Cловил вирус, который не дает заходить на сайты с антивирусными программами.

[SINTEROZ]

Добрый день!
Увидел, что компьютер начал сам перезагружаться (быстро нашел проблему в планировщике заданий) удалил процесс. После чего увидел, что ни один сайт с антивирами не работает. Antimalware устанавливается, но не запускается
Выполнил полностью сканирование с помощью AKVR, нашел пару вирусов и отправил в карантин. Но и после этого так же сайты не доступны.
Помогите пожалуйста решить проблему.

[Info_bot]

Уважаемый(ая) SINTEROZ, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Sandor]

Здравствуйте!

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям.
В результате работы утилиты появится отчёт AV_block_remove.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.

[SINTEROZ]

При попытки запуска AV_block пишет ошибку - Ограничения Операция отменена из-за ограничений, действующих на этом компьютере. Обратитесь к системному администратору

[Sandor]

Запускаете правой кнопкой от имени администратора? Если и так не получается, запустите в безопасном режиме.

- - - - -Добавлено - - - - -

upd:

"Пофиксите" в HijackThis:

O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [1] = eav_trial_rus.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [10] = Cezurity_Scanner_Pro_Free.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [11] = AVbr.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [2] = avast_free_antivirus_setup_online.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [3] = eis_trial_rus.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [4] = essf_trial_rus.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [5] = hitmanpro_x64.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [6] = ESETOnlineScanner_UKR.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [7] = ESETOnlineScanner_RUS.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [8] = HitmanPro.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [9] = 360TS_Setup_Mini.exe

Пробуйте запустить AV block remover в нормальном режиме.

- - - - -Добавлено - - - - -

upd2:
Или переименуйте файл AVbr.exe в, например, AV_br.exe и пробуйте запустить.

[SINTEROZ]

Выполнил все действия и запустил AV block. При всплывании окна Позволяет ли майнер заходить на сайты через hosts и при выборе ответа у меня перезагружается сразу компьютер. Заметил, что у меня стали появляться несанкционированные сетевые подключения в параметрах адаптера. Отключаю и удаляю через диспетчер устройств. И при каждом запуске они вновь появляются
В данный момент я смог открыть сайты с антивиром.

[Sandor]

"Пофиксите" в HijackThis:

O7 - TroubleShooting: (EV) %PATH% has missing system folder: C:\WINDOWS
O7 - TroubleShooting: (EV) %PATH% has missing system folder: C:\WINDOWS\System32
O7 - TroubleShooting: (EV) %PATH% has missing system folder: C:\WINDOWS\System32\Wbem
O7 - TroubleShooting: (EV) %PATH% has missing system folder: C:\WINDOWS\System32\WindowsPowerShell\v1.0

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[SINTEROZ]

Выполнил как вы и сказали.

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-3219634318-1642436616-486372580-1002\...\MountPoints2: {1ef780e3-163a-11ec-931f-309c233fb992} - "I:\HiSuiteDownLoader.exe" 
  HKU\S-1-5-21-3219634318-1642436616-486372580-1002\...\MountPoints2: {4af3a892-5b0d-11eb-91bf-309c233fb992} - "I:\HiSuiteDownLoader.exe" 
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
  CHR StartupUrls: Default -> "hxxp://www.mail.ru/cnt/9516","hxxps://www.google.com/","hxxp://www.google.com/","hxxps://www.google.com/","hxxps://www.google.com/"
  C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\ldgpjdiadomhinpimgchmeembbgojnjk
  CHR HKU\S-1-5-21-3219634318-1642436616-486372580-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ldgpjdiadomhinpimgchmeembbgojnjk]
  ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Нет файла
  AlternateDataStreams: C:\ProgramData:5F6F099F00221C98 [217]
  AlternateDataStreams: C:\Users\All Users:5F6F099F00221C98 [217]
  AlternateDataStreams: C:\Users\Все пользователи:5F6F099F00221C98 [217]
  AlternateDataStreams: C:\ProgramData\Application Data:5F6F099F00221C98 [217]
  AlternateDataStreams: C:\ProgramData\Reprise:wupeogjxlctlfudivq`qsp`29hfm [0]
  HKU\S-1-5-21-3219634318-1642436616-486372580-1002\Software\Classes\regfile: regedit.exe "%1" <==== ВНИМАНИЕ
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

[SINTEROZ]

Выполнил.

[Sandor]

Проблема решена?

[SINTEROZ]

Проблема с доступом на сайты с антивирусами решена, спасибо!
Я правильно сделал, что я скопировал код и вставил в FRS в поле Поиск?
При включении снова появились псевдо подключения в параметрах адаптера
И при удалении папки с битым malwarebytes пишет ошибку, что я не администратор.
Удалось установить без ошибок malwarebytes.

[Sandor]

Я правильно сделал, что я скопировал код и вставил в FRS в поле Поиск?

Это было лишнее, скрипт выполнился прямо из буфера обмена.

появились псевдо подключения в параметрах адаптера

Покажите скриншот.

[SINTEROZ]

Вложение 686004Вложение 686005

[Sandor]

Это адаптеры от виртуальной машины, к вирусам отношения не имеют.

Завершаем:

1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[SINTEROZ]

Выполнил.

[Sandor]

------------------------------- [ HotFix ] --------------------------------
HotFix KB5004237 Внимание! Скачать обновления
-------------------------- [ SecurityUtilities ] --------------------------
Unchecky v1.2 v.1.2 Данная программа больше не поддерживается разработчиком. Используйте другое защитное ПО.
--------------------------- [ OtherUtilities ] ----------------------------
Python 2.6.6 (64-bit) v.2.6.6150 Внимание! Скачать обновления
Microsoft Silverlight v.5.1.50907.0 Данная программа больше не поддерживается разработчиком.
TeamViewer v.15.2.2756 Внимание! Скачать обновления
------------------------------- [ Backup ] --------------------------------
Microsoft OneDrive v.19.103.0527.0003 Внимание! Скачать обновления
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.31 (32-разрядная) v.5.31.0 Внимание! Скачать обновления
------------------------------- [ Imaging ] -------------------------------
FastStone Image Viewer 6.2 v.6.2 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45952 Внимание! Клиент сети P2P с рекламным модулем!.
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 211 (64-bit) v.8.0.2110.12 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u301-windows-x64.exe)^
-------------------------------- [ Media ] --------------------------------
AIMP v.v4.70.2242, 01.02.2021 Внимание! Скачать обновления
------------------------------- [ Browser ] -------------------------------
Opera GX Stable 67.0.3575.130 v.67.0.3575.130 Внимание! Скачать обновления
^Проверьте обновления через меню О программе!^
Google Chrome v.75.0.3770.100 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Google Chrome!^
---------------------------- [ UnwantedApps ] -----------------------------
Reg Organizer, версия 8.76 v.8.76 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии.
Regroover Pro version 1.7.6 64-bit v.1.7.6 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
MixBox version 1.0.0 v.1.0.0 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
Glary Utilities 5.151.0.177 v.5.151.0.177 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии.


Читайте Советы и рекомендации после лечения компьютера.

[SINTEROZ]

Спасибо огромное за помощь!
Тут еще создались файлы с host, неделю назад там был один hosts
Вложение 686007

[Sandor]

С расширением .bak - резервная копия, созданная перед очисткой в AV block remover.