Подозрение на скрытый майнер и вирусы

[Skiff85]

- ноут начинае греться после длительного бездействия
- ЦП и память загружены на 100% при открытии диспетчера задач эти показатели снижаются
- периодически начал замечать открытый PowerShell который я не открывал (в терминале появлялся текст из буфера обмена)
- при использовании браузера открывается окно поиска на странице, в котором появляется текст типа testtesttest либо произвольные повторяющиеся символы

[Info_bot]

Уважаемый(ая) Skiff85, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

- при использовании браузера открывается окно поиска на странице, в котором появляется текст типа testtesttest либо произвольные повторяющиеся символы

testtesttest - это при проверке перехватчиков клавиатуры в AVZ.

Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки:

O15 - Trusted Zone: *.localhost
O15 - Trusted Zone: http://webcompanion.com
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Hewlett-Packard\HP Support Assistant (empty)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Remediation (empty)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Задачи просмотра событий (empty)
O22 - Tasks: (disabled) DolbySelectorTask - C:\Program Files\Dolby Digital Plus\ddp.exe -autostart (file missing)
O22 - Tasks: IntelSURQC-Upgrade-86621605-2a0b-4128-8ffc-15514c247132 - C:\Program Files\Intel\SUR\QUEENCREEK\Updater\bin\IntelSoftwareAssetManagerService.exe --automatic (file missing)
O22 - Tasks: IntelSURQC-Upgrade-86621605-2a0b-4128-8ffc-15514c247132-Logon - C:\Program Files\Intel\SUR\QUEENCREEK\Updater\bin\IntelSoftwareAssetManagerService.exe --automatic (file missing)
O22 - Tasks_Migrated: Adobe Flash Player PPAPI Notifier - C:\WINDOWS\SysWOW64\Macromed\Flash\FlashUtil32_32_0_0_414_pepper.exe -check pepperplugin (file missing)
O22 - Tasks_Migrated: Adobe Flash Player Updater - C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe (file missing)
O22 - Tasks_Migrated: ASUS Smart Gesture Launcher - C:\Program Files (x86)\ASUS\ASUS Smart Gesture\AsTPCenter\x64\AsusTPLauncher.exe (file missing)
O22 - Tasks_Migrated: Yandex.Stroka.User.S-1-5-21-1797226627-2148345677-2942997528-1001 - C:\Users\Jum Skiff\AppData\Local\Yandex\SearchBand\Application\5.5.0.1923\searchbandapp64.exe /logon (file missing)
O22 - Tasks_Migrated: Обновление Браузера Яндекс - C:\Users\Jum Skiff\AppData\Local\Yandex\YandexBrowser\Application\browser.exe --background-update --noerrdialogs (file missing)

Скачайте, распакуйте и запустите утилиту ClearLNK. Скопируйте текст ниже в окно утилиты и нажмите "Лечить".

>>>  "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\9dbe234ff03c1f99\Yandex.lnk"        -> ["C:\Users\Jum Skiff\AppData\Local\Yandex\YandexBrowser\Application\browser.exe"  =>> --profile-directory=Default]
>>>  "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Call of Duty.lnk"     -> ["C:\Program Files\BlueStacks\HD-RunApp.exe"  =>> -json "{\"app_icon_url\":\"\",\"app_name\":\"Call of Duty\",\"app_url\":\"\",\"app_pkg\":\"com.activision.callofduty.shooter\"}"]
>>>  "C:\Users\Jum Skiff\AppData\Local\Programs\Lenovo\Lenovo Service Bridge\LSB.exe.lnk"  -> ["C:\L\LSB\LSB\bin\Release\LSB.exe"]
>>>  "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\VAG Programmer\VAG EEPROM Programmer.lnk"           -> ["C:\Users\Jum Skiff\Desktop\VAG\Новая папка\VAG EEPROM Programmer\VAG.exe"]
>>>  "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\VAG Programmer\Uninstall.lnk"   -> ["C:\Users\Jum Skiff\Desktop\VAG\Новая папка\VAG EEPROM Programmer\Uninstall.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Image-Line\FL Studio 20.lnk"    -> ["C:\Program Files\Image-Line\FL Studio 20\FL64.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Image-Line\More....lnk"         -> ["C:\Program Files\Image-Line\Shared\Start"]
>>>  "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Image-Line\More....lnk"         -> ["C:\Program Files\Image-Line\Shared\Start"]
>>>  "C:\Users\Jum Skiff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SnoreToast\0.7.0\SnoreToast.lnk"          -> ["C:\Users\Jum Skiff\AppData\Local\Programs\WhatsApp-Monitor\resources\app.asar.unpacked\node_modules\node-notifier\vendor\snoreToast\snoretoast-x64.exe"]

Отчёт о работе прикрепите.

Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.
Если не влезет во вложения - на облако/файлообменник и ссылку.

[Skiff85]

Готово

[Vvvyg]

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.13 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
deltmp
delref %SystemDrive%\PROGRAM FILES\ACER\ACERSYNC\ACERSYNC_SENDGOOGLEACCOUNTTOMOBILE.EXE
delref %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS DEFENDER\PLATFORM\4.18.2107.4-0\DRIVERS\WDNISDRV.SYS
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BITDEFENDER\SETUPINFORMATION\CL-26-D7AD9BA6-54A8-4F62-AA3C-E96B3CE11792\SETUPLAUNCHER.EXE
delref %Sys32%\DRIVERS\UZI1NJA2.SYS
delref %Sys32%\DRIVERS\VDI1NJA2.SYS
delref %SystemDrive%\USERS\JUM SKIFF\APPDATA\LOCAL\PROGRAMS\PYTHON\PYTHON38\DOC\PYTHON388.CHM
apply
restart

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Skiff85]

Готово

[Vvvyg]

Деинсталлируйте Bitdefender Agent, без самого антивируса он бесполезен.

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-1797226627-2148345677-2942997528-1001\...\Run: [BlueMail] => C:\WINDOWS\explorer.exe me.blueone.win:noopt:hidden (Нет файла) <==== ВНИМАНИЕ
BootExecute: autocheck autochk * bddel.exe
CHR Notifications: Default -> hxxps://dlmmoreigrcom1674397031038.tikstok.fun
CHR StartupUrls: Default -> "hxxp://ru.msn.com/?pc=UP97&ocid=UP97DHP","hxxps://find-it.pro/?utm_source=distr_m"
S3 MBAMWebProtection; \SystemRoot\system32\DRIVERS\mwac.sys [X]
StartBatch:
del /s /q C:\Windows\SoftwareDistribution\download\*.*
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
del /s /q C:\Windows\Temp\*.*
del /s /q "%userprofile%\AppData\Local\temp\*.*"
ipconfig /flushdns
sfc /scannow
endbatch:
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Упакуйте его в архив и прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[Skiff85]

Готово .

[Vvvyg]

Признаков майнера не видно.
Если проблема повторится - сделайте новый полный образ автозапуска uVS, только именно в то время, когда есть нагрузка, не запуская диспетчер задач.