Помогите удалит вирус на флешке

[erik51711]

Здравствуйте. У меня на флешке появился такой вирус, который сколько бы не форматировал диск, сколько бы не удалял, лечил с помощью антивируса, все равно не помогает. Вирус скрывает все файлы и оставляет только ярлыки, из за чего не воспроизводится музыка в машине. Прошу помочь. Был бы очень благодарен, если бы показали, рассказали как бороться с такой проблемой, так как у многих моих знакомых такая же проблема.
P.S Кажется у меня на компе еще есть майнер, или другой такого рода вирус. Если есть возможность, помогите удалить и их.

[Info_bot]

Уважаемый(ая) erik51711, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Да, и червь, и майнер присутствуют. Выполняйте инструкции последовательно, в том порядке, как они написаны.

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 DeleteFile('C:\Program Files (x86)\Surfshark\Resources\x64\nssm.exe', '64');
 DeleteFile('c:\programdata\{a6373591-b36f-8838-c866-9dd9e29e732a}\0b88e50e.exe', '64');
 DeleteFile('C:\Programdata\RealtekHD\taskhostw.exe', '64');
 DeleteFile('C:\ProgramData\windowstask\winlogon.exe', '');
 DeleteFile('C:\Programdata\WindowsTask\winlogon.exe', '64');
 DeleteFile('C:\Users\user\AppData\Roaming\xrudqugu\uafuhpue.exe', '32');
 DeleteFile('C:\Users\user\AppData\Roaming\xrudqugu\uafuhpue.exe', '64');
 DeleteFileMask('c:\programdata\{a6373591-b36f-8838-c866-9dd9e29e732a}', '*', true);
 DeleteFileMask('c:\programdata\realtekhd', '*', true);
 DeleteFileMask('c:\programdata\windowstask', '*', true);
 DeleteFileMask('c:\users\user\appdata\roaming\xrudqugu', '*', true);
 DeleteDirectory('c:\programdata\{a6373591-b36f-8838-c866-9dd9e29e732a}');
 DeleteDirectory('c:\programdata\realtekhd');
 DeleteDirectory('c:\programdata\windowstask');
 DeleteDirectory('c:\users\user\appdata\roaming\xrudqugu');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'nmtne', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'nmtne', '64');
 RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\XDM', 'x64');
 DeleteSchedulerTask('{3A271DA1-9B5F-1428-C866-9DD9E29E732A}');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\Cleaner');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\SystemC');
ExecuteSysClean;
 ExecuteRepair(4);
 ExecuteRepair(13);
 ExecuteWizard('TSW', 3, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки:

O4 - MountPoints2: HKCU\..\{02c8b2ea-e367-11ee-89e6-1c6f65d1997f}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{2cb7b6b7-b67a-11ea-b47e-1c6f65d1997f}\shell\AutoRun\command: (default) = G:\HiSuiteDownLoader.exe (file missing)
O4 - MountPoints2: HKCU\..\{41fd3640-a397-11ea-8989-1c6f65d1997f}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{5c03d9d7-111d-11eb-a1bd-1c6f65d1997f}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{60ef754d-dc56-11ee-9b03-1c6f65d1997f}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{6538eab4-ec00-11ee-8f00-8f396f6919da}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{68cfc52e-110a-11eb-8cb3-1c6f65d1997f}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{68cfc550-110a-11eb-8cb3-1c6f65d1997f}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{6e459f3f-9b0a-11ea-96f3-1c6f65d1997f}\shell\AutoRun\command: (default) = G:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{6e459f4a-9b0a-11ea-96f3-1c6f65d1997f}\shell\AutoRun\command: (default) = G:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{8ad3051c-dddd-11ee-ae77-1c6f65d1997f}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{9a919d44-0cec-11ef-9fd7-1c6f65d1997f}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{a154b212-2226-11eb-a9a0-1c6f65d1997f}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{c382afe3-9b0c-11ea-a6f0-1c6f65d1997f}\shell\AutoRun\command: (default) = G:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{c382afef-9b0c-11ea-a6f0-1c6f65d1997f}\shell\AutoRun\command: (default) = G:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{d33c4a56-2839-11ea-aaec-1c6f65d1997f}\shell\AutoRun\command: (default) = G:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{d769e4bd-0c67-11ef-a3e8-1c6f65d1997f}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{d769e4cb-0c67-11ef-a3e8-1c6f65d1997f}\shell\AutoRun\command: (default) = E:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\{e4f3ed86-1ee6-11ea-abf5-1c6f65d1997f}\shell\AutoRun\command: (default) = G:\AutoRun.exe (file missing)
O4 - MountPoints2: HKCU\..\Z\shell\AutoRun\command: (default) = Z:\setup.exe (file missing)
O4 - MSConfig\startupreg: GoogleChromeAutoLaunch_359E43767C1BFDADFAAB676785A1E526 [command] = (no file) (HKCU) (2021/07/29)
O4 - MSConfig\startupreg: Mobile Partner [command] = C:\Program Files (x86)\MobileWiFi\MobileWiFi (HKCU) (2021/01/06) (file missing)
O7 - Policy: *\..\Policies\Explorer\DisallowRun: Fix all
O7 - Taskbar policy: HKCU\..\Policies\Explorer: [DisallowRun] = 1
O15 - Trusted Zone: *.localhost
O15 - Trusted Zone: hxxp://webcompanion.com
O27 - Account: (Hidden) User 'John' is invisible on logon screen

Скачайте, распакуйте и запустите утилиту AV block remove, следуйте инструкциям. Если не запустится - переименуйте файл, переместите в любую папку, кроме рабочего стола и загрузок. Не поможет - запустите из безопасного режима с поддержкой сети.
Файл AV_block_remove_дата_время.log из папки с программы прикрепите к своему сообщению.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[erik51711]

Сделал, файлы прикрепляю

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-3050991391-744034339-4066881228-1000\...\Run: [] => [X]
HKU\S-1-5-21-3050991391-744034339-4066881228-1000\...\Run: [gbnyd] => C:\Users\user\AppData\Roaming\xrudqugu\uafuhpue.ex (Нет файла)
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Policies: C:\Users\user\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
CHR HKU\S-1-5-21-3050991391-744034339-4066881228-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [gbjeiekahklbgbfccohipinhgaadijad]
CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
S3 R-ImageDisk; \??\C:\Users\user\Downloads\R-Studio Network Edition 8.15 Build 180091 RePack (& portable) by KpoJIuK\R-Studio\App\RStudio\R-ImageDisk64.sys [X]
Folder: C:\ProgramData\{AB1A7D40-FBBE-8515-C866-9DD9E29E732A}
Folder: C:\ProgramData\{a6373591-b36f-8838-c866-9dd9e29e732a}
2024-05-22 17:12 - 2024-05-22 17:12 - 000000000 ____D C:\ProgramData\{AB1A7D40-FBBE-8515-C866-9DD9E29E732A}
2024-05-22 16:37 - 2024-05-22 16:37 - 000000000 ____D C:\ProgramData\{a6373591-b36f-8838-c866-9dd9e29e732a}
2024-05-22 16:37 - 2021-07-29 16:27 - 000001068 _____ C:\Windows\system32\Drivers\etc\2024-05-22_16-37_hosts.bak
2024-05-13 14:17 - 2024-05-13 14:17 - 000001234 _____ C:\Windows\system32\aHR0cHM6Ly9zY29udGVudC1mbWwyMC0xLmNkbmluc3RhZ3JhbS5jb20vbzEvdi90MTYvZjEvbTc4L0EzNDZCMDBEREJBRUYzQzhFMTNFRTZFQTQ1NTQ2NUE4X3ZpZGVvX2Rhc2hpbml0Lm1wND9lZmc9ZXlKeFpWOW5jbTkxY0hNaU9pSmJYQ0pwWjE5M1pXSmZaR1ZzY.lnk
2024-05-13 14:16 - 2024-05-13 14:16 - 000001234 _____ C:\Windows\system32\aHR0cHM6Ly9zY29udGVudC1mbWwyMC0xLmNkbmluc3RhZ3JhbS5jb20vbzEvdi90MTYvZjEvbTc4LzNFNEYzMTVGODM4QjUxRjNDMjhCNEYzRjcyMjAzNzhEX3ZpZGVvX2Rhc2hpbml0Lm1wND9lZmc9ZXlKeFpWOW5jbTkxY0hNaU9pSmJYQ0pwWjE5M1pXSmZaR1ZzY.lnk
2024-05-22 17:01 - 2009-07-14 10:45 - 000026544 ____H C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
2024-05-22 17:01 - 2009-07-14 10:45 - 000026544 ____H C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
CustomCLSID: HKU\S-1-5-21-3050991391-744034339-4066881228-1000_Classes\CLSID\{9489FEB2-1925-4D01-B788-6D912C70F7F2}\localserver32 -> C:\Users\user\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\FileCoAuth.exe => Нет файла
FirewallRules: [TCP Query User{340D556B-A427-4E1E-8953-04138A1BFAB8}C:\games\counter-strike 1.6\hl.exe] => (Block) C:\games\counter-strike 1.6\hl.exe => Нет файла
FirewallRules: [UDP Query User{35891E42-29C9-49D3-9A26-AB3C9AED7AA5}C:\games\counter-strike 1.6\hl.exe] => (Block) C:\games\counter-strike 1.6\hl.exe => Нет файла
FirewallRules: [TCP Query User{333D63AA-FA14-4B89-8B62-5B471206122D}C:\games\call of duty modern warfare 3\iw5sp.exe] => (Block) C:\games\call of duty modern warfare 3\iw5sp.exe => Нет файла
FirewallRules: [UDP Query User{9B28F38A-8EE8-422F-A876-ACAD92CA2057}C:\games\call of duty modern warfare 3\iw5sp.exe] => (Block) C:\games\call of duty modern warfare 3\iw5sp.exe => Нет файла
FirewallRules: [{B73A57D8-5FEB-4E64-9539-7386B708135E}] => (Allow) C:\Users\user\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{ADA9A338-945F-4A34-88D3-E74821035F33}] => (Allow) C:\Users\user\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{1426320F-2B95-4DD3-AEF8-F56F33EB8AD2}] => (Allow) C:\Users\user\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{0D4D460C-A4E0-438C-ABD3-D7FCFF3E526A}] => (Allow) C:\Users\user\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{1F4676A4-FF3C-41C0-ACDA-481D36EDF55F}] => (Allow) C:\Users\user\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{778DF719-4A02-4B54-9743-7599597BD3FE}] => (Allow) C:\Users\user\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{9210AAB0-8C48-4764-AFC8-E1FC3F362169}] => (Allow) C:\Users\user\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{BA697244-4DE7-42D7-A372-FA62B0F7DA9D}] => (Allow) C:\Users\user\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{0EF9D44F-A721-4CF7-8FDB-788EDD387522}] => (Allow) C:\Users\user\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [TCP Query User{5DF56E17-48C8-456B-80F4-97025C5EAC78}C:\users\user\appdata\roaming\utorrent\updates\3.5.5_45724.exe] => (Allow) C:\users\user\appdata\roaming\utorrent\updates\3.5.5_45724.exe => Нет файла
FirewallRules: [UDP Query User{A893932D-ED4F-41A8-AE6A-AAF23516BEF8}C:\users\user\appdata\roaming\utorrent\updates\3.5.5_45724.exe] => (Allow) C:\users\user\appdata\roaming\utorrent\updates\3.5.5_45724.exe => Нет файла
FirewallRules: [{331A5551-F6A4-46AB-A0A0-BC2310AEF548}] => (Allow) C:\Users\user\AppData\Local\Temp\DRPSu17\bin\tools\aria2c.exe => Нет файла
FirewallRules: [TCP Query User{005EA75D-F213-48A7-BA72-8A1744D8A92A}C:\program files (x86)\mipony\mipony.exe] => (Block) C:\program files (x86)\mipony\mipony.exe => Нет файла
FirewallRules: [UDP Query User{3FAC9932-6A3F-4606-A0DF-0E05457116E3}C:\program files (x86)\mipony\mipony.exe] => (Block) C:\program files (x86)\mipony\mipony.exe => Нет файла
FirewallRules: [TCP Query User{059A81D6-C261-46CA-AE9A-414915F62CA4}C:\counter-strike 1.6\cs.exe] => (Allow) C:\counter-strike 1.6\cs.exe => Нет файла
FirewallRules: [UDP Query User{04E56260-5B3C-487D-BE62-8ADCB17F2F63}C:\counter-strike 1.6\cs.exe] => (Allow) C:\counter-strike 1.6\cs.exe => Нет файла
FirewallRules: [TCP Query User{C26E1AE2-89C3-478E-B501-276A9E101F2C}C:\games\counter-strike 1.6 butcher\hl.exe] => (Allow) C:\games\counter-strike 1.6 butcher\hl.exe => Нет файла
FirewallRules: [UDP Query User{76AC0A11-DE53-4C2B-8BB3-97C021CD0030}C:\games\counter-strike 1.6 butcher\hl.exe] => (Allow) C:\games\counter-strike 1.6 butcher\hl.exe => Нет файла
FirewallRules: [TCP Query User{FAFD2135-0AA5-4D80-B7C4-54CF67583102}C:\games\counter-strike 1.6 butcher\hltv.exe] => (Block) C:\games\counter-strike 1.6 butcher\hltv.exe => Нет файла
FirewallRules: [UDP Query User{3A6CBD65-B098-4147-A738-84F23D50167E}C:\games\counter-strike 1.6 butcher\hltv.exe] => (Block) C:\games\counter-strike 1.6 butcher\hltv.exe => Нет файла
FirewallRules: [TCP Query User{A6F26505-B89A-4870-986A-18BA002115E1}C:\games\counter-strike 1.6 russian\hl.exe] => (Block) C:\games\counter-strike 1.6 russian\hl.exe (Valve -> Valve)
FirewallRules: [UDP Query User{D67619C8-C81F-4E71-8DAF-0B79A25F68AC}C:\games\counter-strike 1.6 russian\hl.exe] => (Block) C:\games\counter-strike 1.6 russian\hl.exe (Valve -> Valve)
FirewallRules: [{97CAC840-DFFE-4927-8132-4F6D8235FCFC}] => (Allow) C:\ProgramData\WindowsTask\MicrosoftHost.exe => Нет файла
FirewallRules: [{EB723754-E630-4A41-BFA8-C4B07A59105D}] => (Allow) C:\ProgramData\WindowsTask\MicrosoftHost.exe => Нет файла
FirewallRules: [TCP Query User{809AC0C3-3876-49E7-A536-86D1EA9AD042}C:\users\user\desktop\готовый server 6153_v2 [army ranks]\6153_v2\hlds.exe] => (Allow) C:\users\user\desktop\готовый server 6153_v2 [army ranks]\6153_v2\hlds.exe => Нет файла
FirewallRules: [UDP Query User{E5FB7691-D697-4386-B64C-9086D2894CFB}C:\users\user\desktop\готовый server 6153_v2 [army ranks]\6153_v2\hlds.exe] => (Allow) C:\users\user\desktop\готовый server 6153_v2 [army ranks]\6153_v2\hlds.exe => Нет файла
FirewallRules: [TCP Query User{19B61863-6D83-4A20-A210-FCEF52BA1B21}C:\users\user\desktop\сервер\сервер\hlds.exe] => (Allow) C:\users\user\desktop\сервер\сервер\hlds.exe => Нет файла
FirewallRules: [UDP Query User{CF159406-922C-4C57-B6D1-BE2AF2BD7213}C:\users\user\desktop\сервер\сервер\hlds.exe] => (Allow) C:\users\user\desktop\сервер\сервер\hlds.exe => Нет файла
FirewallRules: [TCP Query User{4E6CEEA6-DF29-4465-86B9-D00F2DA2E3D7}C:\users\user\desktop\сервер\сервер\сервер\hlds.exe] => (Allow) C:\users\user\desktop\сервер\сервер\сервер\hlds.exe => Нет файла
FirewallRules: [UDP Query User{74488D1E-2D56-4D6C-ABE0-95F5E0E48BE7}C:\users\user\desktop\сервер\сервер\сервер\hlds.exe] => (Allow) C:\users\user\desktop\сервер\сервер\сервер\hlds.exe => Нет файла
FirewallRules: [{70DF06C3-2B59-4237-99BD-348D746B6DC8}] => (Allow) C:\Users\user\Downloads\4ddig-for-windows(1).exe => Нет файла
FirewallRules: [{19F4BEA2-4198-4D8B-92E2-8AE59F21C50B}] => (Allow) C:\Users\user\Downloads\4ddig-for-windows(1).exe => Нет файла
FirewallRules: [{EBF8F2AB-6600-4108-BE45-8A345CC369D9}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\Tenorshare 4DDiG.exe => Нет файла
FirewallRules: [{C938EDE7-3E12-48FB-B2F0-FAA5757DD8A7}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\Tenorshare 4DDiG.exe => Нет файла
FirewallRules: [{1BA1141F-E6F0-496B-8678-60DB14EA2809}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\NetFrameCheck.exe => Нет файла
FirewallRules: [{B4D8D721-3F4D-4E21-81A5-EFEE13C5163B}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\NetFrameCheck.exe => Нет файла
FirewallRules: [{18EC0D80-50D6-4B04-9A7E-3F490881E022}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\Monitor\Monitor.exe => Нет файла
FirewallRules: [{3DE5DA59-8755-40BF-A669-3503B3F0FB1D}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\Monitor\Monitor.exe => Нет файла
FirewallRules: [{2E1D51F8-FC9E-430E-98A9-3179CE5611D0}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\ParseRecord.exe => Нет файла
FirewallRules: [{7304D2DB-B01B-4C1A-9D41-F37A6ECDF7B1}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\ParseRecord.exe => Нет файла
FirewallRules: [{FAC228B2-20B6-405D-9A8C-0474F0FBAB20}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\UpdateService.exe => Нет файла
FirewallRules: [{3977945D-794F-476B-9398-4415FBE3CCE5}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\UpdateService.exe => Нет файла
FirewallRules: [{35E5BD90-EFB4-4844-A3E1-DE0AC898F551}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\VideoRepairService.exe => Нет файла
FirewallRules: [{57766BE0-84E5-4BB6-8B4A-4E418FAC2D3C}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\VideoRepairService.exe => Нет файла
FirewallRules: [{9333243D-89C3-4E27-A3C0-9B2D2810EA64}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\PhotosRepairService.exe => Нет файла
FirewallRules: [{7B0EB61C-E80A-4572-8694-FFA9BB9AD432}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\PhotosRepairService.exe => Нет файла
FirewallRules: [{DAD78DE4-6B89-4657-8180-32B116EC40A8}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\FrameWorkService.exe => Нет файла
FirewallRules: [{CD0C94AA-D395-4C7F-82DB-C563E68807B6}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\FrameWorkService.exe => Нет файла
FirewallRules: [{3E46F03E-5E3B-4028-88BD-A381B3D7E809}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\MediaPlayerService.exe => Нет файла
FirewallRules: [{B06F9C0E-9877-45DF-BB3D-FED0532519E1}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\MediaPlayerService.exe => Нет файла
FirewallRules: [{2AF511F4-7F72-47AE-8082-E3EBD7C88109}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\MediaInfoService.exe => Нет файла
FirewallRules: [{3879A873-A90E-4BF8-981B-D1DC5134C1CC}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\MediaInfoService.exe => Нет файла
FirewallRules: [{0EEA80FB-766E-4F6F-8F19-36F701596F6B}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\preuninstall.exe => Нет файла
FirewallRules: [{B218D11A-EEB6-4646-A1A1-7CCE416846F3}] => (Allow) C:\Program Files (x86)\Tenorshare\Tenorshare 4DDiG\preuninstall.exe => Нет файла
FirewallRules: [{9A4C8881-B706-4C58-9044-015F633052EF}] => (Allow) C:\Users\user\AppData\Local\Temp\utorrent\utorrent.exe => Нет файла
FirewallRules: [{CEE05710-C433-4E77-AD34-3E1FF530A135}] => (Allow) C:\Users\user\AppData\Local\Temp\utorrent\utorrent.exe => Нет файла
FirewallRules: [{83D157F1-DF6A-4267-A6B9-4BF16D9879B3}] => (Allow) C:\Users\user\Desktop\кс\Counter-Strike by Leo\hl.exe => Нет файла
FirewallRules: [{25D7B163-A7FA-48FE-9707-2B3AB50F643A}] => (Allow) C:\Users\user\Desktop\кс\Counter-Strike by Leo\hl.exe => Нет файла
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
StartBatch:
del /s /q C:\Windows\Temp\*.*
del /s /q "%userprofile%\AppData\Local\temp\*.*"
ipconfig /flushdns
sfc /scannow
endbatch:
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Упакуйте его в архив .RAR или .7z с максимальным сжатием и прикрепите к своему следующему сообщению.
Компьютер будет перезагружен.

rar_max_solid.png

Папку C:\FRST\Quarantine упакуйте также с максимальным сжатием в непрерывный архив, выложите в облако или на файлообменник и дайте ссылку в личном сообщении.

Подключите пролемную флэшку и сообщите букву её диска.

[erik51711]

Сделал, отправил ссылку и пароль в личные сообщение

[Vvvyg]

Выполняем, естественно, с подключенной флэшкой.

Выделите и скопируйте в буфер обмена следующий код:

Start::
Folder: E:\
CMD: attrib "E:\*" -s -h /S /D
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Упакуйте его в архив .RAR и прикрепите к своему следующему сообщению.

[erik51711]

Сделал, архив прикрепил

[Vvvyg]

Кроме папки с червём на флэшке ничего нет. Удалите, или просто отформатируйте.
Сообщите, повторится ли проблема.

[erik51711]

Удалил, потом отформатировал, и так несколько раз, папка появляется снова. Папка с червем самовосстанавливается после удаления.

[Vvvyg]

Есть ещё компьютеры в локальной сети? Это сетевой червь, он распространяется с других заражённых машин. Тогда надо отключайть по одному от сети, лечить KVRT или Dr. Web CureIt! и не подключайть снова до завершения лечения всех до единого. Иначе не избавитесь.

[erik51711]

У меня только один компьютер, он не подключен к другим компьютерам по локальной сети, только в одном компьютере 2-windows-a, разных версии. Мне нужно сейчас отключить интернет, установить Dr. Web CureIt, и вылечить флешку? И только потом включить интернет?

[Vvvyg]

Не только флэшку, делать полную проверку всех дисков. Если ПК один, но 2 системы, из одной в другую может переползти. Интернет отключать в этом случае не надо.

[erik51711]

На другой windows я не заходил уже очень давно. Полная очистка с помощью Dr. Web CureIt поможет? Я просто уже делал так, но все равно такой вирус само восстанавливался после очистки антивирусом. Или очистку лучше делать с отключенным интернетом?

[Vvvyg]

Полное сканирование с удалением всех экземпляров червя и перезагрузкой должно помочь. Потом проверить и пролечить все флэшки, червь с них может переползать. Вставили, не открывая натравили антивирус. Можно просто отформатировать, если ничего ценного нет.
Из интернета червь не пролезет, компьютер за роутером, где файрволл по умолчанию закрывает доступ извне.

Запустите AVZ из папки Autologger\AV\av_z.exe, Файл -> Мастер поиска и устранения проблем, запустите, отметьте пункты, как на скрине, нажмите "Исправить отмеченные проблемы". После перезагрузки автозапуск сетевого червя будет невозможен.
AVZ_master.jpg
Хотя на флэшке с ним ни ярлыка для запуска, ни файла autorun.inf не было. Так что полное удаление червя антивирусом из системы должно помочь.

[erik51711]

Отсканировал абсолютно все диски с помощью Dr. Web CureIt, обезвредил и перезагрузил компьютер. Удалил с флешки файл с червем,потом отформатировал. Но с помощью AVZ не смог выполнить вашу команду, так как у меня там все пусто (прикрепил скрин). Вроде потом все удалился, даже дал записать. Но потом все файлы превратились в иероглифы, в общем вирус не исчез. Что делать дальше?

[Vvvyg]

Но с помощью AVZ не смог выполнить вашу команду, так как у меня там все пусто (прикрепил скрин).

Так "Пуск" сперва надо нажать.

Вроде потом все удалился, даже дал записать. Но потом все файлы превратились в иероглифы, в общем вирус не исчез. Что делать дальше?

Отключите временно встроенный антивирус ("Защитник") - у него ложное срабатывание на компоненты используемой далее программы.
Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

[erik51711]

Готово, файл прикрепил. Защитник у меня оказывается и так выключен.

[Vvvyg]

Но потом все файлы превратились в иероглифы, в общем вирус не исчез.

По образу нет червя, которого лечили, только ссылка на него осталась, удалим. Может, проблемы с флэшкой? Или подключаете к другому компьютеру, заражённому?

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.15.3v [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.1
v400c
deltmp
delref HTTP://SECUREDSEARCH.LAVASOFT.COM/?PR=VMN&ID=WEBCOMPA&ENT=HP_WCYID10420__191227
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\CLOVER\CLOVER.LNK
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\CLOVER.LNK
del %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\CLOVER.LNK
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\CLOVER\卸载.LNK
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\CLOVER\在线升级.LNK
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\CLOVER\文件夹关联设置.LNK
delref {23E5D772-327A-42F5-BDEE-C65C6796BB2A}\[CLSID]
delref {177AFECE-9599-46CF-90D7-68EC9EEB27B4}\[CLSID]
delref {CEF51277-5358-477B-858C-4E14F0C80BF7}\[CLSID]
delref {59116E30-02BD-4B84-BA1E-5D77E809B1A2}\[CLSID]
delref %SystemDrive%\PROGRAMDATA\{A6373591-B36F-8838-C866-9DD9E29E732A}\0B88E50E.EXE
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref {D27CDB6E-AE6D-11CF-96B8-444553540000}\[CLSID]
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\ORBITUM\APPLICATION\ORBITUM.EXE
delref {1FBA04EE-3024-11D2-8F1F-0000F87ABD16}\[CLSID]
delref %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\NERO\NEROSHELLEXT\NEROSHELLEXT.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\CLOVER\CLOVER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\CLOVER\UNINST.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\CLOVER\SOFTUPD.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\CLOVER\CLOVERASS.EXE
apply
restart

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

[erik51711]

По образу нет червя, которого лечили, только ссылка на него осталась, удалим. Может, проблемы с флэшкой? Или подключаете к другому компьютеру, заражённому?

Флешку я никуда не вставлял, кроме этого своего ПК, да и другие пока не вставляю пока не пролечу данный ПК.
А команду в uVS выполнил. Что сделать дальше?