Используется много оперативной памяти, скачет загрузка CPU.

[Симеон Семёнов]

Столкнулся с уймой троянов, руткитов, левых поисковиков и прочей гадостью. Вычистив большую часть вручную и через total uninstall, обнаружил, что компьютер стал жрать многовато ресурсов: 1.5-2 гигабайта оперативной памяти сразу после запуска системы, а загрузка CPU скачет процентов на 20, если ничего не происходит, а если что-то запустить, то доходит и до 80-90.
Посмотрев данные process explorer, заметил что ресурсы, в основном, уходят на svchost, но я их проверил: они свои и не запущены от юзера. AVZ намекает, что что-то все-таки сидит в svchost. Что это? Биткойн майнер? А то я не думаю, что какой-то еще дряни нужно столько ресурсов.

[Info_bot]

Уважаемый(ая) Симеон Семёнов, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Program Files (x86)\Ge-Force\Ge-Force-codedownloader.exe','');
 QuarantineFile('C:\Program Files (x86)\Sense\e9fb74db-6d54-483c-b8da-fd56e72101e6-4.exe','');
 QuarantineFile('C:\Users\Владимир\AppData\Roaming\OAIXGJWQ.exe','');
 QuarantineFile('C:\Users\Владимир\AppData\Roaming\Steam\Reversed\steam.exe','');
 DeleteFile('C:\Users\Владимир\AppData\Roaming\Steam\Reversed\steam.exe','32');
 DeleteFile('C:\Users\Владимир\AppData\Roaming\OAIXGJWQ.exe','32');
 DeleteFile('C:\Program Files (x86)\Sense\e9fb74db-6d54-483c-b8da-fd56e72101e6-4.exe','32');
 DeleteFile('C:\Program Files (x86)\Ge-Force\Ge-Force-codedownloader.exe','32');
 DeleteFile('C:\Windows\Tasks\2ad41213-476b-46cc-b564-dd5d936346b0-1.job','64');
 DeleteFile('C:\Windows\Tasks\e9fb74db-6d54-483c-b8da-fd56e72101e6-4.job','64');
 DeleteFile('C:\Windows\Tasks\OAIXGJWQ.job','64');
 DeleteFile('C:\Windows\system32\Tasks\Steam-S-1-8-22-9865GUI','64');
DeleteFileMask('C:\Program Files (x86)\Ge-Force', '*', true);
DeleteDirectory('C:\Program Files (x86)\Ge-Force');
DeleteFileMask('C:\Program Files (x86)\Sense', '*', true);
DeleteDirectory('C:\Program Files (x86)\Sense');
DeleteFileMask('C:\Users\Владимир\AppData\Roaming\Steam\Reversed', '*', true);
DeleteDirectory('C:\Users\Владимир\AppData\Roaming\Steam\Reversed');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[Симеон Семёнов]

Сделайте новые логи.

Вот вторая пачка логов.

- - - - -Добавлено - - - - -

Я что, с логами облажался? Нужно было заменять дефолтные настройки AVZ, касающиеся работы с HackTool и RiskWare?

- - - - -Добавлено - - - - -

Серьезно, товарищи, я уже сильно нервничаю. Может, карантин заново прислать?

[thyrex]

Поместите в карантин МВАМ всё, кроме

HackTool.Wpakill, C:\Users\???»?°????????N?\Downloads\removewat.2.2.5\removewat.2.2.5\RemoveWAT.2.2.5.Hazar.carter67\RemoveWAT.exe, , [88e34bf3ceae75c1dac30c59ac5430d0], 
Riskware.Tool.CK, C:\??N???????\???»N? windows 7\w7lxe_3010_ru_ru.exe, , [5a112e1086f6cd696a187a6a93717f81], 
PUP.OperaPasswordTool, D:\OperaPassView.exe, , [d992c07e1d5f81b5fc0afd63d035c040], 
PUP.Optional.OpenCandy, E:\MediaInfo_GUI_0.7.50_Windows_x64.exe, , [8ddee757463682b423347cfa768f1be5], 
PUP.HackTool.LOIC, E:\ddos.zip, , [1c4f3fff57254aecbb7df86b639db64a], 
HackTool.GamesCheat, E:\MANIA\?????????»???µ????N? N?N??°?»???µN??°\Stalker.rar, , [284392ac2854c5718535aeb52fd6718f], 
Trojan.VirTool, H:\Program Files (x86)\GMT-MAX.ORG\The Walking Dead\steam_api.dll, , [ec7f68d69fdd52e4eefe6b1e49b93ec2], 
Trojan.VirTool, H:\Program Files (x86)\King's Bounty.Warriors Of The North.v 1.3.1.6250u1 + 1 DLC\steam_api.dll, , [cf9c1925d4a8cc6a608c860311f1b848], 
Malware.Gen.SKR, H:\R.G. Catalyst\Sleeping Dogs\buddha.dll, , [7fec90aed4a8ff3741b010b2f60a50b0], 
Malware.Gen.SKR, H:\Sleeping Dogs\buddha.dll, , [1e4dac921e5e41f549a87b47ad5318e8],

[Симеон Семёнов]

Раз вся эта дрянь находится только на C, то и сканировать для последующей добавки в карантин тоже только его? Я сомневаюсь, что перенесу еще один семичасовой процесс сканирования всего.

[thyrex]

Да, можете отметить только диск С

[Симеон Семёнов]

Ну, в карантин МВАМ я все это добавил, потом оттуда удалил. Но AVZ все еще говорит, что функции .dll библиотек перехватываются. Поэтому очередная пачка логов (на utorrent не обращайте внимания, это свежий с оффсайта).

[thyrex]

Но AVZ все еще говорит, что функции .dll библиотек перехватываются

Это нормальные записи

Выполните скрипт в AVZ

begin
DeleteService('SPDRIVER_1.37.0.1409');
 DeleteFile('C:\Program Files (x86)\ShopperPro\JSDriver\1.37.0.1409\jsdrv.sys','32');
 DeleteFile('C:\Program Files (x86)\VPets\VPets.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\VPetsPlayer','command');
DeleteFileMask('C:\Program Files\VPets', '*', true);
DeleteDirectory('C:\Program Files (x86)\VPets');
DeleteFileMask('C:\Program Files (x86)', '*', true);
DeleteDirectory('C:\VPets');
DeleteFileMask('D:\VPets', '*', true);
DeleteDirectory('D:\VPets');
ExecuteSysClean;
RebootWindows(false);
end.

Компьютер перезагрузится.

Сделайте новые логи

Сделайте логи RSIT

[Симеон Семёнов]

Вы бы хоть предупредили, что этот скрипт почти всю папку Program Files (x86) потрет. Ладно, вот еще логи.

[thyrex]

Извините, пожалуйста, это моя оплошность при правке скрипта

Восстановили содержимое папки?

[Симеон Семёнов]

Нет, думал что так и задумывалось. Хотя нужно было раньше написать, когда AVZ завис при выполнении скрипта. Раз я туда malwarebytes переустановил, то всякие программы для восстановления стертого не сработают? Ладно, ничего страшного, наверное, важные программы переустановлю потом. Что дальше-то делать?

[thyrex]

всякие программы для восстановления стертого не сработают?

Что-то я думаю, можно восстановить будет

Что с загрузкой процессора?

[Симеон Семёнов]

Загрузка процессора скачет, ~2.5 гигабайта оперативки при одном IE используются.

[thyrex]

Майнер у Вас был, но его удалили еще первым скриптом. Затем основательно почистили мусор от Adware с помощью МВАМ. Странно, что это не помогло...

[Симеон Семёнов]

AVZ ведь все еще выдает предупреждения о том, что драйвер не загружается при "поиске перехватчиков API работающих в KernelMode" и "проверке обработчиков IRP".

[thyrex]

Это нормальные записи в логе

[Симеон Семёнов]

Записи, может, и нормальные, но компьютер все еще ведет себя ненормально. Что делать дальше-то?

[thyrex]

Отключение антивируса тоже не помогает?

[Симеон Семёнов]

Так нет ведь теперь у меня никаких антивирусов кроме MBAM, которого в автозагрузке нет.