Загрузка ЦП 100% при не требовательных программах / играх [not-a-virus:HEUR:RiskTool.Win32.BitMiner.gen, HEUR:Trojan.Win32.Miner.= gen]

Printable View

22.11.2020, 11:14
crazyvlad

Загрузка ЦП 100% при не требовательных программах / играх [not-a-virus:HEUR:RiskTool.Win32.BitMiner.gen, HEUR:Trojan.Win32.Miner.= gen]

Здравствуйте ув.хелперы, пишу этот пост с Линукса, т.к вирус ограничивает доступ к вашему ресурсу и некоторым другим с Винды. При запуске нетребовательных игр даже на минимуме, программ, в диспетчере задач, загрузка ЦП поднимается до 100% Вентиляторы так же на максимум. Как только открываешь диспетчер, загрузка ЦП почти мгновенно падает до 10-20%. В целом система очень тупит. Так же летит куда-то трафик в простое, (смотрел через диспетчер задач). Какое-то время назад подозревал удаленный доступ к ПК либо кейлоггер, создавал тему на вашем форуме, все было чисто - мне ответили. Постоянно были левые входы в некоторые учётки, утечки некоторых данных, постоянный спам на почту что ваш пк был взломан и мы следим за вами, после некоторого времени сейчас нет доступа к вашему ресурсу, и еще, заметил щелчки в колонках, как будто что-то щелкает, появилось дней 10 назад, несколько десятков таких щелчков происходит в течении получаса, потом может исчезнуть на день, либо появится позже. Сейчас в системе 2 жестких диска, диск С - Винда, второй ЖД - Линукс, третий ЖД - снят несколько месяцев назад (бывший вроде бы "Е" либо "D") больше в системе его не будет. В сети находятся три компьютера, через роутер ZyXel. Спасибо за помощь ув.хелперы!
22.11.2020, 11:16
Info_bot

Уважаемый(ая) [B]crazyvlad[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
22.11.2020, 22:31
SQ

Здравствуйте,

HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[B]Важно[/B]: необходимо отметить и профиксить [B]только[/B] то, что указано ниже.
[CODE]
O4 - HKLM\..\Run: [Realtek HD Audio] = C:\ProgramData\RealtekHD\taskhostw.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [10] = Cezurity_Scanner_Pro_Free.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [11] = Cube.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [1] = eav_trial_rus.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [2] = avast_free_antivirus_setup_online.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [3] = eis_trial_rus.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [4] = essf_trial_rus.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [5] = hitmanpro_x64.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [6] = ESETOnlineScanner_UKR.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [7] = ESETOnlineScanner_RUS.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [8] = HitmanPro.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [9] = 360TS_Setup_Mini.exe (disabled)
O7 - Taskbar policy: HKCU\..\Policies\Explorer: [DisallowRun] = 1
O22 - Task: \Microsoft\Windows\Wininet\Cleaner - C:\Programdata\WindowsTask\winlogon.exe
O22 - Task: \Microsoft\Windows\Wininet\Taskhost - C:\Programdata\RealtekHD\taskhostw.exe
O22 - Task: \Microsoft\Windows\Wininet\Taskhostw - C:\Programdata\RealtekHD\taskhostw.exe
[/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Programdata\RealtekHD\taskhostw.exe','');
QuarantineFile('C:\Programdata\WindowsTask\winlogon.exe','');
QuarantineFile('C:\ProgramData\RealtekHD\taskhostw.exe','');
QuarantineFile('c:\programdata\realtekhd\taskhostw.exe','');
QuarantineFile('c:\programdata\realtekhd\taskhost.exe','');
QuarantineFileF('c:\programdata\realtekhd', '*.exe,*.dll,*.sys,*.vbs,*.com', false,'', 0, 0);
QuarantineFile('c:\programdata\windowstask\microsofthost.exe','');
QuarantineFile('c:\programdata\windowstask\audiodg.exe','');
QuarantineFileF('c:\programdata\windowstask', '*.exe,*.dll,*.sys,*.vbs,*.com', false,'', 0, 0);
DeleteFile('c:\programdata\windowstask\audiodg.exe','32');
DeleteFile('c:\programdata\windowstask\microsofthost.exe','32');
DeleteFile('c:\programdata\realtekhd\taskhost.exe','32');
DeleteFile('c:\programdata\realtekhd\taskhostw.exe','32');
DeleteFile('C:\ProgramData\RealtekHD\taskhostw.exe','64');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Realtek HD Audio','x64');
DeleteFile('C:\Programdata\WindowsTask\winlogon.exe','64');
DeleteFile('C:\Programdata\RealtekHD\taskhostw.exe','64');
DeleteSchedulerTask('Microsoft\Windows\Wininet\Taskhostw');
DeleteSchedulerTask('Microsoft\Windows\Wininet\Taskhost');
DeleteSchedulerTask('Microsoft\Windows\Wininet\Cleaner');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Malwarebytes)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt[/COLOR][/B] (где x - любая цифра).[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
23.11.2020, 00:33
crazyvlad

Доброго времени суток, доступ к ресурсу появился, в HiJacks Все профиксил как Вы указали, Выполнил лог в Avz, карантин выслал, Выполнив сканирование через AdwCleaner, не смог найти указанный лог по тому пути который вы указали, воспользовался поиском через Пуск, и нашел этот файл, но на диске С, эта папка не отображается, даже включив "Скрытые папки". Спасибо

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Так же забыл сказать, что некоторое время назад, после загрузки системы слетали часы, приходилось переставлять вручную, после перезагрузки, сейчас сбились снова
23.11.2020, 01:12
SQ

[url=https://virusinfo.info/showthread.php?t=218752&p=1480599&viewfull=1#post1480599]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

P.S. Касаемо батарейки время сбивается, только после выключения или перегрузки тоже? Есть подозрения, что нужно менять батарейки на материнской плате.
23.11.2020, 01:44
crazyvlad

Подскажите а как оттуда и что удалять? Все окна пустые ничего не отображается во вкладках кроме лога.

По поводу времени, началось это примерно тогда же когда и все остальное описанное в моем посте, я за этим не следил если честно, т.к сидел с линукса, боясь что кто-то удаленно шурудит у меня на ПК
23.11.2020, 03:33
SQ

Вложений: 1

Согласно вашему отчету, присутствуют какие-то строки в реестре которые помечены, как представляющие незначительные (опциональные) угрозы.

PUP (Potentially unwanted programs) - Потенциально нежелательные программы.

В AdwCleaner после сканирования должны появятся вкладки, необходимо посмотреть во вкладке Реестр, если в ней указанные строки известные Вам.

Примерно так должно быть:
[ATTACH=CONFIG]683586[/ATTACH]

Если не раберетесь, то просто проигнорируйте пожалуйста и присупайте к следующим инструкциям.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.corovin.info/FRST_Icon.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"SigCheckExt"[/i].
[img]https://i.corovin.info/FRST.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
23.11.2020, 12:40
crazyvlad

Я скачал AdwCleaner по Вашей ссылке, но он новой версии, и сейчас после сканирования можно переместить в карантин только, я знаю оттуда одну программу, AuslogicsBoostSpeed, другие мне не известны, ничего из того списка мне не нужно. [ATTACH=CONFIG]683589[/ATTACH]

При запуске FarBar Виндовс ругнулся что система была защищена (Синее окно с предупреждением)

Логи прикрепил
24.11.2020, 02:22
SQ

[LIST][*] Закройте и сохраните все открытые приложения.[*] Выделите следующий код::
[CODE]
Start::
CreateRestorePoint:
CloseProcesses:
File: C:\Program Files (x86)\ScpServer (v1.2.2.175)\bin\ScpService.exe
File: C:\WINDOWS\System32\drivers\BthA2dp.sys
File: C:\WINDOWS\SysWOW64\Drivers\vdezmja1.sys
U3 idsvc; no ImagePath
File: C:\WINDOWS\system32\EoAExperiences.exe
File: C:\WINDOWS\system32\IHDS.dll
2020-09-26 20:38 - 2020-11-22 20:50 - 000000000 __SHD C:\AdwCleaner
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Users\Все пользователи\Windows
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Users\Все пользователи\Norton
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Users\Все пользователи\McAfee
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Users\Все пользователи\Kaspersky Lab Setup Files
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Users\Все пользователи\Kaspersky Lab
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Users\Все пользователи\grizzly
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Users\Все пользователи\ESET
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Users\Все пользователи\Doctor Web
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Users\Все пользователи\AVAST Software
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Users\Все пользователи\360safe
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\ProgramData\Windows
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\ProgramData\Norton
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\ProgramData\McAfee
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\ProgramData\grizzly
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\ProgramData\ESET
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\ProgramData\Doctor Web
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\ProgramData\AVAST Software
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\ProgramData\360safe
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files\SpyHunter
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files\Malwarebytes
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files\Kaspersky Lab
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files\ESET
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files\Enigma Software Group
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files\COMODO
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files\Common Files\McAfee
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files\Cezurity
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files\ByteFence
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files\AVG
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files\AVAST Software
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files (x86)\SpyHunter
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files (x86)\Panda Security
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files (x86)\Kaspersky Lab
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files (x86)\Cezurity
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files (x86)\AVG
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\Program Files (x86)\360
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 __SHD C:\KVRT_Data
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 ____D C:\WINDOWS\speechstracing
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 ____D C:\Users\Все пользователи\Malwarebytes
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 ____D C:\Users\Все пользователи\Avira
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 ____D C:\ProgramData\Malwarebytes
2020-09-26 20:38 - 2020-09-26 20:38 - 000000000 ____D C:\ProgramData\Avira
2020-09-26 20:37 - 2020-11-22 20:44 - 000000000 __SHD C:\Users\Все пользователи\WindowsTask
2020-09-26 20:37 - 2020-11-22 20:44 - 000000000 __SHD C:\Users\Все пользователи\RealtekHD
2020-09-26 20:37 - 2020-11-22 20:44 - 000000000 __SHD C:\ProgramData\WindowsTask
2020-09-26 20:37 - 2020-11-22 20:44 - 000000000 __SHD C:\ProgramData\RealtekHD
2020-09-26 20:37 - 2020-09-26 20:37 - 000000000 __SHD C:\Users\Все пользователи\Setup
2020-09-26 20:37 - 2020-09-26 20:37 - 000000000 __SHD C:\Users\Все пользователи\RunDLL
2020-09-26 20:37 - 2020-09-26 20:37 - 000000000 __SHD C:\ProgramData\Setup
2020-09-26 20:37 - 2020-09-26 20:37 - 000000000 __SHD C:\ProgramData\RunDLL
FirewallRules: [{034EE3B0-D6FD-47B4-87AE-B4AAEF171909}] => (Allow) E:\Games\Steam\bin\cef\cef.win7x64\steamwebhelper.exe => No File
FirewallRules: [{7BCAEC6E-5515-43B7-96F2-9464F44CEAA7}] => (Allow) E:\Games\Steam\bin\cef\cef.win7x64\steamwebhelper.exe => No File
FirewallRules: [UDP Query User{74A3870A-E676-4B45-814D-6783DE432CD4}E:\games\steam\steam.exe] => (Allow) E:\games\steam\steam.exe => No File
FirewallRules: [TCP Query User{3D30D3D6-7FED-449D-8DF0-CCF3FEC7E3E2}E:\games\steam\steam.exe] => (Allow) E:\games\steam\steam.exe => No File
FirewallRules: [TCP Query User{623FC50C-9DFC-4AF5-9223-8E380E4E0F72}C:\users\qweron\downloads\screentranslator-3.1.0-win64\screentranslator\qtwebengineprocess.exe] => (Allow) C:\users\qweron\downloads\screentranslator-3.1.0-win64\screentranslator\qtwebengineprocess.exe => No File
FirewallRules: [UDP Query User{93A1B149-3E58-4A2F-AD87-93A9DB3AC1D4}C:\users\qweron\downloads\screentranslator-3.1.0-win64\screentranslator\qtwebengineprocess.exe] => (Allow) C:\users\qweron\downloads\screentranslator-3.1.0-win64\screentranslator\qtwebengineprocess.exe => No File
Reboot:
End::
[/CODE][*] Скопируйте выделенный текст ([b]правой кнопкой - Копировать[/b]).[*] Запустите FRST/FRST64 (от имени администратора). [*] Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). . [*] Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
24.11.2020, 02:34
crazyvlad

Выполнил, отчет приложил
24.11.2020, 05:34
SQ

Сообщите, что с проблемой?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Также уточните пожалуйста, если знаком указанный пользователь?
[CODE]qweron (S-1-5-21-299079763-2182876921-2489459871-1000 - Administrator - Enabled) => C:\Users\qweron[/CODE]
24.11.2020, 08:44
crazyvlad

ЦП - при нагрузке, все нормализовались, должные 5-15%. При простое и закрытых всех приложениях -
бывает какое-то время скачет 15-40%, потом близится к минимуму, и так чередуется.

ГПУ, загрузка - 98-99%, кулер на 60% сразу же, при запуске древней игрушки, в главном меню которой не происходит никаких вычислительных процессов от ГПУ, в самой игре так же держится 98-99% ФПС в игре - стабильные 120 кадров, при проверке в другой такой же не требовательной игрушке, так же 99% моментально, после ее открытия в главном меню. Чего по идее быть не должно, т.к видеокарты должно хватать за глаза.

Щелчки в колонках - в данный момент было несколько таких щелчков уже, так же между этими щелчками появляется звук, который Вы сможете услышать в своих колонках / наушниках, если Ваш собеседник начнет трогать чувствительную часть микрофона пальцами, в наушниках проблема тоже сохраняется.

Часы - после перезагрузки, ребутов - время не сбивается.

Трафик - нужно время, что бы последить.

[QUOTE]
Также уточните пожалуйста, если знаком указанный пользователь?
Код:
qweron (S-1-5-21-299079763-2182876921-2489459871-1000 - Administrator - Enabled) => C:\Users\qweron [/QUOTE]
Это мой текущий и единственный пользователь в системе.

UPD: Щелчки и шипение описанные выше, продолжаются в течении дня, с различной периодичностью, и чаще всего при серфинге в Ян.браузере
25.11.2020, 02:55
SQ

Здравствуйте,

Скачайте пожалуйста [URL="https://www.kaspersky.com/downloads/thank-you/free-virus-removal-tool"]KVRT - KasperskyLab[/URL] и проверьте вашу систему на наличие остатков от майнеров.

По окончанию, сообщите что с проблемой?
25.11.2020, 11:08
crazyvlad

[ATTACH=CONFIG]683617[/ATTACH]
Ничего не предпринимал

По проблеме не могу сразу сказать, нужно пару дней что-бы помониторить.
26.11.2020, 01:39
SQ

[QUOTE=crazyvlad;1516153][ATTACH=CONFIG]683617[/ATTACH]
Ничего не предпринимал
[/QUOTE]

1) Удалите пожалуйста, все что не в карантине:
[CODE]С:\ProgramData\Windows\*.bat
С:\ProgramData\Windows\*.vbs[/CODE]

Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].

2) Уточните пожалуйста касаемо "некоторое время назад, после загрузки системы слетали часы", если установлено следующее обновление Windows - [URL="https://support.microsoft.com/ru-ru/help/4586781/windows-10-update-kb4586781"]KB4586781[/URL].

Есть предположение, что после установки этого обновления, компьютер меняет дату на 2040 год, все профили с компьютера стирается согласно правилу домена (в случае, если в домене поднята функция которая удаляет давно не используемые профили пользователей), пользователь заходит в новую сессию, с пустым (новым) профилем. На данный момент я жду подтвержение об этом.
26.11.2020, 13:07
crazyvlad

1. После удаления - "Обнаруженные объекты не были обработаны, Нейтрализовано - 3, На карантине - 3."

2. KB4586781 - этот патч был установлен 13.11.2020, но часы начали сбиваться гораздо раньше, ближе к концу октября, после запуска они отставали всегда ровно на 2 часа (синхронизация и часовой пояс были выставлены). На данный момент - часы в норме.

[QUOTE]Есть предположение, что после установки этого обновления, компьютер меняет дату на 2040 год, все профили с компьютера стирается согласно правилу домена (в случае, если в домене поднята функция которая удаляет давно не используемые профили пользователей), пользователь заходит в новую сессию, с пустым (новым) профилем. На данный момент я жду подтвержение об этом.[/QUOTE]

Ничего из выше перечисленного, не происходило - это точно, максимум дней 7 я мог не заходить в систему, потом зайти как обычно, и опять несколько ней не заходить, никогда не было - пустого профиля / рабочего стола и т.д - 100%.

Отчет выложил на Яндекс диск, т.к сюда не помещается, даже удалив все вложения из Моего кабинета.

[url]https://yadi.sk/d/wwuKvrdHLzs9ag[/url]
27.11.2020, 01:57
SQ

[URL="https://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v4.1.1 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
cexec tools\CreateRestorePoint.exe BeforeCure
;------------------------autoscript---------------------------
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.452\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.452\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.29\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.29\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.41\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.41\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.49\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.49\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.93\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.93\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAMDATA\WINDOWSTASK\WINRING0X64.SYS
;-------------------------------------------------------------
restart[/CODE]
27.11.2020, 10:43
crazyvlad

Прощу прощения, что делюсь информацией порционно, не все сразу вспомнить могу, но был один важный момент, чему я очень удивился, в сеть я выхожу через "медиа конвертер (с оптики на медь) + wifi роутер" и была необходимость сбросить настройки роутера, после чего мне высветилось окно в браузере от провайдера, что вам нужно залогиниться с лог-ом и паролем, что бы получить доступ к сети, а снизу указан МАК-адрес роутера, который после обновления страницы через "F5" сразу же изменился на другой, такой авторизации у меня не было ни разу после подключения к этому провайдеру, соответственно логина и пароля тоже, после звонка в ТП они очень удивились, когда я сказал, что у меня эта авторизация впервые, надиктовали логин и пароль, после этого, ответили, что на линии у вас весит сейчас 2 МАК-адреса, сверив МАК своего роутера и МАК в этом окне, я сказал ТП, что они не совпадают, пробив его через сервис Macvendors.com, об этом МАКе не было никакой информации, на что ТП "не смогли дать ответ, почему МАКа было два и откуда взялся тот, который не бьется". Мучал я ТП несколько дней но так ответ и не получил, даю эту информации потому, что примерно как месяц - полтора, происходит вся описанная ерунда в этой теме, и каждый раз появляются новые приколы (майнер, щелчки, шипение - на данный момент), исчезают старые (закрытие браузера, открытие видео, само по себе) из прошлой темы ([url]https://virusinfo.info/showthread.php?t=225326[/url]) надеюсь, что инфа может помочь чем-то.

Указания выполнил, карантина нет, только один лог uVS нашел.
28.11.2020, 02:13
SQ

[QUOTE=crazyvlad;1516201] "медиа конвертер (с оптики на медь) + wifi роутер" [/QUOTE]

Уточните пожалуйста, что за wifi-роутер, случайно не mikrotik?
28.11.2020, 02:28
crazyvlad

Конвертер EPON ONU, роутер ZyXel Keenetic Lite II
28.11.2020, 06:35
SQ

[QUOTE=crazyvlad;1516214]роутер ZyXel Keenetic Lite II[/QUOTE]
Убедитесь, чтобы имя пользователя и пароль не был по умолчанию. Проверьте настройки роутера согласно настройкам вашего провайдера, особенно обратите внимание на днс-сервера (как возможный вариант можете использовать днс-сервера Google: 8.8.8.8 8.8.4.4), и другие настройки например пароль к wifi и текущие активные подключения wifi.
28.11.2020, 10:21
crazyvlad

логин и пароль были поменены сразу после покупки, позвонил в ТП, чтобы проверили их ДНСы или нет, на что сказали, что не могут, т.к выдаются автоматически, МАК сейчас видят только один, и он совпадает, настроек от провайдера как таковых нет вообще, все автоматом ставится, как я понимаю кроме майнера ничего вирусного мы не обнаружили больше?
28.11.2020, 22:39
SQ

[QUOTE=crazyvlad;1516216] как я понимаю кроме майнера ничего вирусного мы не обнаружили больше?[/QUOTE]

да, кроме майнера и его мусора ничего найдено не было.

Сообщите, что с проблемой?
29.11.2020, 00:22
crazyvlad

Загрузка цп в норме, ГПУ в других приложениях последил тоже, грузится не полностью, щелканья и шипение сегодня не наблюдалось вообще
29.11.2020, 01:52
SQ

Удалите старые вложения Мой кабинет => Вложения

Завершающие шаги:
1.

Пожалуйста, запустите adwcleaner.exe
В меню Параметры прокрутите вниз и выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

Загрузите [URL="https://www.comss.ru/page.php?id=1813"]SecurityCheck by glax24 & Severnyj[/URL], сохраните утилиту на Рабочем столе и извлеките из архива.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [COLOR="#0000FF"]C:\SecurityCheck\SecurityCheck.txt[/COLOR]
Прикрепите этот файл к своему следующему сообщению.
29.11.2020, 11:46
crazyvlad

[QUOTE]Удалите старые вложения Мой кабинет => Вложения[/QUOTE]

Остались скрины, которые в ЛК не отображаются почему-то

Прикрепил

P.S Можно узнать как долго майнер фармил битки?
29.11.2020, 19:34
SQ

[QUOTE=crazyvlad;1516229]Остались скрины, которые в ЛК не отображаются почему-то
[/QUOTE]
Если не найдете их во вложениях, и вам важно их удалить то Вам стоит обратиться за помощью администрации форума.

Ознакомьтесь пожалуйста с рекомендациями.

------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.80 (64-разрядная) v.5.80.0 [color=red][b]Внимание! [url=https://www.rarlab.com/download.htm]Скачать обновления[/url][/b][/color]
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45574 [color=red][b]Внимание! Клиент сети P2P с рекламным модулем![/b][/color].
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 32 PPAPI v.32.0.0.433 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player_ppapi.exe]Скачать обновления[/url][/b][/color]
---------------------------- [ UnwantedApps ] -----------------------------
AusLogics Disk Defrag Professional [color=red][b]Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, [url=https://support.microsoft.com/ru-ru/help/2563254/microsoft-support-policy-for-the-use-of-registry-cleaning-utilities]программу-оптимизатор или программу очистки реестра[/url].[/b][/color] Рекомендуется деинсталляция и сканирование ПК с помощью [url=https://www.malwarebytes.org/mwb-download/]Malwarebytes Anti-Malware[/url]. Возможно Вы стали жертвой обмана или социальной инженерии.
----------------------------- [ End of Log ] ------------------------------
01.12.2020, 10:43
crazyvlad

Большое спасибо форуму, и Вам, за потраченное время и помощь.
02.12.2020, 04:09
SQ

Рады были вам помочь. Удачи Вам.
02.12.2020, 04:19
CyberHelper

=C8=F2=EE=E3 =EB=E5=F7=E5=ED=E8=FF

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]5[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
[LIST=3D1][*] c:\programdata\realtekhd\taskhost.exe - [B]Trojan.Win32.Autoit.=
acbae[/B][*] c:\programdata\windowstask\appmodule.exe - [B]HEUR:Trojan.Win32=
=2EMiner.gen[/B] ( AVAST4: Win64:CoinminerX-gen [Trj] )[*] c:\programdata\windowstask\microsofthost.exe - [B]HEUR:Trojan.W=
in32.Miner.gen[/B] ( AVAST4: Win64:CoinminerX-gen [Trj] )[*] c:\programdata\windowstask\xmrig-cuda.dll - [B]not-a-virus:HEUR=
:RiskTool.Win32.BitMiner.gen[/B] ( AVAST4: Win64:CoinminerX-gen [Trj] =
)[/LIST][/LIST]