Компьютер тормозит... [Trojan.Win64.Miner.ady ]

(название темы "Компьютер тормозит..." - почему кракозябры отправились непонятно, текст также после отправки был обезображен - исправил)

Привет!

Помогите разобраться - компьютер медленно работает, Windows 8.1 x64. Долго загружается. Долго открываются программы, в том числе браузеры Firefox и Chrome, при открытии страницы часто долго висят. В проводнике долго висит при нажатии ПКМ на любом файле. По диспетчеру задач при этом нагрузка ЦП низкая. Началось это давно, просто последнее время кажется что тормозит ещё сильнее, одно мучение... Антивирус Avast Premier, недавно дополнительно поставил HitmanPro.Alert (при загрузке ругается на Alcohol, и разово было как-то на SrTasks.exe и обновление Skype).

Архив приложил, антивирус и хитман отключал (по описанию вроде два раза тест должен пройти с перезагрузкой системы - у меня было только один раз без перезагрузки).

Уважаемый(ая) [B]Godspeed[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

Сами прописывали следующую настройку?
[CODE]
R1 - HKU\S-1-5-21-711994236-2041015376-503476024-1002\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = 127.0.0.1
[/CODE]

Удалите [Advanced SystemCare, Iobit через установку и удаления программ.

HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[CODE]
O9-32 - Button: HKLM\..\{8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no name) - (no file)
[/CODE]


AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Windows\SYSTEM32\hmpalert.dll','');
QuarantineFile('C:\MUTSW\MUT3\MENU\SCRIPT\IeOptionOff.js','');
ExecuteFile('schtasks.exe', '/delete /TN "cFos\Registration Tasks\Open Browser" /F', 0, 15000, true);
QuarantineFile('C:\Users\admin\appdata\roaming\svchost.exe', '');
DeleteFile('C:\Users\admin\appdata\roaming\svchost.exe', '32');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
ExecuteRepair(9);
ExecuteWizard('SCU', 2, 3, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

[/CODE]

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.

Строку "Internet Settings: [ProxyOverride] = 127.0.0.1" я сам не прописывал. Возможно, это какая-нибудь программа по ремонту автомобилей, некоторые работают через http, даже могут временно локально веб-сервер запускать. Но сказать какая именно программа - не могу. Убрать строчку?

"C:\Windows\SYSTEM32\hmpalert.dll" - это похоже файл программы HitmanPro.Alert. Удалить эту программу тоже? Или только файл? Боюсь без этого файла не будет она работать.

Сейчас не успеваю всё проделать. Надо бежать. Спасибо за совет, сегодня пришлю карантин и логи.

1) Удалил Advanced SystemCare, Iobit Uninstall, HitmanPro.Alert. Перезагрузил компьютер.

2) В HiJackThis не было указанной строчки для фикса.

3) Выполнил AVZ, карантин высылаю.

4) Лог AdwCleaner приложил. (рабочая ссылка [url]https://virusinfo.info/showthread.php?t=218752[/url])

ПКМ в системе стала практически адекватной по времени отклика.

[QUOTE=Godspeed;1480813]
"C:\Windows\SYSTEM32\hmpalert.dll" - это похоже файл программы HitmanPro.Alert. Удалить эту программу тоже? Или только файл? Боюсь без этого файла не будет она работать.[/QUOTE]

Удалять не нужно, брал в карантин, чтобы проверить если не было подмены.


[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

У Вас обнаружен вирус, пожалуйста смените все пароли.
[CODE]C:\Users\admin\appdata\roaming\svchost.exe - Trojan.Win64.Miner.ady[/CODE]

В AdwCleaner удалил всё, т.к. ничем этим не пользуюсь. Пароль админа сменил.

Компьютер работает явно быстрее. Загрузка системы: появление рабочего стола через 1 мин, загрузка всего в трее ещё 3 мин. Браузер Firefox открывается через 15 сек, показывает текущую вкладку ещё через 15 сек (вкладок много, открывается предыдущая сессия, раньше самое быстрое было 1 мин, а так и 2 мин не редкость), при переключении первый раз на другую вкладку показывает страницу через 3-5 сек. ПКМ на файле в Проводнике первый раз задержка 3-5 сек, последующие ПКМ показывает сразу.

Появилось несколько вопросов, дайте совет, пожалуйста:

1) Майнер подселился при запуске какой-то программы под правами админа? Сама она снова не появится?
2) Какую программу поставить параллельно антивирусу? Особенно интересует в плане безопасности интернет-банкинга, совершения онлайн платежей. HitmanPro.Alert, IBM Security Trusteer Rapport, Malwarebytes?
3) Как отредактировать контекстное меню проводника по ПКМ? Например, хотел бы удалить "Прожиг Nero".

Спасибо за помощь!!!

Давайте с вопросами по окончанию зададите еще раз, так как еще не закончили.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

А я то думал что всё... Снова установил HitmanPro.Alert: он снова блокирует Alchocol, в том числе по ПКМ, и запуск Firefox увеличился с 15 до 30 сек. А когда запустил FRST под админом, он и тут что-то заблокировал. Отключил real-time protection в Хитман, сделал Scan в FRST под админом. Оба файла прикладываю.

Немного глянул эти отчёты: там бы в run и ПКМ убрать бы кое-что...

В Firefox прописал скрипт автоматического прокси Антизапрет. С ним появилась задержка при открытии сайтов, особенно большая в первый раз после открытия браузера. Поставил на системный прокси - задержка ушла.

Удалите Iobit через установку и удаления программ в панели управления.

Что из следующего Вам известно?
[CODE]
HKU\S-1-5-21-711994236-2041015376-503476024-1001\...\Run: [IeOptionOff] => C:\MUTSW\MUT3\MENU\SCRIPT\IeOptionOff.js
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\1006fix.lnk [2011-10-14]
ShortcutTarget: 1006fix.lnk -> C:\Program Files (x86)\Common Files\Mitchell1\1006fix\startsomts.bat ()
U2 clr_optimization_v1.02; C:\Users\admin\AppData\Roaming\nssm.exe [294912 2014-08-31] () [File not signed]
[/CODE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
File: C:\Users\admin\AppData\Roaming\nssm.exe
File: C:\MUTSW\MUT3\MENU\SCRIPT\IeOptionOff.js
Handler: WSIEChrome - No CLSID Value
FF HKU\S-1-5-21-711994236-2041015376-503476024-1002\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected] => not found
FF HKU\S-1-5-21-711994236-2041015376-503476024-1002\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected] => not found
FF HKU\S-1-5-21-711994236-2041015376-503476024-1002\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected] => not found
FF HKU\S-1-5-21-711994236-2041015376-503476024-1002\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected] => not found
FF Plugin-x32: @adobe.com/AuthorwarePlayer -> C:\Windows\system32\Macromed\AUTHORWA\np32asw.dll [No File]
FF Plugin-x32: @adobe.com/ShockwavePlayer -> C:\Windows\system32\Adobe\Director\np32dsw_1219160.dll [No File]
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - C:\Program Files\AVAST Software\Avast\WebRep\Chrome\aswWebRepChromeSp.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - C:\Program Files\AVAST Software\Avast\WebRep\Chrome\aswWebRepChrome.crx <not found>
R2 LiveUpdateSvc; C:\Program Files (x86)\IObit\LiveUpdate\LiveUpdate.exe [3046688 2016-07-29] (IObit)
File: C:\Mitchell1\OnDemand5\Mitchell1.Security.MachineTokenService.exe
Folder: C:\Windows\CryptoGuard
2018-05-04 10:06 - 2016-05-30 20:23 - 000000000 ____D C:\Users\user\AppData\Roaming\IObit
2018-05-04 10:06 - 2016-05-30 20:23 - 000000000 ____D C:\Users\admin\AppData\LocalLow\IObit
2018-05-04 10:06 - 2016-05-30 20:22 - 000000000 ____D C:\Users\Все пользователи\IObit
2018-05-04 10:06 - 2016-05-30 20:22 - 000000000 ____D C:\Users\admin\AppData\Roaming\IObit
2018-05-04 10:06 - 2016-05-30 20:22 - 000000000 ____D C:\ProgramData\IObit
2018-05-03 19:46 - 2016-05-30 20:22 - 000000000 ____D C:\Program Files (x86)\IObit
2016-06-11 13:00 - 2014-08-31 16:34 - 000294912 _____ () C:\Users\admin\AppData\Roaming\nssm.exe
AlternateDataStreams: C:\Users\user\Application Data:!uuid [32]
AlternateDataStreams: C:\Users\user\AppData\Roaming:!uuid [32]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Какая-то беда случилась... В общем, по порядку.

1) IOBit я удалил уже ранее, как вы говорили.

2) Названия "1006fix" и "Mitchell1" - для работы программы по автомобилям Mitchell On-Demand. Это нужно.

3) "MUTSW" - тоже относится к автомобильным программам. Но по факту папка C:\MUTSW\ пустая. Можно всё удалить.

4) Про "nssm.exe" ничего сказать не могу.

5) Fix для FRST выполнил. Лог приложил.

6) Самое интересное началось после перезагрузки, всё стало работать медленнее:

- Windows. Рабочий стол появился через 1м 20с, ярлыки рабочего стола появились ещё через 30 сек, т.е. всего 1м 50с (против 1 мин в целом до этого, ярлыки появлялись через 1-2 сек вместе с рабочим столом). Трей прогрузился за 3.5 мин (3 мин ранее).

- Firefox. Браузер появился через 50 сек (15 сек ранее), окно из предыдущего сеанса отобразил ещё через 40 сек (15 сек ранее).

- ПКМ первый раз висит 7-10 сек (3-5 сек ранее).


Как вернуть ранее достигнутый результат?

Выполните следующий фикс.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
U2 clr_optimization_v1.02; C:\Users\admin\AppData\Roaming\nssm.exe [294912 2014-08-31] () [File not signed]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Сообщите результат.

О! Стало лучше. По времени загрузки как после первого лечения. Только ПКМ первый раз 5-7 сек. И при загрузке Windows есть задержка в появлении-прорисовки ярлыков рабочего стола 10-15 сек.

Лог FRST прикладываю.

Приложите пожалуйста новые логи FRST.

Т.е. повторно сделать Scan? Сделал.

Я только немного поковырялся. Автозагрузку подредактировал, вручную пару строк удалил из реестра, и пару строк через диспетчер задач отключил. Но быстрее загружаться не стала. И ПКМ подредактировал, с помощью FileMenu Tools. Теперь ПКМ первый раз гораздо быстрее открывается.

Снёс 7-zip, т.к. в удалении программ почему-то было две версии.

Установил другой репак Алкоголя, потому что предыдущий при загрузке системы постоянно спрашивал пароль админа.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
BHO: ExplorerWnd Helper -> {10921475-03CE-4E04-90CE-E2E7EF20C814} -> C:\Program Files (x86)\IObit\IObit Uninstaller\UninstallExplorer.dll => No File
File: C:\Program Files (x86)\Gigabyte\AppCenter\AdjustService.exe
File: :\Windows\GVTDrv64.sys
ContextMenuHandlers1: [BriefcaseMenu] -> ?{85BBD920-42A0-1069-A2E4-08002B30309D} => -> No File
ContextMenuHandlers1: [FineReader12ContextMenu] -> ?{55344AC6-630B-430C-B292-C7BE21F90061} => -> No File
ContextMenuHandlers1: [PDFCreator.ShellContextMenu] -> ?{d9cea52e-100d-4159-89ea-76e845bc13e1} => -> No File
ContextMenuHandlers1: [PicaViewCtxMenuShlExt] -> ?{F3CBBA61-EE3F-4D6D-B1C6-B3474E579936} => -> No File
ContextMenuHandlers1: [Sharing] -> ?{f81e9010-6ea4-11ce-a7ff-00aa003ca9f6} => -> No File
ContextMenuHandlers2: [Sharing] -> ?{f81e9010-6ea4-11ce-a7ff-00aa003ca9f6} => -> No File
ContextMenuHandlers3: [SendTo] -> ?{7BA4C740-9E81-11CF-99D3-00AA004AE837} => -> No File
ContextMenuHandlers4: [Sharing] -> ?{f81e9010-6ea4-11ce-a7ff-00aa003ca9f6} => -> No File
ContextMenuHandlers6: [BriefcaseMenu] -> ?{85BBD920-42A0-1069-A2E4-08002B30309D} => -> No File
ContextMenuHandlers6: [Library Location] -> ?{3dad6c5d-2167-4cae-9914-f99e41c12cfa} => -> No File
ContextMenuHandlers6: [PintoStartScreen] -> ?{470C0EBD-5D73-4d58-9CED-E91E22E23282} => -> No File
ContextMenuHandlers6: [StartMenuExt] -> ?{E595F05F-903F-4318-8B0A-7F633B520D2B} => -> No File
AlternateDataStreams: C:\Users\user\Application Data:!uuid [32]
AlternateDataStreams: C:\Users\user\AppData\Roaming:!uuid [32]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]


В логе замечен каталог, сигнализирующий проблемы с файловой системой.
[CODE]
2018-05-05 14:43 - 2018-05-05 14:43 - 000000000 __SHD C:\found.000
[/CODE]

Я уже прогонял "chkdsk c: /f". Можно как-то удалить эту папку "C:\found.000"? Или без неё не будет что-то работать?

И я бы хотел оставить все строчки в ContextMenuHandlers. Я не знаю как работает FileMenu Tools, возможно после удаления этих строк я не смогу восстановить эти пункты при необходимости. Могу ли я на своё усмотрение не удалять некоторые? Скорость ПКМ сейчас вполне вменяемая.

Лучше быть по оккуратней с удалением, так как в итоге можете повредить ОС.

Значит я не понял... Что делает команда "ContextMenuHandlers1: [BriefcaseMenu] -> ?{85BBD920-42A0-1069-A2E4-08002B30309D} => -> No File"? Удаляет BriefcaseMenu из контекстного меню?

А если убрать из фикса строчки ContextMenuHandlers?

Эти строчки в который в конце указанно No File, битые ссылки на не существющие объекты. Они были указанны в фиксе, для того чтобы при нажати ПКМ, не тратилось время на загрзуку несуществующих объектов. Однако если указать существующие строки это может негативно отразиться на работе ОС.

За прошедшее время: Переустановил Raxco PerfectDisk, хочу сделать дефрагментацию. Acrobat в прошлом месяце перестал нормально работать, пункта удаления не было, поэтому просто установил поверх, теперь работает. Дополнительно поставил Revo Unistaller. Система грузится по времени так же, Firefox на 5 сек появляется позже (20 сек вместо 15 сек), ПКМ так же быстро.

Выполнил фикс FRST, только в фиксе удалил команды по контекстному меню, кроме BriefcaseMenu. Лог прикладываю.

- Теперь в FileMenu Tools нет строчек, чтобы восстановить BriefcaseMenu. Но это не важно, остальные остались. Пусть так и остаётся. Меня вполне устраивает скорость работы ПКМ после сделанных мною корректировок в FileMenu Tools.

- Загрузка системы и Firefox, ПКМ - всё так же, ни быстрее, ни медленнее.

На всякий случай выполнил Scan в FRST.

В итоге, работа нормализовалась?

Всё стало быстрее после удаления вируса. Спасибо!

Как удалить папку "C:\found.000"?

[QUOTE=Godspeed;1481549]
Как удалить папку "C:\found.000"?[/QUOTE]

Папка должна удаляться без проблем, она у Вас не удаляется?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\admin\appdata\roaming\svchost.exe - [B]Trojan.Win64.Miner.ady[/B] ( DrWEB: Trojan.BtcMine.793, BitDefender: Trojan.Generic.15309135 )[/LIST][/LIST]