Вирус который маскируется под fc.exe и другие системные процессы

[P_Duster]

Блокирует доступ к сайтам для установки программ Malwarebytes и Dr.Web CureIt, а если установить их через сторонний сайт не дает скачать их через установщик (загрузка останавливется на определенном количестве процентов). При открытии диспетчера задач процесс с ним закрывается сам, хотя видно на пару секунд то что процессор и оперативка загружены на 99%
Также для некоторых системных папок установлено разрешение только для TrustedInstaller

[Info_bot]

Уважаемый(ая) P_Duster, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Sandor]

Здравствуйте!

Временно отключите защитное ПО.
Выполните скрипт в AVZ:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\program files (x86)\transmission\transmission-qt.exe');
 TerminateProcessByName('c:\users\79824\appdata\local\temp\b850b1ba-afb7-4db2-8f78-8cc19a713645\dismhost.exe');
 StopService('Transmission');
 QuarantineFile('C:\Program Files (x86)\Transmission\Qt5Core.dll', '');
 QuarantineFile('c:\program files (x86)\transmission\transmission-qt.exe', '');
 QuarantineFile('C:\Users\79824\AppData\Local\Programs\Ghostery\CheckUpd.exe', '');
 QuarantineFile('c:\users\79824\appdata\local\temp\b850b1ba-afb7-4db2-8f78-8cc19a713645\dismhost.exe', '');
 DeleteSchedulerTask('GhosteryLogonUpdate');
 DeleteFile('C:\Program Files (x86)\Transmission\Qt5Core.dll', '');
 DeleteFile('c:\program files (x86)\transmission\transmission-qt.exe', '');
 DeleteFile('C:\Program Files (x86)\Transmission\transmission-qt.exe', '64');
 DeleteFile('C:\Users\79824\AppData\Local\Programs\Ghostery\CheckUpd.exe', '64');
 DeleteFile('c:\users\79824\appdata\local\temp\b850b1ba-afb7-4db2-8f78-8cc19a713645\dismhost.exe', '');
 DeleteService('Transmission');
 DeleteFileMask('c:\program files (x86)\transmission', '*', false);
 DeleteFileMask('C:\ProgramData\RobotDemo\', '*', true);
 DeleteDirectory('c:\program files (x86)\transmission');
 DeleteDirectory('C:\ProgramData\RobotDemo\');
ExecuteSysClean;
 ExecuteRepair(21);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.



Сделайте повторные логи по правилам. (CollectionLog)

[P_Duster]

Отправил карантин и логи

[Sandor]

Деинсталлируйте бесполезный SpyHunter 5

Далее:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[P_Duster]

Отправил

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-3357176261-2487012347-1575411798-1004\...\MountPoints2: {ca78fc00-05d7-11ec-8ead-f4b52022fb4f} - "D:\HiSuiteDownLoader.exe" 
  HKU\S-1-5-21-3357176261-2487012347-1575411798-1004\...\MountPoints2: {ca78fcd0-05d7-11ec-8ead-f4b52022fb4f} - "D:\HiSuiteDownLoader.exe" 
  GroupPolicy: Ограничение - Windows Defender <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  AlternateDataStreams: C:\Users\79824\Application Data:eb92b835a834003ac00ee2632de0e925 [394]
  AlternateDataStreams: C:\Users\79824\AppData\Roaming:eb92b835a834003ac00ee2632de0e925 [394]
  AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [490]
  FirewallRules: [{48A5F7B3-B5B8-4574-92E1-90AC881DAA98}] => (Allow) LPort=1688
  FirewallRules: [{6286A3A9-8A30-4E00-B40D-D7E194EAE694}] => (Allow) C:\Program Files (x86)\Zona\Zona.exe => Нет файла
  FirewallRules: [{DB209FEB-D65C-459A-819C-9A428BC34144}] => (Allow) C:\Program Files (x86)\Zona\Zona.exe => Нет файла
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

[P_Duster]

Отправил

[Sandor]

Проблема решена?

[Sandor]

Выполните дополнительно ещё такой скрипт:

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  Ghostery – Privacy Ad Blocker 1.0.0.0 (HKLM-x32\...\{3500f9dc-4500-4482-8209-c0825a4271b7}) (Version: 1.0.0.0 - Ghostery) Hidden
  turtle  form 1.3.8.22 (HKLM-x32\...\{66f83138-5b36-4d02-88f3-5330c1b981ce}) (Version: 1.3.8.22 - Kuphal, Kuhic and Welch PLC) Hidden
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

В перечне установленных программ появятся скрытые ранее

Ghostery – Privacy Ad Blocker 1.0.0.0
turtle form 1.3.8.22

Удалите.
Не сможете стандартно, удалите принудительно через Geek Uninstaller