Помогите пожалуйста Вирус с флешки

**way** · 16.04.2020, 19:29

Добрый день. Помогите пожалуйста
В компьютер была неосмотрительно вставленная флешка. Защитник Windows среагировал и поместил подозрительные объекты в карантин от куда они были удалены.
но после этого стали происходит не очень понятные вещи:
при попытки провести полную проверку или выборочную проверку диска, через некоторое время после начала проверки Защитник отключается
наблюдается очень большая, до 100% загрузка процессора.
после перезагрузки компа Защитник начинает работать в штатном режиме

Вложение 681417 Вложение 681418 Вложение 681419

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 16.04.2020, 19:30

Уважаемый(ая) way, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

**Vvvyg** · 17.04.2020, 08:40

Выполните скрипт в AVZ:

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\Users\wayzt\appdata\local\temp\e_4\spec.fne', '');
 QuarantineFileF('C:\Users\wayzt\appdata\local\temp', '*.fne', true, '', 0, 0);
 DeleteFile('C:\Users\wayzt\appdata\local\temp\e_4\spec.fne', '');
 DeleteFileMask('C:\Users\wayzt\appdata\local\temp', '*.fne', true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(false);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте, распакуйте и запустите утилиту ClearLNK. Скопируйте текст ниже в окно утилиты и нажмите "Лечить".

Код:

>>>  "C:\Users\wayzt\AppData\Local\ChemTable Software\Shared\StartupItems\TFolderFactory\$McC3BE.lnk"         -> (0 байт)
>>>  "C:\Users\defaultuser100000.WAY_ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"  -> ["C:\Users\defaultuser100000.WAY_ASUS\AppData\Local\Microsoft\OneDrive\OneDrive.exe"]
>>>  "C:\Users\defaultuser100000.WAY_ASUS.000\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"        -> ["C:\Users\defaultuser100000.WAY_ASUS.000\AppData\Local\Microsoft\OneDrive\OneDrive.exe"]
>>>  "C:\Users\defaultuser100000\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"           -> ["C:\Users\defaultuser100000\AppData\Local\Microsoft\OneDrive\OneDrive.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDFCreator\Licenses\AFPL License.lnk"     -> ["C:\Program Files\PDFCreator\AFPL License.txt"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDFCreator\Licenses\GPL License.lnk"      -> ["C:\Program Files\PDFCreator\GNU License.txt"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDFCreator\Licenses\FairPlay License.lnk"           -> ["C:\Program Files\PDFCreator\FairPlay License.txt"]

Отчёт о работе прикрепите.

Сделайте лог сканирования Мalwarebytes.

**way** · 17.04.2020, 15:33

все необходимые файлы во вложении

- - - - -Добавлено - - - - -

ситуация усугубляется(
у второго компьютера в сети вообще отключился Защитник(
лог не могу прикрепить. форум выдает ошибку

**Vvvyg** · 17.04.2020, 22:06

Как раз хотел спросить насчёт других компьютеров. Сетевой червь у вас завёлся, нужно отключать от сети второй компьютер, пока и его не пролечим. Логи по нему в отдельной теме выложите.

По этому компьютеру такой лог сделайте.

Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

**way** · 17.04.2020, 23:17

Сообщение от Vvvyg

Как раз хотел спросить насчёт других компьютеров. Сетевой червь у вас завёлся, нужно отключать от сети второй компьютер, пока и его не пролечим. Логи по нему в отдельной теме выложите.

По этому компьютеру такой лог сделайте.

Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

создал еще одну тему с логом

- - - - -Добавлено - - - - -

так же очень часто браузер как будто бы не дозагружает картинки, разметку страниц(

**Vvvyg** · 18.04.2020, 21:47

Здесь чисто пока.

Сделайте лог Malwarebytes AdwCleaner.

**way** · 19.04.2020, 13:18

защитник Windows все так же периодически отключается.
и все чаще не прогружаются страницы браузера

**Vvvyg** · 19.04.2020, 14:13

Похоже, больше вредоносного и нет, и проблемы не с вирусами связаны.

Очистите кеш и cookie:
в Хроме.
В Яндекс.Браузере удалите куки и кэш.

Выполните скрипт в AVZ из папки Autologger:

Код:

begin
 ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
 ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
 ExecuteFile('wevtutil.exe', 'epl Security security.evtx', 0, 200000, false);
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=48m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.

В папке с AVZ появится архив Events.7z, загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.

**way** · 19.04.2020, 14:25

произошел сбой архивации
Вложение 681481
скажите, что за ограничения по загрузки прикрепленных файлов на форум?
как это устранить?

Сообщение от Vvvyg

В папке с AVZ появится архив Events.7z, загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.

программа не создала архив. сделал его самостоятельно

https://cloud.mail.ru/public/5Jhf/48bj8UpoY

**Vvvyg** · 19.04.2020, 20:55

Проблемы с каким-то из HDD:

Обнаружена ошибка на устройстве \Device\Harddisk4\DR7 во время выполнения операции страничного обмена.
Неверный блок на устройстве \Device\Harddisk4\DR7.
Обнаружена ошибка на устройстве \Device\Harddisk4\DR6 во время выполнения операции страничного обмена.
Неверный блок на устройстве \Device\Harddisk4\DR6.

С каким именно - сразу не понять, их явно много.
Есть старый диск, с которым могут быть проблемы?

Скачайте последнюю версию программы Victoria отсюда, распакуйте, запустите. Выберите русский язык в меню "Language". В списке дисков на вкладке Инфо отметьте сначала системный диск, перейдите на вкладку S.M.A.R.T, затем на вкладке Тестирование нажмите Quick.
выберите Чтение, Починить и нажмите Scan.
Затем операцию повторите для остальных жёстких дисков если есть).
Содержимое папки LOGS по окончании проверки упакуйте в архив и прикрепите к своему следующему сообщению.

**way** · 19.04.2020, 21:11

Сообщение от Vvvyg

Проблемы с каким-то из HDD:С каким именно - сразу не понять, их явно много.
Есть старый диск, с которым могут быть проблемы?

на компе стоит два новых SSD
компу подключен внешний USB HDD. возможно проблемы в нем(

**Vvvyg** · 19.04.2020, 22:54

Вроде по логам ни с одним из 3-х дисков проблем нет. Именно 16 апреля что-то другое подключали? Именно в этот день сплошные ошибки по жкрналу событий системы.

Откройте меню "Пуск" ("Start") и в строке поиска введите "cmd". На результатах поиска нажмите правой клавишей мыши и выберите пункт "Запуск от имени администратора".

Введите sfc /scannow и нажмите Enter.
Система восстановит недостающие или изменённые системные файлы, для этого может потребоваться перезагрузка.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

**way** · 19.04.2020, 23:43

Вроде по логам ни с одним из 3-х дисков проблем нет. Именно 16 апреля что-то другое подключали? Именно в этот день сплошные ошибки по жкрналу событий системы.

возможно ту злополучную флешку?)

Откройте меню "Пуск" ("Start") и в строке поиска введите "cmd". На результатах поиска нажмите правой клавишей мыши и выберите пункт "Запуск от имени администратора".

Вложение 681494

**Vvvyg** · 20.04.2020, 08:01

Возможно.

Выделите и скопируйте в буфер обмена следующий код:

Код:

Start::
CreateRestorePoint:
CHR HKU\S-1-5-21-4289737601-2461472435-1949962054-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [apdfllckaahabafndbhieahigkjlhalf] - <no Path/update_url>
S3 MBAMSwissArmy; \SystemRoot\System32\Drivers\mbamswissarmy.sys [X]
CMD: mkdir C:\WINDOWS\system32\config\systemprofile\AppData\Local\TileDataLayer
CMD: mkdir C:\WINDOWS\system32\config\systemprofile\AppData\Local\TileDataLayer\Database
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Явно нелады со сменными дисками:

Error: (04/19/2020 03:07:50 PM) (Source: Microsoft-Windows-FilterManager) (EventID: 3) (User: NT AUTHORITY)
Description: Диспетчеру фильтров не удалось подключиться к тому "\Device\HarddiskVolume17". Этот том будет недоступен для фильтрации до выполнения перезагрузки. Конечное состояние было 0xc03a001c.

Error: (04/19/2020 03:07:50 PM) (Source: Microsoft-Windows-FilterManager) (EventID: 3) (User: NT AUTHORITY)
Description: Диспетчеру фильтров не удалось подключиться к тому "\Device\HarddiskVolume17". Этот том будет недоступен для фильтрации до выполнения перезагрузки. Конечное состояние было 0xc03a001c.

Error: (04/19/2020 02:59:20 PM) (Source: Microsoft-Windows-FilterManager) (EventID: 3) (User: NT AUTHORITY)
Description: Диспетчеру фильтров не удалось подключиться к тому "\Device\HarddiskVolume15". Этот том будет недоступен для фильтрации до выполнения перезагрузки. Конечное состояние было 0xc03a001c.

Error: (04/19/2020 02:59:20 PM) (Source: Microsoft-Windows-FilterManager) (EventID: 3) (User: NT AUTHORITY)
Description: Диспетчеру фильтров не удалось подключиться к тому "\Device\HarddiskVolume15". Этот том будет недоступен для фильтрации до выполнения перезагрузки. Конечное состояние было 0xc03a001c.

Error: (04/19/2020 02:59:20 PM) (Source: Microsoft-Windows-FilterManager) (EventID: 3) (User: NT AUTHORITY)
Description: Диспетчеру фильтров не удалось подключиться к тому "\Device\HarddiskVolume14". Этот том будет недоступен для фильтрации до выполнения перезагрузки. Конечное состояние было 0xc03a001c.

Error: (04/19/2020 02:36:27 PM) (Source: Microsoft-Windows-FilterManager) (EventID: 3) (User: NT AUTHORITY)
Description: Диспетчеру фильтров не удалось подключиться к тому "\Device\HarddiskVolume47". Этот том будет недоступен для фильтрации до выполнения перезагрузки. Конечное состояние было 0xc03a001c.

Error: (04/19/2020 02:36:26 PM) (Source: Microsoft-Windows-FilterManager) (EventID: 3) (User: NT AUTHORITY)
Description: Диспетчеру фильтров не удалось подключиться к тому "\Device\HarddiskVolume46". Этот том будет недоступен для фильтрации до выполнения перезагрузки. Конечное состояние было 0xc03a001c.

Отсюда могут быть тормоза. Вирусов уже не видно.

**way** · 20.04.2020, 12:21

Явно нелады со сменными дисками:

очень часто винда ругается на то, что после старта не может подключиться к сетевым дискам. при этом сам доступ есть. диски в рабочем состоянии и исправны (3 шт NAS)

Вирусов уже не видно.

а они были?

**Vvvyg** · 20.04.2020, 13:49

На этом компьютере были сетевые черви, на втором - нет.

Мы уже вышли за рамки тематики форума.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

**way** · 20.04.2020, 19:48

спасибо большое. вы как всегда супер профессионалы

**CyberHelper** · 20.04.2020, 19:58

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:

=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: 1
=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: 4
=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=
=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB =E2 =EA=E0=F0=E0=ED=F2=E8=ED=E0=F5 =ED=
=E5 =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB