После мин 10-20 игры либо работы начинает жестко тормозить компьютер [not-a-virus:RiskTool.Win64.BitCoinMiner.aqz ]

[Ромарио Павлов]

Добрый день!
После 10-20мин. работы, либо игры начинает жестко тормозить компьютер, в игре появляются жуткие лаги, проседает фпс, качество картинки падает, страницы браузера прокручиваются очень медленно. Ранее такого не наблюдалось. Система Windows 7 64bit.
Пожалуйста помогите!
Заранее спасибо.

[Info_bot]

Уважаемый(ая) Ромарио Павлов, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('C:\Users\Ромарио\AppData\Roaming\DarkSoulsIII\Realtek HD\rthdcpl.exe');
 QuarantineFileF('c:\users\ромарио\appdata\roaming\darksoulsiii\realtek hd', '*.exe', true, '', 0 , 0);
 QuarantineFileF('c:\programdata\microsoft\adobe\flash player\bc058291-d040-4f03-b947-921f4f6f4c53', '*', true, '', 0 , 0);
 QuarantineFileF('c:\programdata\krb updater utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\users\ромарио\appdata\local\systemdir', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFile('C:\Users\Ромарио\AppData\Roaming\DarkSoulsIII\Realtek HD\rthdcpl.exe', '');
 QuarantineFile('C:\Program Files\UBar\UbarDriver.sys', '');
 QuarantineFile('C:\ProgramData\Microsoft\Adobe\Flash Player\BC058291-D040-4F03-B947-921F4F6F4C53\DF930FAB-9606-48CC-A43E-BB91362BF411.exe', '');
 QuarantineFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe', '');
 QuarantineFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe', '');
 QuarantineFile('C:\Program Files (x86)\CiPlus-4.5vV18.08\1073e238-02db-4ecf-a9a0-9d114cc37ad3-7.exe', '');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe', '');
 QuarantineFile('C:\Users\Ромарио\AppData\Local\SystemDir\nethost.exe', '');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job', '64');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job', '64');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job', '64');
 DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job', '64');
 DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job', '64');
 DeleteFile('C:\Windows\Tasks\ReSWMnqZgDK6Xt9PSjRWCBH.job', '32');
 DeleteFile('C:\Windows\Tasks\X5QUlNiCz5F.job', '32');
 DeleteFile('C:\Users\Ромарио\AppData\Roaming\DarkSoulsIII\Realtek HD\rthdcpl.exe', '32');
 DeleteFile('C:\Program Files\UBar\UbarDriver.sys', '32');
 DeleteFile('C:\ProgramData\Microsoft\Adobe\Flash Player\BC058291-D040-4F03-B947-921F4F6F4C53\DF930FAB-9606-48CC-A43E-BB91362BF411.exe', '32');
 DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe', '32');
 DeleteFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe', '32');
 DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV18.08\1073e238-02db-4ecf-a9a0-9d114cc37ad3-7.exe', '32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe', '32');
 DeleteFile('C:\Users\Ромарио\AppData\Local\SystemDir\nethost.exe', '32');
 DeleteService('UbarCalloutDriver');
 DeleteFileMask('c:\users\ромарио\appdata\roaming\darksoulsiii\realtek hd', '*', true);
 DeleteFileMask('c:\program files\ubar', '*', true);
 DeleteFileMask('c:\program files (x86)\anyprotectex', '*', true);
 DeleteFileMask('c:\program files (x86)\globalupdate', '*', true);
 DeleteFileMask('c:\program files (x86)\ciplus-4.5vv18.08', '*', true);
 DeleteFileMask('c:\programdata\krb updater utility', '*', true);
 DeleteFileMask('c:\users\ромарио\appdata\local\systemdir', '*', true);
 DeleteDirectory('c:\users\ромарио\appdata\roaming\darksoulsiii\realtek hd');
 DeleteDirectory('c:\program files\ubar');
 DeleteDirectory('c:\program files (x86)\anyprotectex');
 DeleteDirectory('c:\program files (x86)\globalupdate');
 DeleteDirectory('c:\program files (x86)\ciplus-4.5vv18.08');
 DeleteDirectory('c:\programdata\krb updater utility');
 DeleteDirectory('c:\users\ромарио\appdata\local\systemdir');
 ExecuteFile('schtasks.exe', '/delete /TN "1073e238-02db-4ecf-a9a0-9d114cc37ad3-7" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "APSnotifierPP1" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "APSnotifierPP2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "globalUpdateUpdateTaskMachineCore" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "globalUpdateUpdateTaskMachineUA" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "KRB Updater Utility" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\BC058291-D040-4F03-B947-921F4F6F4C53" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "nethost task" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Realtek HD Audio" /F', 0, 15000, true);
 ExecuteFile('ipconfig.exe', '/flushdns', 0, 15000, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'BC058291-D040-4F03-B947-921F4F6F4C53');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
 ExecuteRepair(21);
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[Ромарио Павлов]

Вот необходимые файлы.

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Hosts:
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.mystartsearch.com/?type=hp&ts=1439917444&z=f3fb2f8de00871aa513d2d7g6z1c9tct7g8m5c5zfm&from=cmi&uid=HitachiXHDS721010CLA330_JP2940N10DBRYV0DBRYVX
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.mystartsearch.com/web/?type=ds&ts=1439917444&z=f3fb2f8de00871aa513d2d7g6z1c9tct7g8m5c5zfm&from=cmi&uid=HitachiXHDS721010CLA330_JP2940N10DBRYV0DBRYVX&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.mystartsearch.com/?type=hp&ts=1439917444&z=f3fb2f8de00871aa513d2d7g6z1c9tct7g8m5c5zfm&from=cmi&uid=HitachiXHDS721010CLA330_JP2940N10DBRYV0DBRYVX
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.mystartsearch.com/web/?type=ds&ts=1439917444&z=f3fb2f8de00871aa513d2d7g6z1c9tct7g8m5c5zfm&from=cmi&uid=HitachiXHDS721010CLA330_JP2940N10DBRYV0DBRYVX&q={searchTerms}
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.mystartsearch.com/web/?type=ds&ts=1439917444&z=f3fb2f8de00871aa513d2d7g6z1c9tct7g8m5c5zfm&from=cmi&uid=HitachiXHDS721010CLA330_JP2940N10DBRYV0DBRYVX&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.mystartsearch.com/web/?type=ds&ts=1439917444&z=f3fb2f8de00871aa513d2d7g6z1c9tct7g8m5c5zfm&from=cmi&uid=HitachiXHDS721010CLA330_JP2940N10DBRYV0DBRYVX&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.mystartsearch.com/web/?type=ds&ts=1439917444&z=f3fb2f8de00871aa513d2d7g6z1c9tct7g8m5c5zfm&from=cmi&uid=HitachiXHDS721010CLA330_JP2940N10DBRYV0DBRYVX&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1347854771-1580321913-1029795975-1000 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.mystartsearch.com/web/?type=ds&ts=1439917444&z=f3fb2f8de00871aa513d2d7g6z1c9tct7g8m5c5zfm&from=cmi&uid=HitachiXHDS721010CLA330_JP2940N10DBRYV0DBRYVX&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.mystartsearch.com/?type=sc&ts=1439917444&z=f3fb2f8de00871aa513d2d7g6z1c9tct7g8m5c5zfm&from=cmi&uid=HitachiXHDS721010CLA330_JP2940N10DBRYV0DBRYVX
CHR HKLM-x32\...\Chrome\Extension: [bgbgnhmfbcifpkjofoojfplmfkmaiadn] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [nbifdkmdojgmpmopdebnjcobekgdoncn] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (Smart Browser™) - C:\Users\Ромарио\AppData\Roaming\Opera Software\Opera Stable\Extensions\nlipoenfbbikpbjkfpfillcgkoblgpmj [2015-08-29]
2016-05-12 23:01 - 2016-05-12 23:03 - 00000000 ____D C:\Program Files (x86)\GUM685.tmp
2015-04-19 15:20 - 2015-04-19 15:20 - 0005872 _____ () C:\Users\Ромарио\AppData\Roaming\ReSWMnqZgDK6Xt9PSjRWCBH
2015-08-23 21:52 - 2015-09-06 16:07 - 0000000 _____ () C:\Users\Ромарио\AppData\Roaming\smw_inst
2015-04-19 15:20 - 2015-04-19 15:20 - 0005872 _____ () C:\Users\Ромарио\AppData\Roaming\X5QUlNiCz5F
2015-08-18 20:08 - 2015-08-18 20:08 - 0613255 _____ (CMI Limited) C:\Users\Ромарио\AppData\Local\nsaD99E.tmp
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [282]
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [278]
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, какие настройки DNS в роутере.

[Ромарио Павлов]

После применения скрипта и Farbar Recovery Scan Tool, двумя постами выше, проблема исчезла. Спасибо!

[Vvvyg]

Fixlog.txt прицепите, для порядка.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\ромарио\appdata\roaming\darksoulsiii\real tek hd\rthdcpl.exe - not-a-virus:RiskTool.Win64.BitCoinMiner.aqz