprv" type= own start= demand depend= RPCSS', 0, 15000, true);
RegKeyParamDel ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'wow64');
RegKeyStrParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'Description', '@%SystemRoot%\System32\swprv.dll,-102');
RegKeyStrParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'DisplayName', '@%SystemRoot%\System32\swprv.dll,-103');
RegKeyIntParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'ServiceSidType', '1');
RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%Systemroot%\System32\swprv.dll');
OSVer := RegKeyStrParamRead('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion','CurrentVersion');
if OSVer > '6.1' then RegKeyIntParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv\Parameters', 'ServiceDllUnloadOnStop', '1');;
ExecuteFile('sc.exe', 'privs "swprv" SeBackupPrivilege/SeChangeNotifyPrivilege/SeCreateGlobalPrivilege/SeCreatePermanentPrivilege/SeImpersonatePrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeIncreaseBasePriorityPrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeTcbPrivilege', 0, 15000, true);
ExecuteFile('net.exe', 'start "swprv"', 0, 15000, true);
end;

procedure AV_block_remove;
begin
Clearlog;
FillList;
ProgramData:= GetEnvironmentVariable('ProgramData') + '\';
ProgramFiles:= NormalDir('%PF%');
ProgramFiles86:= NormalDir('%PF% (x86)');
Del_folders(ProgramData, PD_folders);
Del_folders(ProgramFiles, PF_folders);
Del_folders(ProgramFiles86, PF_folders);
Del_folders('', O_folders);
if RegKeyParamExists('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer', 'DisallowRun')
then RegKeyParamDel('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer', 'DisallowRun');
if RegKeyExists('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun')
then
begin
ExpRegKey('HKCU','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun','DisallowRun_backup.reg');
RegKeyDel('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun');
end;
RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\services\TermService\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%SystemRoot%\System32\termsrv.dll');
swprv;
if MessageDLG('Удалить пользователя "John" ?'+ #13#10 + 'Если пользователь с таким именем вам не знаком, то нажмите "Да".', mtConfirmation, mbYes+mbNo, 0) = 6
then ExecuteFile('net.exe', 'user john /delete', 0, 15000, true);
PD_folders.Free;
PF_folders.Free;
O_folders.Free;
end;

begin
AV_block_remove;
fname:= ProgramData + 'RDPWinst.exe';
if FileExists(fname) then DeleteFile(fname);
ExecuteSysClean;
SaveLog(GetAVZDirectory +'AV_block_remove.log');
RebootWindows(false);
end.[/code][list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин [/b][/u][/color] [b]над первым сообщением[/b] темы.

[b][color="Red"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи. [/color][/b]

Карантин отправил, прикрепляю логи.

P.S. Скажите, вам было бы удобнее, если бы я оставлял майнер включенным после перезагрузки ПК и создал новые логи? Возможно это упростило бы поиск проблемы...

Я просил удалить NetShield Kit 1.3.40.0, но Вы этого почему-то не сделали.


Скачайте [url=https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i] и [i]90 Days Files[/i].
[img]https://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Файлы [b]FRST.txt[/b] и [b]Addition.txt[/b] заархивируйте (в [b]один общий архив[/b]) и прикрепите к сообщению.

Прикрепляю

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=thyrex;1516394]Я просил удалить NetShield Kit 1.3.40.0, но Вы этого почему-то не сделали.[/QUOTE]

upd. Я думал вы мне код прислали, а вы оказывается путь указали. Решил удалить другое приложение за эту дату.
Прошу прощения. Теперь нашёл нужный и удалил.

1. Выделите следующий код:
[code]
Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
Policies: C:\Users\Все пользователи\NTUSER.pol: Restriction <==== ATTENTION
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
Tcpip\..\Interfaces\{06ea80a4-d00c-11e9-a2cd-806e6f6e6963}: [NameServer] 185.192.111.210,37.59.58.122
Tcpip\..\Interfaces\{0ba8289a-78d5-4fc9-923b-4b098836412a}: [NameServer] 185.192.111.210,37.59.58.122
Tcpip\..\Interfaces\{3a756097-71a9-4ad7-9633-674800220d9a}: [NameServer] 185.192.111.210,37.59.58.122
Tcpip\..\Interfaces\{6a10ae78-b8fe-4f7a-b0cd-2be28bbdee92}: [NameServer] 185.192.111.210,37.59.58.122
FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\defaults\pref\local-settings.js [2019-11-29] <==== ATTENTION (Points to *.cfg file)
FF ExtraCheck: C:\Program Files (x86)\mozilla firefox\umbrella.cfg [2020-05-21] <==== ATTENTION
NetShield Kit 1.3.40.0 (HKLM-x32\...\{020bb293-0705-4d82-98c4-1a62a464fabf}) (Version: 1.3.40.0 - Sigma Software) Hidden
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> No File
ShellIconOverlayIdentifiers: [00avg] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> No File
FirewallRules: [{36194F05-60E4-44AC-AF8C-4D9D2453968E}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe => No File
FirewallRules: [{06BC3805-FCE1-499A-8CE0-77263A309C6C}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe => No File
FirewallRules: [TCP Query User{BE87E694-2B3A-4EF0-B0A9-43297799AB2D}D:\games\steamlibrary\steamapps\common\grand theft auto v\gta5.exe] => (Allow) D:\games\steamlibrary\steamapps\common\grand theft auto v\gta5.exe => No File
FirewallRules: [UDP Query User{757A3250-3A92-4E00-967C-9B8769B01EBD}D:\games\steamlibrary\steamapps\common\grand theft auto v\gta5.exe] => (Allow) D:\games\steamlibrary\steamapps\common\grand theft auto v\gta5.exe => No File
FirewallRules: [{ADB9BAA9-F0A0-4EC4-828F-6C014C41CFAD}] => (Allow) D:\Games\SteamLibrary\steamapps\common\Grand Theft Auto V\GTAVLauncher.exe => No File
FirewallRules: [{EF155125-CED3-41E5-A644-A9151E0BE187}] => (Allow) D:\Games\SteamLibrary\steamapps\common\Grand Theft Auto V\GTAVLauncher.exe => No File
FirewallRules: [{672256DB-C577-46C3-8F43-179095840639}] => (Block) D:\Games\Forza Horizon 4\FH4\Microsoft.SunriseBaseGame_1.332.904.2_x64__8wekyb3d8bbwe.exe => No File
FirewallRules: [{679A3022-0EC3-4AE1-B823-85D4B924F899}] => (Block) D:\Games\Forza Horizon 4\FH4\Microsoft.SunriseBaseGame_1.332.904.2_x64__8wekyb3d8bbwe.exe => No File
FirewallRules: [{20765063-887E-4D13-B2D8-FE86F9641EFE}] => (Allow) C:\Program Files (x86)\Microsoft Office\root\Office16\Lync.exe => No File
FirewallRules: [{D983A6B3-19AC-4F43-81D9-EBF91C6A7FAE}] => (Allow) C:\Program Files (x86)\Microsoft Office\root\Office16\UcMapi.exe => No File
FirewallRules: [TCP Query User{325584E4-4DE6-40D0-8153-01F4F0EE431B}C:\windows\temp\files\bin\kmss.exe] => (Allow) C:\windows\temp\files\bin\kmss.exe => No File
FirewallRules: [UDP Query User{DCFA8981-515B-4BA1-9168-F4F7B1E15435}C:\windows\temp\files\bin\kmss.exe] => (Allow) C:\windows\temp\files\bin\kmss.exe => No File
FirewallRules: [TCP Query User{3EBD2091-22F6-495E-9B7B-4D5638319EF3}C:\program files\logitech gaming software\lcore.exe] => (Allow) C:\program files\logitech gaming software\lcore.exe => No File
FirewallRules: [UDP Query User{69CA1719-3F0E-4657-ADED-2CDCAD7745AB}C:\program files\logitech gaming software\lcore.exe] => (Allow) C:\program files\logitech gaming software\lcore.exe => No File
FirewallRules: [TCP Query User{4FC039CC-1FA5-4743-90EB-B4D07F88EEE9}C:\program files\lghub\lghub_agent.exe] => (Allow) C:\program files\lghub\lghub_agent.exe => No File
FirewallRules: [UDP Query User{7952EE14-D1D9-4F8F-8FE6-A16DD7BA910F}C:\program files\lghub\lghub_agent.exe] => (Allow) C:\program files\lghub\lghub_agent.exe => No File
FirewallRules: [TCP Query User{DF594808-C09C-46DE-8EA3-21AAE33020AE}D:\r.g. catalyst\portal 2\portal2.exe] => (Block) D:\r.g. catalyst\portal 2\portal2.exe => No File
FirewallRules: [UDP Query User{315D9710-1C9C-4627-946D-7B3572ABCE4A}D:\r.g. catalyst\portal 2\portal2.exe] => (Block) D:\r.g. catalyst\portal 2\portal2.exe => No File
FirewallRules: [TCP Query User{01903840-DED2-4076-99B2-E5D971C94E77}C:\program files\lghub\lghub_agent.exe] => (Block) C:\program files\lghub\lghub_agent.exe => No File
FirewallRules: [UDP Query User{FD5FA511-7ECA-4F87-9939-A0903AFC89EF}C:\program files\lghub\lghub_agent.exe] => (Block) C:\program files\lghub\lghub_agent.exe => No File
FirewallRules: [TCP Query User{3DD9A124-B114-485D-AD6F-035ECD13D79E}D:\r.g. catalyst\portal 2\portal2.exe] => (Allow) D:\r.g. catalyst\portal 2\portal2.exe => No File
FirewallRules: [UDP Query User{F223180A-00A7-45F3-86F2-AFA3779D99A3}D:\r.g. catalyst\portal 2\portal2.exe] => (Allow) D:\r.g. catalyst\portal 2\portal2.exe => No File
FirewallRules: [TCP Query User{018E7124-D543-4B27-B6EC-81A32CC90F9B}C:\users\donsk\appdata\roaming\.simplemc\runtime\jre-8-51-x64\bin\java.exe] => (Allow) C:\users\donsk\appdata\roaming\.simplemc\runtime\jre-8-51-x64\bin\java.exe => No File
FirewallRules: [UDP Query User{53FF6AB9-471E-4C46-94DE-DE4B5C91AD99}C:\users\donsk\appdata\roaming\.simplemc\runtime\jre-8-51-x64\bin\java.exe] => (Allow) C:\users\donsk\appdata\roaming\.simplemc\runtime\jre-8-51-x64\bin\java.exe => No File
FirewallRules: [TCP Query User{B73D3F68-87E8-4278-8E5F-D2C00F9D719A}D:\games\steamlibrary\steamapps\common\grand theft auto v\gta5.exe] => (Allow) D:\games\steamlibrary\steamapps\common\grand theft auto v\gta5.exe => No File
FirewallRules: [UDP Query User{18601409-D693-4205-B7CB-204C0DE022D5}D:\games\steamlibrary\steamapps\common\grand theft auto v\gta5.exe] => (Allow) D:\games\steamlibrary\steamapps\common\grand theft auto v\gta5.exe => No File
FirewallRules: [TCP Query User{244E9B18-562A-4BE7-8DA3-ABDDC08C7655}C:\users\donsk\appdata\roaming\.tlauncher\jvms\jre1.8.0_51\bin\javaw.exe] => (Allow) C:\users\donsk\appdata\roaming\.tlauncher\jvms\jre1.8.0_51\bin\javaw.exe => No File
FirewallRules: [UDP Query User{3BCE908D-4418-4ABD-89F3-36E0B21095D3}C:\users\donsk\appdata\roaming\.tlauncher\jvms\jre1.8.0_51\bin\javaw.exe] => (Allow) C:\users\donsk\appdata\roaming\.tlauncher\jvms\jre1.8.0_51\bin\javaw.exe => No File
FirewallRules: [TCP Query User{DAC06617-2EA7-4711-B885-CD941DA9379C}C:\users\donsk\appdata\local\programs\opera\65.0.3467.42\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\65.0.3467.42\opera.exe => No File
FirewallRules: [UDP Query User{1AA015BF-8E01-43A3-B0FF-C5F4D4423897}C:\users\donsk\appdata\local\programs\opera\65.0.3467.42\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\65.0.3467.42\opera.exe => No File
FirewallRules: [TCP Query User{436E4F19-33DD-402E-A2D7-3DE7C377BE8F}C:\users\donsk\appdata\local\programs\opera\65.0.3467.48\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\65.0.3467.48\opera.exe => No File
FirewallRules: [UDP Query User{49F9A974-E253-425A-A4CE-3F8C1ACDE223}C:\users\donsk\appdata\local\programs\opera\65.0.3467.48\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\65.0.3467.48\opera.exe => No File
FirewallRules: [TCP Query User{172DD361-5698-4417-9B1E-17CD7DFBB1C9}C:\programdata\ubar\ubar\ubar.exe] => (Block) C:\programdata\ubar\ubar\ubar.exe => No File
FirewallRules: [UDP Query User{67B8C9A6-4098-4CEB-AD80-4A0A893FCA6F}C:\programdata\ubar\ubar\ubar.exe] => (Block) C:\programdata\ubar\ubar\ubar.exe => No File
FirewallRules: [TCP Query User{5829F0FA-6B1F-4D72-9BAE-AD2F7600A63C}C:\users\donsk\appdata\local\programs\opera\65.0.3467.62\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\65.0.3467.62\opera.exe => No File
FirewallRules: [UDP Query User{19AB3EEC-56A0-47E3-9133-6FAB9847C900}C:\users\donsk\appdata\local\programs\opera\65.0.3467.62\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\65.0.3467.62\opera.exe => No File
FirewallRules: [{3121AC79-00B0-4953-88F7-92D066DFBA0C}] => (Allow) D:\Games\SteamLibrary\steamapps\common\sogame\game\sogame.exe => No File
FirewallRules: [{AE0429F0-1951-4E57-8098-9D7B238E77F2}] => (Allow) D:\Games\SteamLibrary\steamapps\common\sogame\game\sogame.exe => No File
FirewallRules: [TCP Query User{D28BED3D-1CAE-496A-B129-34A959421AED}D:\games\outlast 2\binaries\win64\outlast2.exe] => (Allow) D:\games\outlast 2\binaries\win64\outlast2.exe => No File
FirewallRules: [UDP Query User{31835D9B-6A03-4903-A05B-B9A4292743FF}D:\games\outlast 2\binaries\win64\outlast2.exe] => (Allow) D:\games\outlast 2\binaries\win64\outlast2.exe => No File
FirewallRules: [{96732B23-78E1-4C03-B758-707319595CCA}] => (Allow) C:\Program Files\BlueStacks\HD-Player.exe => No File
FirewallRules: [{7DB8F44E-CAAF-4913-A036-0F3D80949C08}] => (Allow) C:\Users\donsk\AppData\Local\Programs\Opera\68.0.3618.104\opera.exe => No File
FirewallRules: [TCP Query User{207A5057-46F8-4DBB-BCA6-F563169E3D14}F:\call of duty modern warfare\modernwarfare.exe] => (Allow) F:\call of duty modern warfare\modernwarfare.exe => No File
FirewallRules: [UDP Query User{AA5D0653-B172-452C-BB2D-58290B508AC9}F:\call of duty modern warfare\modernwarfare.exe] => (Allow) F:\call of duty modern warfare\modernwarfare.exe => No File
FirewallRules: [TCP Query User{45E2E82A-5B32-48D1-9027-41E49EB4EFF1}D:\games\gtav\gta5.exe] => (Allow) D:\games\gtav\gta5.exe => No File
FirewallRules: [UDP Query User{8A644386-CBA4-4C6F-AAC7-7F5767D57077}D:\games\gtav\gta5.exe] => (Allow) D:\games\gtav\gta5.exe => No File
FirewallRules: [{A9A3B91C-E73E-468C-8453-44F00ED7BF5E}] => (Allow) C:\Users\donsk\AppData\Local\Programs\Opera\68.0.3618.125\opera.exe => No File
FirewallRules: [TCP Query User{08C79913-8EAF-48AC-A556-BBBABC7C4D90}D:\games\borderlands2\binaries\win32\borderlands2.exe] => (Block) D:\games\borderlands2\binaries\win32\borderlands2.exe => No File
FirewallRules: [UDP Query User{BA594621-6A31-4419-AEA7-64CDB1690938}D:\games\borderlands2\binaries\win32\borderlands2.exe] => (Block) D:\games\borderlands2\binaries\win32\borderlands2.exe => No File
FirewallRules: [TCP Query User{2074B47A-C9DF-4340-A911-3A95A9CB01B4}D:\games\borderlands2\binaries\win32\borderlands2.exe] => (Allow) D:\games\borderlands2\binaries\win32\borderlands2.exe => No File
FirewallRules: [UDP Query User{8FEE4475-8AF0-4B24-859C-3720FFFF6489}D:\games\borderlands2\binaries\win32\borderlands2.exe] => (Allow) D:\games\borderlands2\binaries\win32\borderlands2.exe => No File
FirewallRules: [{8E8558F5-8E02-416D-A617-78D969108AFE}] => (Block) LPort=445
FirewallRules: [{D4488859-230C-4B91-A30F-28827FE9C25B}] => (Block) LPort=445
FirewallRules: [{CFAB9375-3D58-45E2-86B1-09F7D2687DC0}] => (Block) LPort=139
FirewallRules: [{BD2EC461-3E6A-4DF2-BD61-6ABA9B8BDEC6}] => (Block) LPort=139
FirewallRules: [{A265D6F5-D0F6-4CD4-9054-F97A080DD4B2}] => (Allow) C:\Program Files\Autodesk\3ds Max 2014\NVIDIA\Satellite\raysat_3dsmax2014_64server.exe => No File
FirewallRules: [{0F8029D4-F7E9-492E-98B2-EEF19B983800}] => (Allow) C:\Program Files\Autodesk\3ds Max 2014\NVIDIA\Satellite\raysat_3dsmax2014_64server.exe => No File
FirewallRules: [{74A51097-8AAB-49AD-AFFD-AEB5DA0C30A1}] => (Allow) C:\Program Files\Autodesk\3ds Max 2014\NVIDIA\Satellite\raysat_3dsmax2014_64.exe => No File
FirewallRules: [{F5DC5A8E-A2FE-4D08-ADC1-E5165540B815}] => (Allow) C:\Program Files\Autodesk\3ds Max 2014\NVIDIA\Satellite\raysat_3dsmax2014_64.exe => No File
FirewallRules: [{5D4C1854-6A19-421C-9DB7-4A86B97163C8}] => (Allow) C:\Program Files\Unity Hub\Unity Hub.exe => No File
FirewallRules: [TCP Query User{B3073D88-72B2-4E90-AD6F-ABD87D8BA252}C:\program files\unity hub\unity hub.exe] => (Allow) C:\program files\unity hub\unity hub.exe => No File
FirewallRules: [UDP Query User{C0E6AE2A-93FD-474D-8FCE-6643DC3CBA74}C:\program files\unity hub\unity hub.exe] => (Allow) C:\program files\unity hub\unity hub.exe => No File
FirewallRules: [TCP Query User{41F21127-6FD7-4AC0-BDDE-4099DBC26AFB}C:\users\donsk\appdata\local\programs\opera\68.0.3618.165\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\68.0.3618.165\opera.exe => No File
FirewallRules: [UDP Query User{8A8F81CB-77DB-48A1-9CA9-44E720923473}C:\users\donsk\appdata\local\programs\opera\68.0.3618.165\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\68.0.3618.165\opera.exe => No File
FirewallRules: [TCP Query User{B203A097-7D0E-49EB-B12C-EA11DE031B1F}C:\users\donsk\appdata\local\programs\opera\68.0.3618.173\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\68.0.3618.173\opera.exe => No File
FirewallRules: [UDP Query User{21E8DFD0-827E-4DBD-B77B-8CC37759A250}C:\users\donsk\appdata\local\programs\opera\68.0.3618.173\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\68.0.3618.173\opera.exe => No File
FirewallRules: [TCP Query User{A6880A08-2221-4913-AF85-AA43E55DE79D}C:\users\donsk\appdata\local\programs\opera\69.0.3686.77\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\69.0.3686.77\opera.exe => No File
FirewallRules: [UDP Query User{03824964-22EB-4FD0-9E3C-678DA0E5FE68}C:\users\donsk\appdata\local\programs\opera\69.0.3686.77\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\69.0.3686.77\opera.exe => No File
FirewallRules: [TCP Query User{891C5E28-E31A-4447-A9EC-5BAB6A826807}C:\users\donsk\appdata\local\programs\opera\69.0.3686.95\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\69.0.3686.95\opera.exe => No File
FirewallRules: [UDP Query User{0C94FC5A-653E-4105-82B6-39CC37852F4F}C:\users\donsk\appdata\local\programs\opera\69.0.3686.95\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\69.0.3686.95\opera.exe => No File
FirewallRules: [TCP Query User{84956C55-16BE-4390-A3EE-298D3E2575AA}C:\games\pacify\pacify\binaries\win64\pacify-win64-shipping.exe] => (Allow) C:\games\pacify\pacify\binaries\win64\pacify-win64-shipping.exe => No File
FirewallRules: [UDP Query User{7895620E-D468-4937-B05E-34D6B5668E5B}C:\games\pacify\pacify\binaries\win64\pacify-win64-shipping.exe] => (Allow) C:\games\pacify\pacify\binaries\win64\pacify-win64-shipping.exe => No File
FirewallRules: [TCP Query User{B67BF18B-F528-4486-B24D-82DD1FA6A2D8}C:\users\donsk\appdata\local\programs\opera\70.0.3728.106\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\70.0.3728.106\opera.exe => No File
FirewallRules: [UDP Query User{786379A9-24B2-4EB6-BB7D-48AF3B7F3890}C:\users\donsk\appdata\local\programs\opera\70.0.3728.106\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\70.0.3728.106\opera.exe => No File
FirewallRules: [TCP Query User{BB1BC1E0-30B6-46AA-897E-9D57495CD8AF}D:\games\minecraft dungeons dlc\minecraft_server.exe] => (Allow) D:\games\minecraft dungeons dlc\minecraft_server.exe => No File
FirewallRules: [UDP Query User{A35AF702-14D4-4A72-AA46-72B3C28F4B03}D:\games\minecraft dungeons dlc\minecraft_server.exe] => (Allow) D:\games\minecraft dungeons dlc\minecraft_server.exe => No File
FirewallRules: [TCP Query User{47A5FEE9-A552-463C-A62A-3947D9709C10}C:\users\donsk\appdata\local\programs\opera\70.0.3728.119\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\70.0.3728.119\opera.exe => No File
FirewallRules: [UDP Query User{4099C96E-1C7A-4E7F-B5E1-2D289C623CBB}C:\users\donsk\appdata\local\programs\opera\70.0.3728.119\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\70.0.3728.119\opera.exe => No File
FirewallRules: [TCP Query User{3759A134-95D5-4361-B02A-0E08BF17241A}C:\users\donsk\appdata\local\programs\opera\70.0.3728.133\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\70.0.3728.133\opera.exe => No File
FirewallRules: [UDP Query User{5A374B88-C38E-4C6E-BB41-380E35CCBD71}C:\users\donsk\appdata\local\programs\opera\70.0.3728.133\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\70.0.3728.133\opera.exe => No File
FirewallRules: [TCP Query User{B7D2E837-0793-45C0-8627-55A52B700BD7}C:\users\donsk\appdata\local\programs\opera\70.0.3728.154\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\70.0.3728.154\opera.exe => No File
FirewallRules: [UDP Query User{DEBCF66E-8077-4DA9-B78F-E2AAE041F533}C:\users\donsk\appdata\local\programs\opera\70.0.3728.154\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\70.0.3728.154\opera.exe => No File
FirewallRules: [TCP Query User{EB9A9BE9-534A-4423-8F7C-273F2A7999E5}C:\users\donsk\appdata\local\programs\opera\70.0.3728.178\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\70.0.3728.178\opera.exe => No File
FirewallRules: [UDP Query User{FBE50F51-9673-4F1F-AA86-DCF4446E90C1}C:\users\donsk\appdata\local\programs\opera\70.0.3728.178\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\70.0.3728.178\opera.exe => No File
FirewallRules: [TCP Query User{E3D496C0-F6AC-4B56-B473-01F2D56D59CD}C:\users\donsk\appdata\local\programs\opera\70.0.3728.189\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\70.0.3728.189\opera.exe => No File
FirewallRules: [UDP Query User{CBB87361-99A9-4D52-B092-0BCA00FA985A}C:\users\donsk\appdata\local\programs\opera\70.0.3728.189\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\70.0.3728.189\opera.exe => No File
FirewallRules: [TCP Query User{430A49BF-50AC-4606-90A6-4E8B6B21FAF4}C:\users\donsk\appdata\local\programs\opera\71.0.3770.198\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\71.0.3770.198\opera.exe => No File
FirewallRules: [UDP Query User{ABB60991-87C9-48FE-8746-3F3B3C6BBA25}C:\users\donsk\appdata\local\programs\opera\71.0.3770.198\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\71.0.3770.198\opera.exe => No File
FirewallRules: [TCP Query User{52F2A842-F6AD-440F-A929-814B92E5D9CB}D:\games\need for speed heat\needforspeedheat.exe] => (Allow) D:\games\need for speed heat\needforspeedheat.exe => No File
FirewallRules: [UDP Query User{E5850754-2D0E-4350-8C07-6B254DF22AE2}D:\games\need for speed heat\needforspeedheat.exe] => (Allow) D:\games\need for speed heat\needforspeedheat.exe => No File
FirewallRules: [TCP Query User{4C3EABD1-60D1-46F8-95D1-2A754B3E692B}C:\users\donsk\appdata\local\programs\opera\71.0.3770.228\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\71.0.3770.228\opera.exe => No File
FirewallRules: [UDP Query User{74420431-E77E-4B4D-9608-E0C909BA4519}C:\users\donsk\appdata\local\programs\opera\71.0.3770.228\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\71.0.3770.228\opera.exe => No File
FirewallRules: [{27887088-864B-4F9B-8ACE-EB2CA2B7F12D}] => (Block) C:\users\donsk\appdata\local\programs\opera\71.0.3770.228\opera.exe => No File
FirewallRules: [{183FAC16-E2B8-4F89-90C6-DC84D9C45E75}] => (Block) C:\users\donsk\appdata\local\programs\opera\71.0.3770.228\opera.exe => No File
FirewallRules: [TCP Query User{3AA19CE5-349A-4AFB-9621-966A1E1EA6E6}D:\games\star wars jedi fallen order\swgame\binaries\win64\starwarsjedifallenorder.exe] => (Allow) D:\games\star wars jedi fallen order\swgame\binaries\win64\starwarsjedifallenorder.exe => No File
FirewallRules: [UDP Query User{D9157667-1608-4A87-AF0A-C0FE22E67DF5}D:\games\star wars jedi fallen order\swgame\binaries\win64\starwarsjedifallenorder.exe] => (Allow) D:\games\star wars jedi fallen order\swgame\binaries\win64\starwarsjedifallenorder.exe => No File
FirewallRules: [{62E6121B-EF2E-4A64-9BDE-B71D47EAE2B3}] => (Block) D:\games\star wars jedi fallen order\swgame\binaries\win64\starwarsjedifallenorder.exe => No File
FirewallRules: [{08ABA11D-F212-47DE-B0C0-1ADA10895FCF}] => (Block) D:\games\star wars jedi fallen order\swgame\binaries\win64\starwarsjedifallenorder.exe => No File
FirewallRules: [TCP Query User{83E7E17D-748B-4EF3-B97E-D5EC3FA6C041}C:\users\donsk\appdata\local\programs\opera\71.0.3770.271\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\71.0.3770.271\opera.exe => No File
FirewallRules: [UDP Query User{5DE59213-F043-435C-877D-2FB00137BF2B}C:\users\donsk\appdata\local\programs\opera\71.0.3770.271\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\71.0.3770.271\opera.exe => No File
FirewallRules: [TCP Query User{14F64238-AA13-473D-B9E8-A72A246AE870}C:\users\donsk\appdata\local\programs\opera\71.0.3770.284\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\71.0.3770.284\opera.exe => No File
FirewallRules: [UDP Query User{8AF7BCFB-7A54-424B-A5F6-212F532E6062}C:\users\donsk\appdata\local\programs\opera\71.0.3770.284\opera.exe] => (Allow) C:\users\donsk\appdata\local\programs\opera\71.0.3770.284\opera.exe => No File
FirewallRules: [{2008236D-B6C1-41DD-A3EE-E86D6ACBB7FD}] => (Allow) D:\Games\Red Dead Redemption 2\RDR2.exe => No File
FirewallRules: [{65E151BD-1B4F-4623-9508-E212F37CB23B}] => (Allow) D:\Games\Red Dead Redemption 2\RDR2.exe => No File
FirewallRules: [TCP Query User{C9EF94CE-85AC-4A8D-89DB-111B5992C573}C:\users\donsk\appdata\local\programs\opera\72.0.3815.186\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\72.0.3815.186\opera.exe => No File
FirewallRules: [UDP Query User{90BF11E4-3F41-4647-A685-5C994812DF0A}C:\users\donsk\appdata\local\programs\opera\72.0.3815.186\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\72.0.3815.186\opera.exe => No File
FirewallRules: [TCP Query User{3D3993FE-6C11-43C0-A6F6-3A6D4BFCC119}C:\users\donsk\appdata\local\programs\opera\72.0.3815.320\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\72.0.3815.320\opera.exe => No File
FirewallRules: [UDP Query User{EB594B70-BDA0-4358-BB3B-3B2EFE7BBFA1}C:\users\donsk\appdata\local\programs\opera\72.0.3815.320\opera.exe] => (Block) C:\users\donsk\appdata\local\programs\opera\72.0.3815.320\opera.exe => No File
Reboot:
End::
[/code]
2. Скопируйте выделенный текст ([b]правая кнопка мыши[/b] – [b]Копировать[/b]).
3. Запустите [b]Farbar Recovery Scan Tool[/b].
4. Нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Отправил

Что с проблемой?

Процесс снова появляется после рестарта пк и загружает ЦП.

MBAM установился?

Удалите FRST.txt и Addition.txt и сделайте новые логи Farbar.

Установился Malwarebytes, просканировал, поместил в карантин 45 объектов. Перезагрузил ПК и все равно появляется процесс com surrogate(dllhost.exe) и грузит до 99%.

Только что сделанный скан прикрепляю.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Прикрепляю логи сканирования в момент работы самого майнера. Может будет какая-то явная разница, не знаю.

Мне сколько раз еще попросить Вас удалить NetShield Kit?

[ATTACH=CONFIG]683722[/ATTACH]

Я его удалил ещё вчера. Сейчас пути такого не существует. Где я могу этот файл ещё найти? В "Установка и удаление программ" ничего подобного нет.

1. Выделите следующий код:
[code]
Start::
CreateRestorePoint:
() [File not signed] C:\Program Files (x86)\NetShield Kit\netshieldsvc.exe
HKU\S-1-5-21-2392537974-1309656607-3427114124-1001\...\Run: [MailRuUpdater] => C:\Users\donsk\AppData\Local\Mail.Ru\MailRuUpdater.exe <==== ATTENTION
Task: {41ED24BD-094A-429C-92B8-F8B4783DEFAA} - System32\Tasks\NetShield Kit scheduled Autoupdate => C:\Program Files (x86)\NetShield Kit\cli.exe [189440 2020-10-16] (Sigma Software) [File not signed]
Task: {B1D1F58B-507D-4A48-AB92-6D13ED1FC400} - System32\Tasks\NetShield Kit Self Repair => C:\Program Files (x86)\NetShield Kit\netshieldsvc.exe [7010816 2020-10-16] () [File not signed]
Tcpip\..\Interfaces\{06ea80a4-d00c-11e9-a2cd-806e6f6e6963}: [NameServer] 185.192.111.210,37.59.58.122
Tcpip\..\Interfaces\{0ba8289a-78d5-4fc9-923b-4b098836412a}: [NameServer] 185.192.111.210,37.59.58.122
Tcpip\..\Interfaces\{3a756097-71a9-4ad7-9633-674800220d9a}: [NameServer] 185.192.111.210,37.59.58.122
Tcpip\..\Interfaces\{6a10ae78-b8fe-4f7a-b0cd-2be28bbdee92}: [NameServer] 185.192.111.210,37.59.58.122
R2 NetShieldKitSvc; C:\Program Files (x86)\NetShield Kit\netshieldsvc.exe [7010816 2020-10-16] () [File not signed]
S4 uhssvc; "C:\Program Files\Microsoft Update Health Tools\uhssvc.exe" [X]
2020-10-23 05:31 - 2020-10-30 17:58 - 000003482 _____ C:\Windows\system32\Tasks\NetShield Kit Self Repair
2020-10-23 05:31 - 2020-10-30 17:58 - 000000000 ____D C:\Program Files (x86)\NetShield Kit
2020-10-23 05:31 - 2020-10-23 05:31 - 000003284 _____ C:\Windows\system32\Tasks\NetShield Kit scheduled Autoupdate
Reboot:
End::
[/code]
2. Скопируйте выделенный текст ([b]правая кнопка мыши[/b] – [b]Копировать[/b]).
3. Запустите [b]Farbar Recovery Scan Tool[/b].
4. Нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Хорошо. Пошарудил по системному диску и нашел папку NetShield в корне ProgramFiles(x86). Однако невозможно удалить её, т.к. она со старта[ATTACH=CONFIG]683723[/ATTACH] запущена и как её потушить не имею понятия.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Данный код просто в буфере обмена должен быть? Или его куда-то вставлять в самой программе?

upd. Папки больше не видно в ProgramFiles(x86). Компьютер ребутнулся и майнер все равно включился.

Папка удалена скриптом.

Что сейчас с проблемой?

Всё то же самое...

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Дополню: вчера, перед появлением COM Surrogate была другая задача, которая именовалась как "Утилита поиска строк (GREP)". C неё-то все и началось. Поискав варианты решения проблем в интернете нашёл способ просто удалить с корнем из системной папки. После ребута появился COM Surrogate...

[quote="Ironbutt;1516428"]вчера, перед появлением COM Surrogate была другая задача, которая именовалась как "Утилита поиска строк (GREP)". C неё-то все и началось[/quote]т.е. она тоже грузила процессор?

[QUOTE=thyrex;1516430]т.е. она тоже грузила процессор?[/QUOTE]

Абсолютно верно