Printable View
качал пиратку, и видимо словил какойто майнер, в простое нагружается пк, и греется, перед установкой подозрительного файла такого не было(
не умею пользоваться софтом для очистки пк, а антивирус отключен, что бы играть в новые пиратки)
в 2016 году вы очень сильно мне помогли с трояном, по сей день держу вас в закладках, очень хорошие вы ребята:)
прошу вашей помощи:P
Уважаемый(ая) [B]VOODOOS7[/B], спасибо за обращение на наш форум!
Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[QUOTE=Info_bot;1531202]Уважаемый(ая) [B]VOODOOS7[/B], спасибо за обращение на наш форум!
Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].[/QUOTE]
вот скрины нагрузки
[NOTICE]Не нужно полностью цитировать сообщения, просто пишите в окне "Быстрый ответ"[/NOTICE]
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('C:\Program Files\Google\Chrome\updater.exe');
DeleteFile('C:\Program Files\Google\Chrome\updater.exe', '64');
DeleteSchedulerTask('GoogleUpdateTaskMachineQC');
ExecuteRepair(13);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].
[QUOTE=Vvvyg;1531205][NOTICE]Не нужно полностью цитировать сообщения, просто пишите в окне "Быстрый ответ"[/NOTICE]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/URL]:[code]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('C:\Program Files\Google\Chrome\updater.exe);
DeleteFile('C:\Program Files\Google\Chrome\updater.exe', '64');
DeleteSchedulerTask('GoogleUpdateTaskMachineQC');
ExecuteRepair(13);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [URL="https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810"]сделайте полный образ автозапуска uVS[/URL].[/QUOTE]
извините, но видимо что-то я неправильно делаю, не выходит выполнить скрипт, прикрепил скрин
Поправил, выполняйте.
И ещё раз:[ATTENTION]Не нужно полностью цитировать сообщения, просто пишите в окне "Быстрый ответ"[/ATTENTION]
[URL="https://virusinfo.info/showthread.php?t=7239"]Выполнил скрипт в AVZ[/URL] и компьютер перезагрузился
скачал [COLOR=#555555] Universal Virus Sniffer делаю по инструкции и выдает такую ошибку
[/COLOR]скрин прикрепил
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
хочу загрузить скрин по лучше не получается ибо уже нехватает места на форуме
пишет "Текст скрипта содержит ошибки, либо не содержит команд UVS, выполнение таких скриптов запрещено!"
[QUOTE=VOODOOS7;1531213]пишет "Текст скрипта содержит ошибки, либо не содержит команд UVS, выполнение таких скриптов запрещено!"[/QUOTE]
Так для UVS пока скриптов не давал, сперва сделайте полный образ автозапуска. Выложите в облако и дайте ссылку, раз места нет.
Да это мой косяк, не заметил сверху описание, вот ссылка на образ, загрузил на файлообменник старых игр
[url]https://spaces.im/files/view/97276011/?Li=-1088004&Lii=97276011&Lt=48&Sn=1&name=Keni1[/url]
Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.15.7v [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
sreg
addsgn 1A6E769A552B1E3B8236EFE32D4360156C0186D675489FF2838B3A7AD8D139B3E4ACC1573E559D9B5E870E890EE98FEAAFAC0C7287AFB7A63B3F5BE9D7D4512D 8 Trojan.BtcMine.3787 [DrWeb] 7
chklst
delvir
delref HTTP://WWW.MYSTARTSEARCH.COM/?TYPE=HP&TS=1438205365&Z=A07BD120D8B5E52B1625431GAZACAB1OFEFW8CEGEZ&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.MYSTARTSEARCH.COM/?TYPE=HPPP&TS=1438205373&Z=4C5EB11ED73852585138513G9Z1CDBEO7EBW5CFOAO&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.MYSTARTSEARCH.COM/?TYPE=HP&TS=1438446341&Z=7E9DDDE16431D1D66EBD928GDZ7C8B9Z2Z9Q7O0M7W&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.MYSTARTSEARCH.COM/?TYPE=HP&TS=1438686777&Z=05692102010B5B7B30B8327GAZDCBBDQ3B1Q2M8G7M&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.MYSTARTSEARCH.COM/?TYPE=HP&TS=1438706519&Z=98015D58036CB7B104E3C84G0ZBCEB6M3E6QDZ6W7B&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.MYSTARTSEARCH.COM/?TYPE=HP&TS=1439585822&Z=D04DF921E424A00A500304CG7Z0C7T7WCB0W3M1C0T&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.ISTARTPAGEING.COM/?TYPE=HP&TS=1449259731&Z=CDC623979F7512F0CB34173G5Z6ZCTEO0WFT1MEODT&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.ISTARTPAGEING.COM/?TYPE=HP&TS=1449260183&Z=4930EE9AAE3C1C5E4044167G7Z5ZCT1OBQ7E3G7B7G&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.ISTARTSURF.COM/?TYPE=HP&TS=1449261109&Z=665639E6E632200D1889C07G9Z2Z0TBOAQ9E0M0Q7Q&FROM=IMA&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.ISTARTPAGEING.COM/?TYPE=HP&TS=1449298917&Z=B5183CA5BC6DE1C7660325BG3Z2Z0TCO5T0B2T4G3W&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.ISTARTPAGEING.COM/?TYPE=HP&TS=1449754862&Z=EDC3FC6BE09FB0A187A23EBG2Z9Z4TCM0W5Z5B2Q3C&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.ISTARTPAGEING.COM/?TYPE=HP&TS=1449927609&Z=67BB322E6E562F5B1987B80G4Z0Z2T4TBO0MCQ6E0T&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://WWW.ISTARTPAGEING.COM/?TYPE=HP&TS=1458598465&Z=97AEDB5C78063285959846DG2Z8WCBEWET6B7Z9QEB&FROM=CMI&UID=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046
delref HTTP://MAIL.RU/CNT/10445
regt 14
delref %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS DEFENDER\DEFINITION UPDATES\{12A9A530-1B2B-4605-AB7A-23C2F5B9F20D}\MPKSLDRV.SYS
delref HTTP://MAIL.RU/CNT/10445?GP=811009
delref HTTP://MAIL.RU/CNT/10445?GP=818410
delref HTTP://MAIL.RU/CNT/10445?GP=821272
delref HTTP://MAIL.RU/CNT/10445?GP=ANVIR1
delref HTTP://MAIL.RU/CNT/10445?GP=ANVIR3
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\92.0.902.67\INSTALLER\SETUP.EXE
delref %SystemDrive%\PROGRAM FILES\REASONLABS\COMMON\RSSYNCSVC.EXE
delref %SystemDrive%\USERS\KENI1
delref %SystemDrive%\PROGRAM FILES
delref %Sys32%\CONFIG\SYSTEMPROFILE
areg
apply
restart[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B].
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Ооо благодарю вас великий Техномаг!нагрузка уже ощутимо спала! мое почтение!8)
Прикрепляю отчеты
[url]https://spaces.im/files/view/97277027/?Li=-1088004&Lii=97277027&Link_id=1553681&Lt=48&Sn=2&name=Keni1[/url]
[url]https://spaces.im/files/view/97277028/?Li=-1088004&Lii=97277028&Link_id=1553681&Lt=48&Sn=1&name=Keni1[/url]
Забыли ещё это:[QUOTE]В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.[/QUOTE]
Кстати, [url=http://virusinfo.info/showthread.php?t=130567]удалите вложения[/url], относящиеся к самым старым темам.
Удалите прогрпмму WebAdvisor от McAfee и соответствующее расширение в браузере.
Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
CloseProcesses:
CHR HomePage: Default -> hxxp://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B220d2-X1GHc82FI94nX7NDNwj6JS8Fu4t1JyNqt59NCRU0Pu_1G3a_iedzWEJTqATno8FJxSS994VyElPCWW6T4dTz5wojBP3A_hMRsXz1CCfMp53ADwAOVV5zKj0bh4H0fYI6BH65THlAboTgsAXmUy4D9Q
CHR StartupUrls: Default -> "hxxp://google.com.ua/","hxxp://mail.ru/cnt/10445","hxxp://www.mystartsearch.com/?type=hp&ts=1438205365&z=a07bd120d8b5e52b1625431gazacab1ofefw8cegez&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://www.mystartsearch.com/?type=hppp&ts=1438205373&z=4c5eb11ed73852585138513g9z1cdbeo7ebw5cfoao&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://www.mystartsearch.com/?type=hp&ts=1438446341&z=7e9ddde16431d1d66ebd928gdz7c8b9z2z9q7o0m7w&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://www.mystartsearch.com/?type=hp&ts=1438686777&z=05692102010b5b7b30b8327gazdcbbdq3b1q2m8g7m&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://www.mystartsearch.com/?type=hp&ts=1438706519&z=98015d58036cb7b104e3c84g0zbceb6m3e6qdz6w7b&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://mail.ru/cnt/10445?gp=anvir1","hxxp://www.mystartsearch.com/?type=hp&ts=1439585822&z=d04df921e424a00a500304cg7z0c7t7wcb0w3m1c0t&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://mail.ru/cnt/10445?gp=anvir3","hxxp://www.istartpageing.com/?type=hp&ts=1449259731&z=cdc623979f7512f0cb34173g5z6zcteo0wft1meodt&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://www.istartpageing.com/?type=hp&ts=1449260183&z=4930ee9aae3c1c5e4044167g7z5zct1obq7e3g7b7g&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://www.istartsurf.com/?type=hp&ts=1449261109&z=665639e6e632200d1889c07g9z2z0tboaq9e0m0q7q&from=ima&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://www.istartpageing.com/?type=hp&ts=1449298917&z=b5183ca5bc6de1c7660325bg3z2z0tco5t0b2t4g3w&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://www.istartpageing.com/?type=hp&ts=1449754862&z=edc3fc6be09fb0a187a23ebg2z9z4tcm0w5z5b2q3c&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://www.istartpageing.com/?type=hp&ts=1449927609&z=67bb322e6e562f5b1987b80g4z0z2t4tbo0mcq6e0t&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://www.istartpageing.com/?type=hp&ts=1458598465&z=97aedb5c78063285959846dg2z8wcbewet6b7z9qeb&from=cmi&uid=WDCXWD15EARX-00PASB0_WD-WCAZAL29504695046","hxxp://www.surfvox.com/","hxxp://mail.ru/cnt/10445?gp=821272","hxxp://mail.ru/cnt/10445?gp=818410","hxxp://mail.ru/cnt/10445?gp=811009"
CHR HKLM\...\Chrome\Extension: [fheoggkfdfchfphceeifdbepaooicaho]
CHR HKU\S-1-5-21-1012221647-4182011901-536072292-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [llbcnfanfmjhpedaedhbcnpgeepdnnok]
CHR HKLM-x32\...\Chrome\Extension: [dhkpghipgnngohhckpiadpmjoobjljim]
CHR HKLM-x32\...\Chrome\Extension: [fheoggkfdfchfphceeifdbepaooicaho]
CHR HKLM-x32\...\Chrome\Extension: [llbcnfanfmjhpedaedhbcnpgeepdnnok]
2024-07-23 22:28 - 2024-07-23 22:28 - 003406436 _____ C:\Windows\Minidump\072324-5187-01.dmp
2024-07-23 20:57 - 2024-07-23 20:57 - 002295484 _____ C:\Windows\Minidump\072324-4984-01.dmp
2024-07-23 20:14 - 2024-07-23 20:14 - 002448492 _____ C:\Windows\Minidump\072324-5828-01.dmp
2024-07-23 18:34 - 2024-07-23 18:35 - 002447484 _____ C:\Windows\Minidump\072324-4828-01.dmp
2024-07-23 12:32 - 2024-07-24 18:01 - 4182626073 _____ C:\Windows\MEMORY.DMP
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
StartBatch:
ipconfig /flushdns
sfc /scannow
endbatch:
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен.
Спасибо, все сделал
прикрепляю отчеты
Порядок.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.
извините за тупость)но вышел такой конфуз что я сегодня установил одну очень долгожданную пиратку для себя, и как то подозрительно в редких случаях скачет температурна в простое)не то что бы критично)но как то странно)можно ли вам еще раз скинуть сканы моего пк???:>
Начните опять с Autologger.
Извиняюсь за задержку
Удалите WebAdvisor от McAfee.
Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O6 - IE Policy: HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions - present
O6 - IE Policy: HKU\S-1-5-19\S-1-5-19\Software\Policies\Microsoft\Internet Explorer\Restrictions - present
O6 - IE Policy: HKU\S-1-5-20\S-1-5-20\Software\Policies\Microsoft\Internet Explorer\Restrictions - present[/code]
Плохого по логам не видно, ложная тревога.
в проге HijackThis нажал пофиксить три варинта "06"
а WebAdvisor в браузере удалил, где мне ее найти?
В установленных программах, через панель управления. Если не выйдет - удалитепринудительно, с помощью [URL="https://geekuninstaller.com/ru/download"]Geek Uninstaller Free[/URL].
благодарю за помощь!все отлично!