KMS активатор Вирус

[bfg]

Здравствуйте, после активировации Виндовс ,воспользовавшись kms activator, Malwarebytes постоянно ругается на вирус (snxixaqsteid.exe)и его нельзя удалить ,антивирус постоянно кидает его в карантин и он снова появляется,помогите пожалуйста решить проблему.

[Info_bot]

Уважаемый(ая) bfg, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 DeleteFile('C:\ProgramData\dcxegsjhaybk\snxixaqsteid.exe', '64');
 DeleteService('ARWHVFRJ');
 DeleteFileMask('c:\programdata\dcxegsjhaybk', '*', true);
 DeleteDirectory('c:\programdata\dcxegsjhaybk');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 DeleteSchedulerTask('ASUS\P508PowerAgent_sdk');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[bfg]

Результаты скана

[Vvvyg]

Есть ощущение, что KMS активатор и восстанавливает майнер. Посмотрим.

Выделите и скопируйте в буфер обмена следующий код:

Start::
(Microsoft Windows -> Microsoft Corporation) C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
(Parallels International GmbH -> ) [Файл не подписан] C:\ProgramData\dcxegsjhaybk\snxixaqsteid.exe
CloseProcesses:
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
S2 ARWHVFRJ; C:\ProgramData\dcxegsjhaybk\snxixaqsteid.exe [5268288 2024-07-31] (Parallels International GmbH -> ) [Файл не подписан] <==== ВНИМАНИЕ
2024-07-31 10:29 - 2024-07-31 10:29 - 000000000 ____D C:\ProgramData\dcxegsjhaybk
FirewallRules: [{943A0296-51F5-4B92-87E8-45E39B0ED6E0}] => (Allow) D:\program files\asus\aacambienthal\aacambientlighting.exe => Нет файла
File: C:\ProgramData\Auto\KMSAuto.exe
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
Reboot:
End::

Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен.

Отключите временно встроенный антивирус ("Защитник") - у него ложное срабатывание на компоненты используемой далее программы.
Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

[bfg]

Результаты

[Vvvyg]

Вроде избавились.

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.99.0v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv11.0
v400c

sreg

delref WD_EXCLUSION:\.EXE
delref %SystemDrive%\PROGRAMDATA
delref %Sys32%\CONFIG\SYSTEMPROFILE
apply

areg
deltmp
restart

Запустите файл start_x64.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

[bfg]

Результат скан-лог

[Vvvyg]

Сделайте для контроля новые логи Farbar Recovery Scan Tool.

[bfg]

Сделал

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:

Start::
StartPowerShell:
Remove-MpPreference -ExclusionExtension ".exe"
EndPowerShell:
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

[bfg]

fixlog

[Vvvyg]

Порядок.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.

[bfg]

Порядок.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.

Проблема решена ,благодарю Вас за помощь, отписал в ЛС