Поймал HEUR:Trojan.Win64.Miner.gen

[Chapay73]

Добрый день!
Поймал HEUR:Trojan.Win64.Miner.gen
Прошу помочь в очистке системы
Логи добавил

[Info_bot]

Уважаемый(ая) Chapay73, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\program files\wproxy\winproxy\winproxy.exe');
 QuarantineFile('c:\program files\wproxy\winproxy\winproxy.exe', '');
 QuarantineFile('C:\Users\Chapay\AppData\Local\Programs\d39c74d05f\3ee1cac651.msi', '');
 QuarantineFile('C:\Users\Chapay\AppData\Roaming\newSI_1\s_inst.exe', '');
 QuarantineFile('c:\windows\System32\wizchain.dll', '');
 QuarantineFile('C:\WINDOWS\SysWOW64\wizchain.dll', '');
 QuarantineFileF('"c:\windows\system32\msiexec.exe" /i "c:\users\chapay\appdata\local\programs\d39c74d05f', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\users\chapay\appdata\local\programs\d39c74d05f', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\users\chapay\appdata\roaming\newsi_1\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('c:\program files\wproxy\winproxy\winproxy.exe', '');
 DeleteFile('C:\Program Files\WProxy\WinProxy\WinProxy.exe', '64');
 DeleteFile('C:\Users\Chapay\AppData\Local\Programs\d39c74d05f\3ee1cac651.msi', '64');
 DeleteFile('C:\Users\Chapay\AppData\Roaming\newSI_1\s_inst.exe', '32');
 DeleteFile('C:\Users\TEMP\AppData\Local\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe', '64');
 DeleteFile('c:\windows\System32\wizchain.dll', '');
 DeleteFile('C:\WINDOWS\SysWOW64\wizchain.dll', '64');
 DeleteFileMask('c:\program files\wproxy', '*', true);
 DeleteFileMask('C:\ProgramData\DataSyncPro-fed67c94-780a-457a-95dd-d020fb8389da', '*', true);
 DeleteFileMask('c:\users\chapay\appdata\local\programs\d39c74d05f', '*', true);
 DeleteFileMask('c:\users\chapay\appdata\local\programs\d39c74d05f', '*', true);
 DeleteFileMask('c:\users\chapay\appdata\roaming\newsi_1\', '*', true);
 DeleteDirectory('c:\program files\wproxy');
 DeleteDirectory('c:\users\chapay\appdata\local\programs\d39c74d05f');
 DeleteDirectory('c:\users\chapay\appdata\roaming\newsi_1\');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\WizAgntSvc_f566e0\Parameters', 'ServiceDll', '64');
 DeleteSchedulerTask('C:\WINDOWS\Task\newSI_1.job');
 DeleteSchedulerTask('drifting-amp-S-1-5-21-1458570635-507213769-1575877016-1001');
 DeleteSchedulerTask('MicrosoftEdgeUpdateTaskUserS-1-5-21-1458570635-507213769-1575877016-1001Core{69765488-E5CF-4FCE-90F1-0924C5B8E4D6}');
 DeleteSchedulerTask('MicrosoftEdgeUpdateTaskUserS-1-5-21-1458570635-507213769-1575877016-1001UA{2A449BCB-BAA8-46D1-8F68-9302ADEE31A8}');
 DeleteSchedulerTask('WProxy\WinProxy');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 3, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

Деинсталлируйте бесполезные Reason Core Security и SpyHunter 5.

В папке с AVZ появится архив карантина quarantine.zip, упакуйте его в архив с паролем, выложите на файлообменник или в облако и дайте ссылку с паролем в личном сообщении.

Скачайте, распакуйте и запустите утилиту AV block remove, следуйте инструкциям. Если не запустится - переименуйте файл? переместите в любую папку, кроме рабочего стола и загрузок. Не поможет - запустите из безопасного режима с поддержкой сети.
Файл AV_block_remove_дата_время.log из папки с программы прикрепите к своему сообщению.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Chapay73]

Добрый вечер!
Файл quarantine.zip выложил на яндекс диск.
Ссылку и пароль отправил Вам в личном сообщении.
К данному сообщению прикрепил AV_block_remove_2024.01.13-20.10.log

- - - - -Добавлено - - - - -

к данному сообщению прикрепил отчеты FRST.txt, Addition.txt оба в одном архиве

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:

Start::
HKLM-x32\...\Run: [P17RunE] => RunDll32 P17RunE.dll,RunDLLEntry (Нет файла)
GroupPolicy: Ограничение - Chrome <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
Task: {62872C0D-DFD1-4B02-9D73-6FD71052F954} - \Microsoft\Windows\Setup\EOSNotify2 -> Нет файла <==== ВНИМАНИЕ
Task: {936CDBD9-3F13-4030-AAF8-F5E2706BB432} - \newSI_1 -> Нет файла <==== ВНИМАНИЕ
Task: {A7EA9E04-563D-432E-88FB-BE0D43E6C2B1} - \Microsoft\Windows\Setup\EOSNotify -> Нет файла <==== ВНИМАНИЕ
CHR HKU\S-1-5-21-1458570635-507213769-1575877016-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [kfbkiimghfccljjpjckphhdaldebbgoc]
CHR HKLM-x32\...\Chrome\Extension: [ahnphcmhmhcjjcjhmnnjjlbmaeljecga]
CHR HKLM-x32\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb]
CHR HKLM-x32\...\Chrome\Extension: [hglcmagplhbklifejibdeldmmddbechf]
2024-01-10 23:14 - 2024-01-10 23:14 - 001186896 _____ C:\WINDOWS\SysWOW64\perfd104.dat
2017-04-13 21:50 C:\Program Files (x86)\Tencent
2017-04-13 21:50 C:\Program Files\Common Files\Tencent
2024-01-10 20:17 C:\ProgramData\RDP Wrapper
2017-04-13 21:50 C:\ProgramData\Tencent
2017-04-13 21:50 C:\Users\Chapay\AppData\Roaming\Checkers
2017-04-13 21:50 C:\Users\Chapay\AppData\Roaming\eTranslator
2017-04-13 21:50 C:\Users\Chapay\AppData\Roaming\newSI_1
2017-04-13 21:50 C:\Users\Chapay\AppData\Roaming\NotepadPlusPlusApp
2017-04-13 21:50 C:\Users\Chapay\AppData\Local\fupdate
2017-04-13 21:50 C:\Users\Chapay\AppData\Local\ifgker
2017-04-13 21:50 C:\Users\Chapay\AppData\Local\ScriptWriter
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Нет файла
ContextMenuHandlers3: [00avast] -> [CC]{472083B0-C522-11CF-8763-00608CC02F24} =>  -> Нет файла
HKLM\...\StartupApproved\Run32: => " QQPCTray"
FirewallRules: [{718500A3-5274-4003-859D-0B12093BDA6E}] => (Allow) LPort=3389
FirewallRules: [{6A1FED94-27BA-4207-B0A6-A240AF9E81BD}] => (Allow) LPort=3389
FirewallRules: [{0D9428A0-57EB-417E-92F3-FFBD877DEEBD}] => (Allow) LPort=3389
FirewallRules: [{04BB7FCF-2A3E-494C-A297-1D86EFFDFB07}] => (Allow) LPort=3389
FirewallRules: [{0B98938F-D795-470A-856F-568C61C4EE59}] => (Allow) LPort=3389
FirewallRules: [{7960E2F6-E300-4DB4-9B88-0D4DF42811B1}] => (Allow) LPort=3389
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
CreateRestorePoint:
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt), прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен.

Содержимое папки C:\FRST\Quarantine упакуйте с паролем, ссылку и пароль сообщите в личном сообщении.

[Chapay73]

Файл Fixlog.txt прикрепил к данному сообщению

При архивации папки Quarantine к некоторым файлам отказано в доступе.
Файл с ошибками архивации также прикрепил.

[Vvvyg]

Всё, что нужно было, в карантин попало.

С майнером покончено.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.

[Chapay73]

Большое спасибо!