Поймал вирус PDM:Trojan.Win32.Bazon.a

[CJIABA]

4.10.2020 числа где то в 23:45 попытался установить фото шоп но установка отменилать и полетела куча майнеров kaspersky total security их тока и успевал удалять потом как он их удалил он попросил перезагрузить комп

после перезагрузки он пишет в центре уведомлений ОбнаруженоDM:Trojan.Win32.Bazon.a
Объект: C:\ProgramData\RealtekHD\taskhost.exe
и не может его удалить, пробовал найти папку RealtekHD но такой папки нет,после этого в системе ещё поевлялать 3-4 раза майнеры потом перестали думал всё, но потом начел глючить браузер и обновлятся страницы после очень сильно за тормозил комп и завис, пришлось перезапускать с зажатием кнопке, вот сижу и боюсь что будит дальше! прошу по могите! Ато меня уже тресёт(

[Info_bot]

Уважаемый(ая) CJIABA, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Запустите HijackThis, расположенный в папке Autologger (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора))и пофиксите только эти строки:

O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [10] = Cezurity_Scanner_Pro_Free.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [11] = Cube.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [1] = eav_trial_rus.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [2] = avast_free_antivirus_setup_online.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [3] = eis_trial_rus.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [4] = essf_trial_rus.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [5] = hitmanpro_x64.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [6] = ESETOnlineScanner_UKR.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [7] = ESETOnlineScanner_RUS.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [8] = HitmanPro.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [9] = 360TS_Setup_Mini.exe (disabled)
O7 - Taskbar policy: HKCU\..\Policies\Explorer: [DisallowRun] = 1

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[CJIABA]

вот зделал

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
HKLM-x32\...\Run: [EasySettingBox] => [X]
HKU\S-1-5-21-3319329042-1319294570-1033963769-1001\...\MountPoints2: {3be26bbe-0686-11eb-9030-04d9f5f53173} - "F:\laucher.exe" 
HKU\S-1-5-21-3319329042-1319294570-1033963769-1001\...\MountPoints2: {c8fc9cc6-3bbf-11ea-900e-04d9f5f53173} - "F:\laucher.exe" 
2020-10-04 23:57 - 2020-10-05 22:11 - 000000000 __SHD C:\ProgramData\Doctor Web
2020-10-04 23:57 - 2020-10-05 03:35 - 000000000 __SHD C:\KVRT_Data
2020-10-04 23:57 - 2020-10-05 00:14 - 000000000 __SHD C:\ProgramData\WindowsTask
2020-10-04 23:57 - 2020-10-05 00:08 - 000000000 __SHD C:\ProgramData\Windows
2020-10-04 23:57 - 2020-10-05 00:08 - 000000000 ___HD C:\Program Files\RDP Wrapper
2020-10-04 23:57 - 2020-10-04 23:59 - 000000000 __SHD C:\ProgramData\RealtekHD
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\rdp
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\ProgramData\RunDLL
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\ProgramData\Norton
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\ProgramData\McAfee
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\ProgramData\install
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\ProgramData\grizzly
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\ProgramData\ESET
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\ProgramData\AVAST Software
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\ProgramData\360safe
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files\SpyHunter
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files\Malwarebytes
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files\ESET
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files\Enigma Software Group
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files\COMODO
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files\Common Files\McAfee
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files\Cezurity
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files\ByteFence
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files\AVG
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files\AVAST Software
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files (x86)\SpyHunter
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files (x86)\Panda Security
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files (x86)\Cezurity
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files (x86)\AVG
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\Program Files (x86)\360
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 __SHD C:\AdwCleaner
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 ____D C:\Windows\speechstracing
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 ____D C:\ProgramData\System32
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 ____D C:\ProgramData\MB3Install
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 ____D C:\ProgramData\Malwarebytes
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 ____D C:\ProgramData\Indus
2020-10-04 23:57 - 2020-10-04 23:57 - 000000000 ____D C:\ProgramData\Avira
2020-10-04 23:56 - 2020-10-04 23:59 - 000000000 __SHD C:\ProgramData\Setup
Unlock: C:\ProgramData\Kaspersky Lab
Unlock: C:\ProgramData\Kaspersky Lab Setup Files
Unlock: C:\Program Files\Kaspersky Lab
CMD: attrib -R -S -H /D "C:\ProgramData\Kaspersky Lab"
CMD: attrib -R -S -H /D "C:\ProgramData\Kaspersky Lab Setup Files"
CMD: attrib -R -S -H /S "C:\Program Files\Kaspersky Lab"
CMD: attrib -R -S -H /D /S "C:\ProgramData\Kaspersky Lab\*.*"
CMD: attrib -R -S -H /D /S "C:\ProgramData\Kaspersky Lab Setup Files\*.*"
CMD: attrib -R -S -H /D /S "C:\Program Files\Kaspersky Lab\*.*"
FirewallRules: [{F79A6148-D98C-47F4-81A2-9E6CB68E44BC}] => (Allow) C:\Program Files\Steam\Steam.exe => No File
FirewallRules: [{4FA5BDAF-3768-476E-8469-BC3886A0105A}] => (Allow) C:\Program Files\Steam\Steam.exe => No File
FirewallRules: [{EF38542E-74DA-47EA-9106-87191B68DA2A}] => (Allow) C:\Program Files\Steam\bin\cef\cef.win7x64\steamwebhelper.exe => No File
FirewallRules: [{B9E04C15-FA65-4A88-B68D-40213DF61848}] => (Allow) C:\Program Files\Steam\bin\cef\cef.win7x64\steamwebhelper.exe => No File
FirewallRules: [{B136872A-A256-4DD4-8612-26A9C33A448A}] => (Allow) D:\Steam Library\steamapps\common\7 Days To Die\7dLauncher.exe => No File
FirewallRules: [{2129D8B2-7F6E-41AF-984B-ACCC71A9902E}] => (Allow) D:\Steam Library\steamapps\common\7 Days To Die\7dLauncher.exe => No File
FirewallRules: [{759C3843-ABD3-4B29-B248-042377182075}] => (Block) LPort=445
FirewallRules: [{35244ED2-1A2D-445A-93D6-B74680F9F0BF}] => (Block) LPort=445
FirewallRules: [{B4AB2D1F-C30D-4B05-B011-2FDB51C9BCBF}] => (Block) LPort=139
FirewallRules: [{5221ECBA-A605-4463-A77B-37611DC25AFF}] => (Block) LPort=139
FirewallRules: [{65432B1E-35AD-4E4F-8C49-F8340C32F375}] => (Allow) LPort=3389
FirewallRules: [{7CEDEA66-CADD-4F30-8DEA-566C088990EB}] => (Allow) LPort=3389
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[CJIABA]

сделан, и после создание Fixlog.txt перезагрузился сам комп это норм?

[Vvvyg]

и после создание Fixlog.txt перезагрузился сам комп это норм?

Как и предупреждал выше:

Компьютер будет перезагружен автоматически.

Последствия вируса устранены.Какие-то проблемы остались?

[CJIABA]

внешних каких то изменений не видно но касперский по прежнему пишет что обнаружен PDM:Trojan.Win32.Bazon.a и не может удалить его

[Vvvyg]

В каком файле? Скриншот, чтобы видно было, приложите.

[CJIABA]

вот скрины касперского и скрин папки где типа этот вирус, вы уш простите я в этом не чего не понимаю, если нужны ещё какието скриншоты вы говорити что имено мне скринщотить и где

[Vvvyg]

Судя по Fixlog.txt папка с вирусом удалена:

C:\ProgramData\RealtekHD => moved successfully

Может, поэтому, антивирус и не может удалить?
За какое число последнее такое уведомление? Посмотрите в журнале Kaspersky Total Security. И сделайте проверку антивирусом: правой кнопкой мыши по папке C:\ProgramData и в контекстном меню соответствующий пункт.

[Sandor]

Очистите содержимое отчётов антивируса и проверьте ещё раз.

[CJIABA]

проверил C:\ProgramData и каспер что то удалил, и по прежнему жалуется на то что обнаруженPDM:Trojan.Win32.Bazon.a
ниже вставил отчёт о его действиях надеюсь сделал правильно

- - - - -Добавлено - - - - -

во после Очистите содержимое отчётов но стал зелёненьким

[Sandor]

Удалите старые и соберите новые логи FRST.

[CJIABA]

сделал

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
2020-10-04 23:57 - 2020-10-07 10:12 - 000000000 __SHD C:\ProgramData\Windows
CMD: net user john /DELETE
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Предупреждения антивируса должны прекратиться.

Удалите Java(TM) 8 Update 45 (64-bit), это устаревшая версия со множеством критических уязвимостей.
Если Java вообще нужна для каких- либо приложений, игр (и Вы точно знаете, для каких именно) - установите текущий билд Java 8.
Учтите, что 64-bit версия Java нужна только для очень ограниченного круга приложений.

Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[CJIABA]

сделал

[Vvvyg]

Ещё немного помучится придётся, такой код скопируйте и "Fix" в FRST:

Start::
Unlock: C:\ProgramData\Windows
Folder: C:\ProgramData\Windows
CMD: rmdir /S /Q C:\ProgramData\Windows
End::

И новый Fixlog.txt прикрепите.

[CJIABA]

сделал, и минут где то 20 назад раза 2-3 мигнул дисплей и сам резка перезапустился комп, могу попробовать найти этот момент в протоколах события в AIDA64 если нада?

[Vvvyg]

Не надо. Антивирус не ругается больше?