Странная работа ПК

**AlexR07** · 11.08.2021, 20:11

Подскажите, ни с того ни с сего начал вылетать браузер хром без какой либо ошибки. У программы Steam периодически как будто отсутствует соединение с интернетом, нет загрузки страницы, перезапускаю его и всё работает.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 11.08.2021, 20:20

Уважаемый(ая) AlexR07, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

**Vvvyg** · 11.08.2021, 21:12

Трояны и майнеры пасутся в системе.

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\users\admin\appdata\local\temp\csrss\mg20201223-1.exe');
 TerminateProcessByName('c:\users\admin\appdata\local\temp\csrss\ml20201223.exe');
 TerminateProcessByName('c:\users\admin\appdata\local\temp\csrss\ww31.exe');
 TerminateProcessByName('c:\users\admin\appdata\roaming\winhost\winhoster.exe');
 TerminateProcessByName('c:\windows\rss\csrss.exe');
 TerminateProcessByName('c:\windows\windefender.exe');
 StopService('WinDefender');
 QuarantineFile('C:\ProgramData\WinFlow.exe', '');
 QuarantineFile('c:\users\admin\appdata\local\temp\csrss\mg20201223-1.exe', '');
 QuarantineFile('c:\users\admin\appdata\local\temp\csrss\ml20201223.exe', '');
 QuarantineFile('c:\users\admin\appdata\local\temp\csrss\ww31.exe', '');
 QuarantineFile('c:\users\admin\appdata\roaming\winhost\winhoster.exe', '');
 QuarantineFile('c:\windows\rss\csrss.exe', '');
 QuarantineFile('C:\WINDOWS\System32\drivers\Winmon.sys', '');
 QuarantineFile('C:\WINDOWS\System32\drivers\WinmonFS.sys', '');
 QuarantineFile('C:\WINDOWS\System32\drivers\WinmonProcessMonitor.sys', '');
 QuarantineFile('C:\WINDOWS\system32\Y2KP1P270V.tmp', '');
 QuarantineFile('c:\windows\windefender.exe', '');
 QuarantineFileF('c:\users\admin\appdata\roaming\winhost', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\windows\rss', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', false, '', 0 , 0);
 DeleteFile('C:\ProgramData\WinFlow.exe', '32');
 DeleteFile('C:\ProgramData\WinFlow.exe', '64');
 DeleteFile('c:\users\admin\appdata\local\temp\csrss\mg20201223-1.exe', '');
 DeleteFile('c:\users\admin\appdata\local\temp\csrss\ml20201223.exe', '');
 DeleteFile('c:\users\admin\appdata\local\temp\csrss\ww31.exe', '');
 DeleteFile('c:\users\admin\appdata\roaming\winhost\winhoster.exe', '');
 DeleteFile('C:\Users\Admin\AppData\Roaming\WinHost\WinHoster.exe', '32');
 DeleteFile('C:\Users\Admin\AppData\Roaming\WinHost\WinHoster.exe', '64');
 DeleteFile('c:\windows\rss\csrss.exe', '');
 DeleteFile('C:\WINDOWS\rss\csrss.exe', '32');
 DeleteFile('C:\WINDOWS\rss\csrss.exe', '64');
 DeleteFile('C:\WINDOWS\System32\drivers\Winmon.sys', '64');
 DeleteFile('C:\WINDOWS\System32\drivers\WinmonFS.sys', '64');
 DeleteFile('C:\WINDOWS\System32\drivers\WinmonProcessMonitor.sys', '64');
 DeleteFile('C:\WINDOWS\system32\Y2KP1P270V.tmp', '64');
 DeleteFile('c:\windows\windefender.exe', '');
 DeleteFile('C:\WINDOWS\windefender.exe', '64');
 DeleteService('WinDefender');
 DeleteService('Winmon');
 DeleteService('WinmonFS');
 DeleteService('WinmonProcessMonitor');
 DeleteFileMask('c:\users\admin\appdata\local\temp\csrss', '*', true);
 DeleteFileMask('c:\users\admin\appdata\roaming\winhost', '*', true);
 DeleteFileMask('c:\windows\rss', '*', true);
 DeleteDirectory('c:\users\admin\appdata\local\temp\csrss');
 DeleteDirectory('c:\users\admin\appdata\roaming\winhost');
 DeleteDirectory('c:\windows\rss');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'DelicateLake', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'DelicateLake', '64');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'WinFlow', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'WinFlow', '64');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'WinHost', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'WinHost', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\AppServicea\Parameters', 'ServiceDll', '64');
 DeleteSchedulerTask('Apple\AppleSoftwareUpdate');
 DeleteSchedulerTask('csrss');
ExecuteSysClean;
 ExecuteWizard('SCU', 3, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполните в AVZ скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке Прислать запрошенный карантин над над первым сообщением в теме.

Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

**AlexR07** · 11.08.2021, 22:31

Всё сделал.
Но полный образ автозапуска не удается прикрепить к сообщению, нажимаю загрузить и ни чего не происходит.

**Vvvyg** · 11.08.2021, 22:56

В облако, или на файлообменник и ссылку сюда.

**AlexR07** · 12.08.2021, 17:06

Загрузил на Яндекс диск

**Vvvyg** · 12.08.2021, 21:22

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

Код:

;uVS v4.11.8 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
icsuspend
addsgn 4AED779A55A94C720BD4AEB164C81205258AFCF689FA1F7885C3C5BC50D6714C2317C3573E559D492B80849F461649FA7DDFE87255DAB02C2D77A42FC7062273 32 Trojan.Win64.Manuscrypt.do [Kaspersky] 7

chklst
delvir

deltmp
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\90.0.818.66\MSEDGE.DLL
delref %Sys32%\PWCREATOR.EXE
delref %SystemRoot%\PUBLICGAMING\APPSETUP.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.41\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.99\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.82\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.93\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.442\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.342\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.32\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.93\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.72\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.302\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.57\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.145.49\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.52\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.63\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.59\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.452\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.59\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.49\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.422\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.29\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.127.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.71\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\MICROSOFT OFFICE\ROOT\VFS\PROGRAMFILESCOMMONX64\MICROSOFT SHARED\EQUATION\EQNEDT32.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.41\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.99\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.82\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.93\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.442\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.342\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.32\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.93\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.72\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.302\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.57\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.145.49\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.52\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.63\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.59\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.452\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.59\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.49\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.422\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.29\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM\OLE DB\MSDAORA.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.127.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.71\PSMACHINE.DLL
delref %SystemRoot%\PUBLICGAMING\PRUN.EXE
apply
restart

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Сделайте проверку и лечение с помощью KVRT. Прикрепите упакованными в архив файлы отчёта report_<дата>_*.klr.enc1 из папки C:\KVRT2020_Data.

**AlexR07** · 13.08.2021, 16:51

Лог выполнения скрипта в UVS
Отчет KVRT

**Vvvyg** · 13.08.2021, 21:08

Плохо, KVRT видит только в памяти троян: MEM:Trojan.Win32.Agent.gen.
Пролечитесь ещё с Dr.Web LiveDisk

Потом сделайте новый полный образ автозапуска.

**AlexR07** · 14.08.2021, 18:32

Образ автозапуска

**Vvvyg** · 14.08.2021, 18:47

Выглядит чистым.
Что с проблемой?

**AlexR07** · 14.08.2021, 20:11

После первого выполненного скрипта проблем больше не наблюдалось. Огромное спасибо.

Странная работа ПК (заявка № 227071)

Опции темы