HEUR:Trojan.Win64.Miner.gen

[VovanTsarevich]

Добрый день!

Постоянно высокая нагрузка на CP (~100%), падает при открытом диспетчере задачи.
Kaspersky Internet Security находит HEUR:Trojan.Win64.Miner.gen в файлах C:\ProgramData\CSGOCalc\CSGOCalc.exe и C:\Program Files (x86)\Transmission\transmission-qt.exe
KIS предлагает лечить с перезагрузкой, после чего история повторяется.
Попытка решить проблему при помощи malwarebytes дала тот же результат.

[Info_bot]

Уважаемый(ая) VovanTsarevich, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки:

O17 - DHCP DNS 1: 178.175.133.58
O17 - DHCP DNS 2: 37.1.207.126
O17 - HKLM\System\CCS\Services\Tcpip\..\{7dbdcfb8-0edd-4585-9175-5575bc7302ac}: [NameServer] = 178.175.133.58
O17 - HKLM\System\CCS\Services\Tcpip\..\{7dbdcfb8-0edd-4585-9175-5575bc7302ac}: [NameServer] = 37.1.207.126
O22 - Task: OneDrive Standalone Update Task-S-1-5-21-1152748529-924715390-3095423772-500 - C:\Users\volod\AppData\Local\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe (file missing)
O22 - Task: OneDrive Standalone Update Task-S-1-5-21-2597562258-3905396908-641607908-1002 - C:\Users\volod\AppData\Local\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe (file missing)
O22 - Task: OneDrive Standalone Update Task-S-1-5-21-2597562258-3905396908-641607908-500 - C:\Users\volod\AppData\Local\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe (file missing)

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\program files (x86)\transmission\transmission-qt.exe');
 StopService('Transmission');
 DeleteFile('C:\Program Files (x86)\Transmission\libcrypto-1_1.dll', '');
 DeleteFile('C:\Program Files (x86)\Transmission\libcurl.dll', '');
 DeleteFile('C:\Program Files (x86)\Transmission\libssl-1_1.dll', '');
 DeleteFile('C:\Program Files (x86)\Transmission\platforms\qwindows.dll', '');
 DeleteFile('C:\Program Files (x86)\Transmission\Qt5Core.dll', '');
 DeleteFile('C:\Program Files (x86)\Transmission\Qt5DBus.dll', '');
 DeleteFile('C:\Program Files (x86)\Transmission\Qt5Gui.dll', '');
 DeleteFile('C:\Program Files (x86)\Transmission\Qt5Network.dll', '');
 DeleteFile('C:\Program Files (x86)\Transmission\Qt5Widgets.dll', '');
 DeleteFile('C:\Program Files (x86)\Transmission\Qt5WinExtras.dll', '');
 DeleteFile('c:\program files (x86)\transmission\transmission-qt.exe', '');
 DeleteFile('C:\Program Files (x86)\Transmission\transmission-qt.exe', '64');
 DeleteFile('C:\Program Files (x86)\Transmission\zlib.dll', '');
 DeleteService('Transmission');
 DeleteFileMask('c:\program files (x86)\common files\java\java update', '*', true);
 DeleteFileMask('c:\program files (x86)\transmission', '*', true);
 DeleteDirectory('c:\program files (x86)\transmission');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
ExecuteSysClean;
 ExecuteRepair(21);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(false);
end.

Компьютер перезагрузится.

Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

[VovanTsarevich]

Спасибо, инструкции выполнил.
Полный образ автозапуска во вложении.

[Vvvyg]

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.11.6 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
deltmp
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 21.3\FFEXT\LIGHT_PLUGIN_FIREFOX\ADDON.XPI
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\90.0.818.66\MSEDGE.DLL
delref %SystemDrive%\PROGRAM FILES\COREL\PASMUTILITY\V1\PASMUTILITY.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.72\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.57\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.63\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.71\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.72\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.57\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\COREL\PASMUTILITY\V1\PSICLIENTBRIDGEPROXY.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.63\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.71\PSMACHINE.DLL
delref %SystemDrive%\USERS\VOLOD\APPDATA\LOCAL\MICROSOFT\ONEDRIVE\ONEDRIVE.EXE
apply
restart

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

Сообщите, что с проблемой.

[VovanTsarevich]

Добрый день,

насколько вижу - проблема больше не проявляется.

Спасибо!