Нагрузка процессора. Майнер Win32/Qhost

[Nyamurai]

Доброго дня, столкнулся с майнером, который скрывался от диспетчера задач и закрывал все антивирусные/ремонтные сайты через прокси (я полагаю) и собственно, нагружал процессор до 80-90 градусов. Обнаружил совершенно случайно и с трудом удалось удалить, но есть подозрения, что это ещё не всё. Файл hosts я уже почистил.
Пожалуйста, помогите замести грязные следы оставленные вирусом, если таковые конечно есть. Я хочу быть уверен, что он уничтожен и такого больше не повторится.

P.S. Хотелось бы узнать ещё как удалить скрытую папку WindowsTask. Неприятно осознавать, что она у меня есть ещё. И да, скрытые файлы у меня видны, но этой папки нет вообще, однако перейти я могу в неё через адресную строку.

Свежий отчёт прилагается.

[Info_bot]

Уважаемый(ая) Nyamurai, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[SQ]

Здравствуйте,

У Вас похоже майнер который блокируют доступ к антивирусным продуктам.

Cкачайте, распакуйте и запустите AV block remover или сокращённо AVbr - это утилита, предназначенная для удаления конкретного майнера, в том числе блокирующего установку антвирусного софта и доступ на сайты AV компаний и форумов с лечением. Может применяться и в других случаях при похожих способах блокировки антивирусов.

Симптомы этого майнера: Вирус не дает возможность скачать антивирус, блокирует сайты, закрывает диспетчер задач и gpedit.msc, закрывает браузер при попытке найти или скачать cureit и др. антивирусные утилиты, "пропал" установленный антивирус.
Кстати, помимо майнинга и блокировки антивирусов этот вирус устанавливает RMS. Так что ваши данные тоже могли быть похищены.

Для использования утилиты необходимо:
Скачать утилиту и распаковать её в любое удобное для вас место.
После распаковки временно отключить антивирус (если он у вас есть), в том числе отключить Windows Defender. Если боитесь отключать антивирус, чтобы не скачало ещё больше вирусов, то дополнительно временно отключитесь от интернета.
Запустить файл AVbr.exe

В ходе работы утилиты рядом с этим файлом будет создана папка ..\AV_block_remover содержащая в том числе:
- AV_block_remove.log - лог работы утилиты.
- quarantine.zip - стандартный архив AVZ с карантином удалённых файлов.
- Backup - папка с резервной копией некоторых настроек, изменённых в ходе лечения.

Утилита удаляет сам майнер и его производные.
Снимает запреты на установку антивирусного ПО. В том числе удаляет папки от антивирусов если они пустые, а если не пустые, то восстанавливает на них стандартные права доступа.
Восстанавливает службу теневого копирования.
Если пользователь согласится, то удаляет учётную запись "John", которую создаёт майнер и которая не видна в Управлении учётными записями.
В зависимости от выбора пользователя сбрасывает к состоянию по умолчанию файл Hosts или открывает его для редактирования вручную.
Так как после утилиты всё равно могут оставаться некоторые следы от вируса, либо система может быть параллельно заражена и другим вирусом, то после лечения этой утилиты настоятельно рекомендуется создать тему в разделе лечения. Например в "Помощь в удалении вредоносного ПО" выполнив правила оформления запроса.

Утилита представляет собой оболочку со скриптом для запуска антивирусной утилиты от Олега Зайцева - AVZ. По своему принципу работы аналогична AutoLogger-у. И, точно также как и он, автоматически каждый день пересобирается на сервере.


После того как пролечитесь им соберите свежие логи по правилам.

[Nyamurai]

SQ, собственно вот логи. Если я что-то попутал - простите.

[SQ]

После того как пролечитесь им соберите свежие логи по правилам.

Где новые логи автологгера?

[Nyamurai]

Приношу свои извинения, я не правильно понял какие логи надо было скинуть. Вот.

[SQ]

Отлично, следов майнер в логах не видно.

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

[Nyamurai]

Сделано.

[SQ]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "SigCheckExt".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Nyamurai]

Вот.

[SQ]

• Закройте и сохраните все открытые приложения.
• Выделите следующий код::
  

  Start::
  CreateRestorePoint:
  CloseProcesses:
  CHR StartupUrls: Default -> "hxxp://www.trovi.com/?gd=&ctid=CT3322283&octid=EB_ORIGINAL_CTID&ISID=M5BC712B1-ABBD-4CED-962D-03C95DC6E3F5&SearchSource=55&CUI=&UM=5&UP=SP58AFC78D-80DC-496F-AE70-F2761DF3FD3D&SSPV=","fbdirecto.net/1/","hxxp://www.oursurfing.com/?type=hp&ts=1433224957&z=5a72af5ed9cac7ce6342aa1g5z0c6cfo5odzft8w0q&from=amt&uid=HitachiXHTS547575A9E384_J2190054D7T6YCD7T6YCX","hxxps://www.google.com/"
  Folder: C:\Users\HIdra\AppData\Local\TKHGKNXA
  File: C:\WINDOWS\SysWOW64\MafiaSetup.exe
  AlternateDataStreams: C:\Users\HIdra\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
  AlternateDataStreams: C:\Users\HIdra\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
  AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [492]
  FirewallRules: [UDP Query User{D8D7F0CF-175E-49DF-B200-46B5C5938C54}F:\steamlibrary\steamapps\common\doom\doomx64vk.exe] => (Allow) F:\steamlibrary\steamapps\common\doom\doomx64vk.exe => Нет файла
  FirewallRules: [TCP Query User{E331E9F9-F624-4798-BD80-163F47315C8E}F:\steamlibrary\steamapps\common\doom\doomx64vk.exe] => (Allow) F:\steamlibrary\steamapps\common\doom\doomx64vk.exe => Нет файла
  FirewallRules: [UDP Query User{2B80AE97-C04B-492A-8FCF-5E52D184E7C6}F:\папка винил\игры\polarstar\ghostrecon.exe] => (Block) F:\папка винил\игры\polarstar\ghostrecon.exe => Нет файла
  FirewallRules: [TCP Query User{3F453F6C-BB08-43B7-900A-D43CC2DD82A1}F:\папка винил\игры\polarstar\ghostrecon.exe] => (Block) F:\папка винил\игры\polarstar\ghostrecon.exe => Нет файла
  FirewallRules: [UDP Query User{67A42445-00E3-49C3-8D96-63AFA20C78DF}C:\program files\java\jre1.8.0_45\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_45\bin\javaw.exe => Нет файла
  FirewallRules: [TCP Query User{42647E6F-66D1-4C48-91D5-3027A0EB2A08}C:\program files\java\jre1.8.0_45\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_45\bin\javaw.exe => Нет файла
  FirewallRules: [UDP Query User{55075639-B733-4A15-BEB1-9B2732DD71AD}D:\steam\steamapps\common\for honor\forhonor.exe] => (Allow) D:\steam\steamapps\common\for honor\forhonor.exe => Нет файла
  FirewallRules: [TCP Query User{DF941D5F-6AA7-481A-823D-56EAD64CA8A8}D:\steam\steamapps\common\for honor\forhonor.exe] => (Allow) D:\steam\steamapps\common\for honor\forhonor.exe => Нет файла
  FirewallRules: [UDP Query User{B24CA3D1-F329-4D4A-BD74-19143896C75F}D:\steam\steamapps\common\insurgency2\insurgency_x64.exe] => (Allow) D:\steam\steamapps\common\insurgency2\insurgency_x64.exe => Нет файла
  FirewallRules: [TCP Query User{C40086BE-6845-4465-9687-DCB151F74E69}D:\steam\steamapps\common\insurgency2\insurgency_x64.exe] => (Allow) D:\steam\steamapps\common\insurgency2\insurgency_x64.exe => Нет файла
  FirewallRules: [UDP Query User{17D398E7-034F-4CB4-A11B-C0B74856B13C}D:\steam\steamapps\common\metro 2033\metro2033benchmark.exe] => (Block) D:\steam\steamapps\common\metro 2033\metro2033benchmark.exe => Нет файла
  FirewallRules: [TCP Query User{87B5D0D0-99F9-488B-984C-772706CEDD33}D:\steam\steamapps\common\metro 2033\metro2033benchmark.exe] => (Block) D:\steam\steamapps\common\metro 2033\metro2033benchmark.exe => Нет файла
  FirewallRules: [UDP Query User{3EB61A4A-3DAB-4E3B-8E00-C11012697FD3}D:\steam\steamapps\common\7 days to die\7daystodie.exe] => (Allow) D:\steam\steamapps\common\7 days to die\7daystodie.exe => Нет файла
  FirewallRules: [TCP Query User{18B1D2E9-5C7E-4BF9-BFFD-56233A0C3F34}D:\steam\steamapps\common\7 days to die\7daystodie.exe] => (Allow) D:\steam\steamapps\common\7 days to die\7daystodie.exe => Нет файла
  FirewallRules: [UDP Query User{4CD8A9A0-8CA3-4DD5-90CB-D067F8B60E22}D:\steam\steamapps\common\arma 3\arma3_x64.exe] => (Block) D:\steam\steamapps\common\arma 3\arma3_x64.exe => Нет файла
  FirewallRules: [TCP Query User{E9EECB97-EC8D-452B-928A-EFA4C38E6CB2}D:\steam\steamapps\common\arma 3\arma3_x64.exe] => (Block) D:\steam\steamapps\common\arma 3\arma3_x64.exe => Нет файла
  FirewallRules: [{651F4EBB-EAFA-42DE-ACB3-603866800A1B}] => (Allow) C:\Users\HIdra\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
  FirewallRules: [{40582217-AAF1-4F80-8EBF-D1F94B34CBE0}] => (Allow) C:\Users\HIdra\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
  FirewallRules: [TCP Query User{6798F650-8361-451A-9C58-9447047B51FD}D:\steam\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Allow) D:\steam\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe => Нет файла
  FirewallRules: [UDP Query User{BCE7CD7E-F47A-46FF-BD2E-15EE53330AB8}D:\steam\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Allow) D:\steam\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe => Нет файла
  FirewallRules: [TCP Query User{DA411061-B27D-4C06-BEA8-AC7EABBDD4F9}D:\games\fallout76\fallout76.exe] => (Allow) D:\games\fallout76\fallout76.exe => Нет файла
  FirewallRules: [UDP Query User{022884E7-F0C2-4209-BD9B-ABD6751C0371}D:\games\fallout76\fallout76.exe] => (Allow) D:\games\fallout76\fallout76.exe => Нет файла
  FirewallRules: [TCP Query User{DFCDC755-121E-43D8-B43C-7A7D64CF56F4}D:\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe] => (Block) D:\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe => Нет файла
  FirewallRules: [UDP Query User{5CD70257-00C7-4B2F-A9B3-4DC89E4F0584}D:\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe] => (Block) D:\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe => Нет файла
  FirewallRules: [{9F41FE52-D0A7-43DE-969D-ADFDAD1041AE}] => (Allow) D:\Steam\steamapps\common\Monster Hunter World\MonsterHunterWorld.exe => Нет файла
  FirewallRules: [{F9B359C8-9479-4B9A-BD29-754369128C15}] => (Allow) D:\Steam\steamapps\common\Monster Hunter World\MonsterHunterWorld.exe => Нет файла
  FirewallRules: [{352B9D91-81FD-4AA0-9497-866408E9865E}] => (Allow) N:\SteamLibrary\steamapps\common\Serious Sam 4\Bin\x64\Sam4_Unrestricted.exe => Нет файла
  FirewallRules: [{A8A73C54-ACFE-4986-A8AE-611BDC2FAC9C}] => (Allow) N:\SteamLibrary\steamapps\common\Serious Sam 4\Bin\x64\Sam4_Unrestricted.exe => Нет файла
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST/FRST64 (от имени администратора).
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). .
• Обратите внимание, что компьютер будет перезагружен.

Обратите внимание, что в логах регистрируется проблема с диском/флэшкой

Error: (09/19/2021 11:20:13 PM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk3\DR3.

Error: (09/19/2021 11:20:09 PM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk3\DR3.

Error: (09/19/2021 11:20:05 PM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk3\DR3.

Error: (09/19/2021 11:20:02 PM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk3\DR3.

Error: (09/19/2021 11:19:58 PM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk3\DR3.

[Nyamurai]

Так, я это сделал, но какие конкретно логи теперь нужны? Или нужно что-то другое?

[SQ]

В логах ничего вредоносного не обнаружено. Сообщите что с проблемой?

[Nyamurai]

Я полагаю проблема решена, всё работает как положено и никаких лишних нагрузок нет, как и перегрева в целом. Огромное спасибо вам, вы спасли меня и мой ПК.

[SQ]

Проделайте завершающие шаги:

1. Пожалуйста, запустите adwcleaner.exe
В меню Параметры прокрутите вниз и выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2. Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

[Nyamurai]

Вот. Извиняюсь за ожидание.

[SQ]

Ознакомьтесь с информацией:

------------------------------- [ HotFix ] --------------------------------
HotFix KB5004237 Внимание! Скачать обновления
--------------------------- [ OtherUtilities ] ----------------------------
Notepad++ (32-bit x86) v.7.8.8 Внимание! Скачать обновления
Microsoft Office Word 2010 v.14.0.4763.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
------------------------------- [ Backup ] --------------------------------
Microsoft OneDrive v.21.139.0711.0001 Внимание! Скачать обновления
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 16.04 (x64) v.16.04 Данная версия программы больше не поддерживается разработчиком.. Удалите старую версию, скачайте и установите новую.
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.0.0.309 Внимание! Скачать обновления
Telegram Desktop version 2.4.7 v.2.4.7 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.46074 Внимание! Клиент сети P2P с рекламным модулем!.
--------------------------------- [ SPY ] ---------------------------------
Radmin Viewer 3.5.2 v.3.52.1.0000 Внимание! Программа удаленного доступа!
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 251 (64-bit) v.8.0.2510.8 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u301-windows-x64.exe)^
-------------------------------- [ Media ] --------------------------------
K-Lite Mega Codec Pack 15.2.6 v.15.2.6 Внимание! Скачать обновления
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 32 NPAPI v.32.0.0.171 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее.
Adobe Flash Player 32 PPAPI v.32.0.0.453 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее.
------------------------------- [ Browser ] -------------------------------
Google Chrome v.93.0.4577.82 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Google Chrome!^
Mozilla Firefox 62.0.2 (x86 ru) v.62.0.2 Внимание! Скачать обновления

На этом всё!