Помогите удалить майнер окончательно

[bambuker]

Здравствуйте. Заметил работу майнера 16 декабря 2025 до сих пор не могу удалить, проводил различные манипуляции, но вчера вечером и сегодня утром проблема вернулась.

Как выглядит майнер: При открытии диспетчера задач, он прячется, пришлось переименовывать process explorer. Как легитимный cmd.exe с подменой кода. Жрёт 20% cpu нагружая 6 ядер, в соединениях есть какой-то vps 3 снаружи и подключение к docker internal desktop на моей машине. В потоках куча ucrtbase.dll!wcsrchr+0x120

Скрины майнера:
Screenshot 2025-12-21 101610.jpg Screenshot 2025-12-21 101636.jpg


Триггеры майнера: вчера запустился при 1.5 часа неактивности мыши/клавиатуры, сегодня при запуске системы, обычно при запуске системы. Если убивать, или приостанавливать или перезапускать процесс майнера, то он заново не создаётся те опять ждёт перезагрузку



какие проводил действия хронологически:
1. запускал Dr.Web CureIt! он что-то находил, но не помогло. Он удалил какие-то записи из hosts. Сейчас этой файл так выглядит

2. MinerSearch от BlendLog Screenshot 2025-12-16 233624.jpg просто сбрасывает этот процесс майнера. В firewall добавлял адрес vps-а откуда идёт соединение cmd процесса в блок, но после перезагрузки просто идёт соединение к другому адресу.

3. так же запускал Dr.Web CureIt! из безопасного режима
4. и так же запускал Kaspersky Rescue Disk Над системой с флешки один из процессов был Miner на 1 день проблема ушла, думал всё.

5. 19 числа ничего не было, 20 декабря после 1.5 часа не активности за пк(не двигал мышкой, другие программы были запущены) процесс cmd.exe с внедренным кодом опять запустился. Я запустил AVZ, он ничего не нашел, удалил docker desktop. Пытался удалить пермишоны у непонятного пользователя

6. Autoruns показал что в WMI пусто и в это время ничего не запускалось.






7. В сервисах и в запланированных задачах нет ничего, чтобы вызывало cmd




Вот список всех запущенных процессов 20 декабря. майнер запустился в 22 часа 34 минуты

8. но сегодня после перезагрузки он решил сразу запуститься И ВСЁ равно в соединениях процесса указан докер(первые скрины выше на сегодняшний день)

Система: Windows 11x64 25h2, антивирус Microsoft Defender всегда включён

Подскажите, что можно еще сделать? Я вроде попробовал всё кроме переустановки Windows 11. Спасибо

Прикладываю лог Autologger-а. Я его запускал, во время работы майнер процесса.

[Info_bot]

Уважаемый(ая) bambuker, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
 QuarantineFile('C:\Users\1.3\AppData\Local\syscacheapp\cacheapp64.exe', '');
 QuarantineFile('C:\WINDOWS\SYSTEM32\start', '');
 DeleteFile('C:\Users\1.3\AppData\Local\syscacheapp\cacheapp64.exe', '32');
 DeleteFile('C:\Users\1.3\AppData\Local\syscacheapp\cacheapp64.exe', '64');
 DeleteFile('C:\WINDOWS\SYSTEM32\start', '64');
 DeleteFileMask('C:\Users\1.3\AppData\Local\syscacheapp', '*', true);
 DeleteDirectory('C:\Users\1.3\AppData\Local\syscacheapp');
 DeleteSchedulerTask('Microsoft\Windows\PushToInstall\LoginCheck');
 DeleteSchedulerTask('Microsoft\Windows\PushToInstall\Registration');
 DeleteSchedulerTask('Microsoft\Windows\Time Synchronization\SynchronizeTime');
 DeleteSchedulerTask('Microsoft\Windows\WindowsUpdate\Scheduled Start');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, упакуйте его в архив с паролем, выложите на файлообменник или в облако и дайте ссылку с паролем в личном сообщении.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[bambuker]

Сегодня запустил компьютер — майнер опять запустился при старте Windows. Вчера тестировал: 2 часа не трогал мышь ПК, майнер не включался.

Выполнил скрипт. После скрипта и перезагрузки майнер пока не заработал. При выполнении скрипта закрывал только браузер; процесс с майнером в момент запуска скрипта работал. Не знаю, плохо ли это, но решил уточнить.

Ссылку на quarantine.zip с паролем скинул вам в личные сообщения. Прикладываю архив с FRST.txt и Addition.txt. Пароль такой же, как на quarantine.zip. Спасибо

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
HKU\S-1-5-21-660534900-1789601169-753101859-1001\...\Run: [pCloud] => [X]
HKU\S-1-5-21-660534900-1789601169-753101859-1001\...\Winlogon: [Shell] C:\WINDOWS\Explorer.exe [3191352 2025-12-16] (Microsoft Windows -> Microsoft Corporation) <==== ATTENTION
Task: {B632A1A9-B43A-409F-8E0C-1ABCC7DFFFD2} - System32\Tasks\GPU-Z => C:\Users\1.3\Desktop\GPU-Z.2.24.0.exe  (No File)
2025-12-22 09:00 - 2024-12-29 17:57 - 000000432 _____ C:\WINDOWS\SysWOW64\winsevr.dat
CustomCLSID: HKU\S-1-5-21-660534900-1789601169-753101859-1001_Classes\CLSID\{2B72BD98-421B-4411-BED3-46F583C97B8E}\InprocServer32 -> C:\Program Files\Duplicate Photo Cleaner 7\DuplicatePhotoCleaner.exe => No File
CustomCLSID: HKU\S-1-5-21-660534900-1789601169-753101859-1001_Classes\CLSID\{5e872bf1-7554-ab71-91d8-0ee1102bb1e6}\localserver32 -> "C:\Program Files\HandBrake Nightly\HandBrake.exe" -ToastActivated => No File
CustomCLSID: HKU\S-1-5-21-660534900-1789601169-753101859-1001_Classes\CLSID\{6923906F-A8B2-4DE1-B9F8-55164023A574}\localserver32 -> "C:\Users\1.3\AppData\Local\Vivaldi\Application\5.6.2867.58\notification_helper.exe" => No File
CustomCLSID: HKU\S-1-5-21-660534900-1789601169-753101859-1001_Classes\CLSID\{84ba324a-4a50-4b2c-98fe-a7a5f10939ac}\InprocServer32 -> C:\Program Files\LibreWolf\notificationserver.dll => No File
CustomCLSID: HKU\S-1-5-21-660534900-1789601169-753101859-1001_Classes\CLSID\{d936918b-9c4b-555e-074a-c79314be04e1}\localserver32 -> "C:\Program Files (x86)\Proton Technologies\ProtonVPN\ProtonVPN.exe" -ToastActivated => No File
FirewallRules: [{282E32B6-7EC2-4650-B0C4-07FEE5618987}] => (Allow) C:\program files (x86)\common files\tencent\qqdownload\135\bugreport_xf.exe => No File
FirewallRules: [{CA2654E8-2158-462B-A2AC-430C5B92A961}] => (Allow) C:\Program Files (x86)\Tencent\QQ\Bin\maUpdat.exe => No File
FirewallRules: [{B1DE15AA-139A-40BA-B4BF-00B8EEDEA1CD}] => (Allow) C:\Program Files (x86)\Tencent\QQ\Bin\maLauncher.exe => No File
FirewallRules: [{62F9C400-11FA-4648-B520-F8A91AAE03F2}] => (Allow) C:\Program Files (x86)\Tencent\QQ\Bin\SetupEx\SetupEx.exe => No File
FirewallRules: [{26FC3F19-49F0-4E83-9C31-4180AD27F174}] => (Allow) C:\Program Files (x86)\Tencent\QQ\Bin\txupd.exe => No File
FirewallRules: [{5515AD7A-05EC-496D-80A5-3515C9C697F4}] => (Allow) C:\Program Files (x86)\Tencent\QQ\Bin\auclt.exe => No File
FirewallRules: [{A664BF4B-3271-489D-9290-A4BB5798848A}] => (Allow) C:\Program Files (x86)\Tencent\QQ\Bin\QQ.exe => No File
FirewallRules: [{CEFF9DDC-C692-49B1-870E-C0CF5DD215C5}] => (Allow) C:\Program Files (x86)\EaseUS\EaseUS Video Editor\EaseUS Video Editor.exe => No File
FirewallRules: [{A73E40AC-9CC4-4C8D-8FDF-0D10F9D801A9}] => (Allow) C:\Program Files (x86)\EaseUS\EaseUS Video Editor\EaseUS Video Editor.exe => No File
FirewallRules: [{7E98C7F5-EEB4-4483-BFFA-BC17266555F3}] => (Allow) C:\Program Files (x86)\GOG Galaxy\GalaxyClient.exe => No File
FirewallRules: [{CBEF77EC-7F76-4222-BDBE-7BBEE60B9C4C}] => (Allow) C:\Program Files (x86)\GOG Galaxy\GalaxyClient.exe => No File
FirewallRules: [{9630D568-0023-4FA1-92F9-35DF0B604CE1}] => (Allow) C:\Program Files (x86)\GOG Galaxy\GalaxyClient.exe => No File
FirewallRules: [{CCCC5F15-D473-412D-AC02-33C7241A7476}] => (Allow) C:\Program Files (x86)\GOG Galaxy\GalaxyClient.exe => No File
FirewallRules: [{46DA2146-D774-410B-8A27-EFA66F7391FC}] => (Allow) C:\Users\1.3\AppData\Local\Temp\D5DF676B-659A-4CF6-B5F3-AD7736B38F6D\ga_service.exe => No File
FirewallRules: [{7B5DE08F-076C-4F2B-9F1D-D2D370B29937}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe => No File
FirewallRules: [{AABC74EB-1E66-4FBF-87F3-AC0AE1302988}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe => No File
FirewallRules: [{7CF54894-75F8-496C-A647-3620B07530BC}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7x64\steamwebhelper.exe => No File
FirewallRules: [{86A7B04E-3282-4EFE-992A-1DD8B75FEEB7}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7x64\steamwebhelper.exe => No File
FirewallRules: [TCP Query User{1B950E42-BC2A-478D-B024-7870727BDA02}C:\users\1.3\desktop\winbox.exe] => (Block) C:\users\1.3\desktop\winbox.exe => No File
FirewallRules: [UDP Query User{32A273BE-85F5-4FB4-997E-C4212B59A31C}C:\users\1.3\desktop\winbox.exe] => (Block) C:\users\1.3\desktop\winbox.exe => No File
FirewallRules: [TCP Query User{EB4FE1E3-D9F0-458F-9924-913747796F72}C:\open_broker_quik\winros.exe] => (Allow) C:\open_broker_quik\winros.exe => No File
FirewallRules: [UDP Query User{6FD08F33-158F-4BCC-905D-228A26042B6C}C:\open_broker_quik\winros.exe] => (Allow) C:\open_broker_quik\winros.exe => No File
FirewallRules: [TCP Query User{9C9525BE-1D80-4427-BFB8-A17C72B5C472}C:\sberbank\quik\winros.exe] => (Allow) C:\sberbank\quik\winros.exe => No File
FirewallRules: [UDP Query User{39B29A31-DFD6-4F23-8927-AA8DD70811A6}C:\sberbank\quik\winros.exe] => (Allow) C:\sberbank\quik\winros.exe => No File
FirewallRules: [TCP Query User{0F34A207-72DF-48D7-B61F-D9100D001803}C:\program files (x86)\crytek\cryengine launcher\crytek\neon_noir_ray_tracing_benchmark_2527\bin\win_x64_release\gamelauncher.exe] => (Block) C:\program files (x86)\crytek\cryengine launcher\crytek\neon_noir_ray_tracing_benchmark_2527\bin\win_x64_release\gamelauncher.exe => No File
FirewallRules: [UDP Query User{920D2A41-2ECA-43CF-8B6B-F8A4AD8A7AA9}C:\program files (x86)\crytek\cryengine launcher\crytek\neon_noir_ray_tracing_benchmark_2527\bin\win_x64_release\gamelauncher.exe] => (Block) C:\program files (x86)\crytek\cryengine launcher\crytek\neon_noir_ray_tracing_benchmark_2527\bin\win_x64_release\gamelauncher.exe => No File
FirewallRules: [{2CA1A47B-7E80-46B7-8D4A-284E2295C50F}] => (Allow) C:\Program Files (x86)\AOMEI\AOMEI Backupper\7.4.0\ABService.exe => No File
FirewallRules: [{9874CB81-AAF8-464E-AE9C-E246EA573051}] => (Allow) C:\Program Files (x86)\AOMEI\AOMEI Backupper\7.4.0\ABService.exe => No File
FirewallRules: [{660CDD7E-B2DA-401B-B76E-F637998B02CF}] => (Allow) C:0\P5XGOOGLE_EN\P5XLaunch\P5XGame.exe => No File
FirewallRules: [{A7C53605-7961-4BB0-86E1-AB149D2376B2}] => (Allow) C:0\P5XGOOGLE_EN\P5XLaunch\P5XGame.exe => No File
FirewallRules: [{1A959730-A42B-48D7-A406-CA021A710865}] => (Allow) C:0\P5XGOOGLE_EN\P5XLaunch\P5XUpdate.exe => No File
FirewallRules: [{3138672F-2AFF-4D04-8048-9C7C70E5F217}] => (Allow) C:0\P5XGOOGLE_EN\P5XLaunch\P5XUpdate.exe => No File
FirewallRules: [{D2F96A45-E614-4B1A-9226-364C7154D9D0}] => (Allow) C:0\P5XGOOGLE_EN\P5XLaunch\P5XBrowser.exe => No File
FirewallRules: [{9B98501D-1A02-4502-A41F-72625805E4A7}] => (Allow) C:0\P5XGOOGLE_EN\P5XLaunch\P5XBrowser.exe => No File
FirewallRules: [{91B06E22-FE95-4CA6-8280-52FFC3F833B4}] => (Allow) C:0\P5XGOOGLE_EN\P5XLaunch\P5XWebBooster.exe => No File
FirewallRules: [{12C2DF3E-6D04-46EE-87C7-049EA50A735A}] => (Allow) C:0\P5XGOOGLE_EN\P5XLaunch\P5XWebBooster.exe => No File
FirewallRules: [{3EEE3670-60D0-42DC-B8FA-3BF1C59ED6BD}] => (Allow) C:2\SteamLibrary\steamapps\common\ofAshAndSteel\ofAshAndSteelGame.exe => No File
FirewallRules: [{EFEF0D6A-333B-4482-82AB-84348934B7F4}] => (Allow) C:2\SteamLibrary\steamapps\common\ofAshAndSteel\ofAshAndSteelGame.exe => No File
FirewallRules: [{30FE60A4-8624-458A-9321-9AC6995C701C}] => (Allow) C:2\SteamLibrary\steamapps\common\Anno 117 - Pax Romana\Bin\Win64\Anno117.exe => No File
FirewallRules: [{5004E028-C928-4C56-B4C6-462C5BA7815F}] => (Allow) C:2\SteamLibrary\steamapps\common\Anno 117 - Pax Romana\Bin\Win64\Anno117.exe => No File
U\S-1-5-21-660534900-1789601169-753101859-1001\Software\Classes\.reg:  =>  <==== ATTENTION
HKU\S-1-5-21-660534900-1789601169-753101859-1001\Software\Classes\.bat:  =>  <==== ATTENTION
HKU\S-1-5-21-660534900-1789601169-753101859-1001\Software\Classes\.cmd:  =>  <==== ATTENTION
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Вставлять код никуда не нужно, программа возьмёт его из буфера обмена. Будет создан лог-файл (Fixlog.txt), прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен.

Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[bambuker]

Добавил Fixlog.txt и SecurityCheck.txt в один архив. Пароль тот же как в личном сообщении.

[Vvvyg]

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.

Opera GX Stable 124.0.5705.61 v.124.0.5705.61 Внимание! Скачать обновления
^Проверьте обновления через меню О программе!^
Google Chrome v.143.0.7499.147 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^

Обновите браузеры и на этом всё.

[bambuker]

Понял. Большое вам спасибо за решение проблемы и уделённое время