Компьютер тормозит [Trojan.Win64.BitMiner.acf, not-a-virus:HEUR:AdWare.Win32.Wajam.gen ]

[Владислав Ефимов]

Всем привет. Качал программу, она оказалась с вирусами, наустанавливалось много всего, появились лишние процессы, появляется реклама. Частично я все удалил, но чувствую что не до конца. Помогите мне пожалуйста.

[Info_bot]

Уважаемый(ая) Владислав Ефимов, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Владислав Ефимов]

Проблема актуальна

[Vvvyg]

Выполните скрипт в AVZ:

begin
 QuarantineFile(' C:\Users\stepa\AppData\Roaming\tmp546.dat', '');
 QuarantineFile('C:\PROGRA~2\ONESYS~1\SYSTEM~1.EXE', '');
 QuarantineFile('C:\Program Files\4N66LRWLVL\4N66LRWLV.exe', '');
 QuarantineFile('C:\Program Files\77Z610A8PB\77Z610A8P.exe', '');
 QuarantineFile('C:\Program Files\7HLDV93YEL\7HLDV93YE.exe', '');
 QuarantineFile('C:\Users\stepa\AppData\Roaming\anvtm15lhth\trecqqlh14x.exe', '');
 QuarantineFile('C:\Users\stepa\AppData\Roaming\huiu5drajgg\5rftgxrrrid.exe', '');
 QuarantineFile('C:\Users\stepa\AppData\Roaming\qorjks0mz1z\wimwzkrk25w.exe', '');
 QuarantineFile('C:\Users\stepa\AppData\Roaming\w1mgkpl2dbw\w5v5ggz40j2.exe', '');
 QuarantineFile('C:\WINDOWS\264652688f3a61c4275416ec6b3f300d.exe', '');
 QuarantineFile('C:\WINDOWS\system32\drivers\3ca61690e442944773fcb6fba4d9101c.sys', '');
 QuarantineFile('D:\Programs\ReiBoot\AdService.exe', '');
 DeleteFile(' C:\Users\stepa\AppData\Roaming\tmp546.dat');
 DeleteFile('C:\PROGRA~2\ONESYS~1\SYSTEM~1.EXE', '32');
 DeleteFile('C:\Program Files\4N66LRWLVL\4N66LRWLV.exe', '32');
 DeleteFile('C:\Program Files\77Z610A8PB\77Z610A8P.exe', '32');
 DeleteFile('C:\Program Files\7HLDV93YEL\7HLDV93YE.exe', '32');
 DeleteFile('C:\Users\stepa\AppData\Roaming\anvtm15lhth\trecqqlh14x.exe', '32');
 DeleteFile('C:\Users\stepa\AppData\Roaming\huiu5drajgg\5rftgxrrrid.exe', '32');
 DeleteFile('C:\Users\stepa\AppData\Roaming\qorjks0mz1z\wimwzkrk25w.exe', '32');
 DeleteFile('C:\Users\stepa\AppData\Roaming\w1mgkpl2dbw\w5v5ggz40j2.exe', '32');
 DeleteFile('D:\Programs\ReiBoot\AdService.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "{78790547-0B0E-0A04-7E11-0E0D0C041108}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "OneSystemCare Task" /F', 0, 15000, true);
 DeleteService('ReiBootAdService');
 DeleteFileMask('c:\progra~2\onesys~1', '*', true);
 DeleteFileMask('c:\program files\4n66lrwlvl', '*', true);
 DeleteFileMask('c:\program files\77z610a8pb', '*', true);
 DeleteFileMask('c:\program files\7hldv93yel', '*', true);
 DeleteFileMask('c:\users\stepa\appdata\roaming\anvtm15lhth', '*', true);
 DeleteFileMask('c:\users\stepa\appdata\roaming\huiu5drajgg', '*', true);
 DeleteFileMask('c:\users\stepa\appdata\roaming\qorjks0mz1z', '*', true);
 DeleteFileMask('c:\users\stepa\appdata\roaming\w1mgkpl2dbw', '*', true);
 DeleteFileMask('d:\programs\reiboot', '*', true);
 DeleteDirectory('c:\progra~2\onesys~1');
 DeleteDirectory('c:\program files\4n66lrwlvl');
 DeleteDirectory('c:\program files\77z610a8pb');
 DeleteDirectory('c:\program files\7hldv93yel');
 DeleteDirectory('c:\users\stepa\appdata\roaming\anvtm15lhth');
 DeleteDirectory('c:\users\stepa\appdata\roaming\huiu5drajgg');
 DeleteDirectory('c:\users\stepa\appdata\roaming\qorjks0mz1z');
 DeleteDirectory('c:\users\stepa\appdata\roaming\w1mgkpl2dbw');
 DeleteDirectory('d:\programs\reiboot');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '3218994');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '6405813');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '672I95UFZFNF4SV');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '9490535');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '951162');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'RBB7RLY08SCWBWY');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'RMRUG6EZJ15OHU8');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше все в одном архиве).

[Владислав Ефимов]

Vvvyg, все сделал

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
HKLM\...\Run: [SERVICE] => [X]
ShellExecuteHooks: No Name - {5F51FFFE-7463-4220-B711-E5B9ACB8EDFE} - C:\Users\stepa\AppData\Roaming\tmp546.dat -> No File
Startup: C:\Users\stepa\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Sidebar978.lnk [2017-10-23]
CHR HomePage: Default -> inline.go.mail.ru
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=821115"
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B4B8DAC37-DC6B-4725-AEF1-3072915E1FD4%7D&gp=821116
CHR DefaultSearchKeyword: Default -> go.mail.ru
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/ff3?q={searchTerms}
CHR HKLM-x32\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [enafhpjmlnpmbdnbpjkihmadnkfnpiim] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
S3 mracsvc; C:\WINDOWS\System32\mracsvc.exe [6010584 2017-10-31] (LLC Mail.Ru)
S3 mracdrv; C:\WINDOWS\System32\drivers\mracdrv.sys [5238296 2017-10-31] (LLC Mail.Ru)
2017-10-30 18:25 - 2017-10-30 18:25 - 002263814 _____ C:\Users\stepa\Desktop\0f1b78f01f490cb0abd85d5589f3ec63.psd
2017-10-30 18:23 - 2017-10-30 18:23 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign367ee817f0486783
2017-10-30 18:17 - 2017-10-30 18:17 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsignd823918afe642133
2017-10-30 18:17 - 2017-10-30 18:17 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign92c10898288b01d1
2017-10-30 18:17 - 2017-10-30 18:17 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign8b4f872b82573893
2017-10-30 18:17 - 2017-10-30 18:17 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign4912fdfd8826dff2
2017-10-30 17:29 - 2017-10-31 14:41 - 006010584 _____ (LLC Mail.Ru) C:\WINDOWS\system32\mracsvc.exe
2017-10-30 17:29 - 2017-10-31 14:41 - 005238296 _____ (LLC Mail.Ru) C:\WINDOWS\system32\Drivers\mracdrv.sys
2017-10-26 12:42 - 2017-10-26 12:42 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign2a068ede9a7764b2
2017-10-26 10:40 - 2017-10-26 10:40 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsignb44812ea4d23e8f6
2017-10-26 10:39 - 2017-10-26 10:39 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign68c4f16dd2722f7b
2017-10-26 10:39 - 2017-10-26 10:39 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign083d82b5c59b80a7
2017-10-26 10:15 - 2017-10-26 10:15 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsignf95b1b19354a95e4
2017-10-26 10:15 - 2017-10-26 10:15 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsignc37fd8bb69d62947
2017-10-26 10:15 - 2017-10-26 10:15 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsignb026da25820e81ab
2017-10-26 10:15 - 2017-10-26 10:15 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign1188000b02aff1dc
2017-10-18 12:27 - 2017-10-18 12:27 - 000278528 _____ C:\WINDOWS\264652688f3a61c4275416ec6b3f300d.exe
2017-10-18 12:27 - 2017-10-18 12:27 - 000115336 _____ (9YJ6OY) C:\WINDOWS\system32\Drivers\3ca61690e442944773fcb6fba4d9101c.sys
2017-10-02 20:20 - 2017-10-02 20:20 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign21d0bb7d3161bf2c
2017-10-02 20:20 - 2017-10-02 20:20 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign15445c0e17c91783
2017-10-02 20:20 - 2017-10-02 20:20 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign06600607552349f1
2017-10-16 15:50 - 2017-05-13 07:45 - 000000000 __SHD C:\$360Section
2017-10-18 22:52 - 2017-05-04 01:29 - 000000000 ____D C:\Program Files (x86)\360
Task: {250ADAE7-AA67-47DF-9E11-06503DE04600} - System32\Tasks\LaCieS => C:\Disk\WebService.exe
Task: {54610F01-EAA6-4477-BA21-8C0A70C4EE00} - System32\Tasks\ShadowsocksS => C:\Applications\Service.exe
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "3218994"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "6405813"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "951162"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "9490535"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "672I95UFZFNF4SV"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "RMRUG6EZJ15OHU8"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "RBB7RLY08SCWBWY"
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, в FRST нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемой.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\stepa\appdata\roaming\tmp546.dat - Trojan.Win64.BitMiner.acf
  2. c:\windows\system32\drivers\3ca61690e442944773fcb6 fba4d9101c.sys - not-a-virus:HEUR:AdWare.Win32.Wajam.gen