Подозрение о наличии вирусов

[Andymozg]

Здравствуйте! Помогите, пожалуйста! К сожалению, в компьютерах разбираюсь не очень. Какое-то время мой ноутбук был без антивируса, и, наверное, нахватался где-то вирусов. Он очень сильно грелся при работе даже с лёгкими приложениями. В середине этого лета я поставил Avast, но , по-видимому, из-за длительного воздействия вирусы заполонили систему и не дали нормально поставиться Avastу, а потом вообще убили его( Недавно я, наконец, понял, что что-то не так. Пытался ставить антивирусы Avast, Avira, NOD32, но ни один из них не встал нормально. Тогда я скачал DrWebCureIt и просканировал систему, он нашёл 23 вируса, я нажал обезвредить, но это не помогло( Антивирусы по-прежнему не ставились. Каким-то чудом неизвестно с какой попытки смог запуститься NOD32 и просканировать систему, нашёл ещё 5 вирусов. Но мне кажется, вирусы всё ещё живут в моём ноутбуке, дело в том, что при запуске ноутбука NOD32 начинает загружаться, а потом вылетает и больше не запускается, приходится перезагружать ноут. При повторных сканированиях находит одни и те же вирусы - lsmosee.exe (модифицированный Win32/CoinMiner.ALB троянская программа), conhost.exe (модифицированный Win32/TrojanDownloader.Agent.DVC троянская программа) и ещё какие-то CoinMinerы(IA, JX).

[Info_bot]

Уважаемый(ая) Andymozg, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[Andymozg]

При скачивании программы Chrome писал, что он может быть вредоносным, и несколько раз спрашивал разрешения и подтверждения.

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{5076a178-3434-4a53-a6ac-8423f86040b7} <==== ATTENTION (Restriction - IP)
CHR StartupUrls: Default -> "hxxp://www.yoursearching.com/?type=hp&ts=1454858102&z=1d928ececcb248e4ce3a35agfzdw6zdb5w8b7g9eac&from=face&uid=ST1000LM014-1EJ164_W380ALF5XXXXW380ALF5"
C:\Users\Andymozg\AppData\Local\Google\Chrome\User Data\Default\Extensions\cfhdojbkjhnklbpkdaibdccddilifddb
CHR HKLM\...\Chrome\Extension: [caljgklbbfbcjjanaijlacgncafpegll] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ipmkfpcnmccejididiaagpgchgjfajgp] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [caljgklbbfbcjjanaijlacgncafpegll] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ipmkfpcnmccejididiaagpgchgjfajgp] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
R2 Thorn; C:\Users\Andymozg\AppData\Local\THORN\Thorn.exe [62328 2016-11-18] (GGS) <==== ATTENTION
2018-03-24 14:41 - 2018-09-16 10:18 - 000000168 _____ () C:\Program Files\Common Files\xp.dat
2018-06-28 23:23 - 2018-09-16 10:16 - 000000084 _____ () C:\Program Files\Common Files\xpdown.dat
2018-09-13 01:22 - 2018-09-13 10:42 - 000187712 _____ () C:\Users\Andymozg\AppData\Local\Temp\downloader.exe
2018-09-16 10:18 - 2018-04-06 08:14 - 000000406 _____ C:\Windows\config.txt
2018-09-16 10:18 - 2018-04-06 08:14 - 000000337 _____ C:\Windows\ppl.txt
Folder: C:\Windows\Help
Folder: C:\Windows\debug
Task: {0B608793-2323-4C8E-A8E3-92D12CFB6FA8} - \Mysa3 -> No File <==== ATTENTION
Task: {43104210-3DEE-4CEF-B1D6-36E21519462A} - \Mysa -> No File <==== ATTENTION
Task: {4650A434-31F1-49D2-80DF-3D684D155C7E} - \Mysa1 -> No File <==== ATTENTION
Task: {AD35439D-B274-4B5C-AC74-10DB4968C1E3} - \Mysa2 -> No File <==== ATTENTION
Task: {C37DCFBA-7995-445B-B3F6-FEDD50006D97} - \ok -> No File <==== ATTENTION
Task: {FD6B7781-455C-4E3E-B3C7-25954BBF9FC9} - System32\Tasks\Uninstaller_SkipUac_Andymozg => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
Task: {FEC810F6-93D5-4EEC-96B1-014508A8FB2D} - \{698DC06F-BC20-417D-9047-E1F020FEC5C0} -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[Andymozg]

Система жёстко тупила, проводник долго открывался, Chrome не открывался вообще, но вроде сделал. NOD32 блокирует подключение к каким-то непонятным сайтам, Avast, по-моему, пытался блокировать подключение к ним же, ну пока его не убили...Заблокированные сайты.PNG

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
C:\Windows\debug\lsmose.exe
C:\Windows\debug\PASSWD.LOG
C:\Windows\debug\xmrstak_cuda_backend.dll
C:\Windows\debug\xmrstak_opencl_backend.dll
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Сделайте лог МВАМ

[Andymozg]

Пишет, что нашёл 143 угрозы. Почему NOD их не видит?( Чёрт, я не выполнил первую часть сообщения, сейчас переделаю. Или что теперь делать?

[thyrex]

Да, выполняйте и скрипт для Farbar.

Поместите в карантин МВАМ все найденное.

[Andymozg]

Снёс Malwarebytes, снёс установщик, выполнил скрипт в Farbar, скачал заново установщик Malwarebytes, установил, проверил, всё отправил в карантин, прикрепил отчёт о проверке, система запускает NOD32 через раз, когда не удаётся запустить, дико глючит всё, приходится перезагружаться. И такое ощущение, может мне кажется, конечно, что в тех случаях, когда не запускается NOD быстро появляется и исчезает окно командной строки.
Просканировал только что NODом после перезагрузки, опять вылезла эта неубиваемая тварь C:\Windows\Help\lsmosee.exe - модифицированный Win32/CoinMiner.ALB троянская программа - очищен удалением [1]

- - - - -Добавлено - - - - -

На текущий момент ситуация такая. При загрузке Windows NOD32 вылетает и больше не запускается, при этом всё дико тупит, быстро появляется и исчезает какое-то окно, Chrome вообще не открывается. Очень редко удаётся запустить NOD32 после вылета, тогда всё работает нормально, при сканировании NODом и Malwarebytes находятся всё те же вирусы lsmosee.exe и conhost.exe, NOD всё так же блочит подключение к тому сайту, что я писал выше. Видимо, происходит какая-то ерунда при загрузке Windows? может быть попытаться переставить NOD32? (всё-таки я ставил его на заражённый вирусами ноут) Могли ли вирусы поменять системные настройки - доступ к папкам, влезть в автозагрузку? NOD пишет, что были изменены несколько настроек Windows по умолчанию, в частности конфигурация системных папок...

[thyrex]

conhost.exe

где находит?

[Andymozg]

C:\Windows\Temp\. Malwarebytes пишет, что это Trojan.Agent.BTMGen

[thyrex]

Тогда еще раз сделайте лог МВАМ

[Andymozg]

А не всё) Кажется, подох этот гад) После последней перезагрузки Malwarebytes таки отправил в карантин lsmosee.exe. Два раза перезагружался, вирусов при сканировании Malwarebytes не найдено, никаких появляющихся окон, иконка NOD32а, правда, всё равно куда-то исчезает, но он теперь хотя бы запускается. Спасибо огромное за помощь!

[thyrex]

МВАМ можно удалить