Поймал Ауторуннер. Помогите, пожалуйста

[Екнекнен]

Здравствуйте.
Давно я сюда не заходил - было вроде всё в порядке. А сейчас решил скачать игру на ПК. Монтирую образ - Nod32 удаляет ауторуннер. Ну, разу Ауторуннер удалён, то запускаю образ. Снова Nod32 пытается удалить какой-то файл, который он удалил в прошлый раз. На этот раз получает отлуп: нет доступа. После этого папка на диске D, откуда я монтировал образ, исчезает. Помогите, пожалуйста.

[Info_bot]

Уважаемый(ая) Екнекнен, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки:

O4 - HKCU\..\Run: [yaoffer50160] = C:\Users\1645286\AppData\Local\yaoffer50160\yaoffer50160.exe --start --client:50160
O22 - Task (.job): (Not scheduled) Восстановление сервиса обновлений Яндекс.Браузера.job - C:\Program Files (x86)\Yandex\YandexBrowser\22.9.1.1095\service_update.exe (file missing)

Деинсталлируйте программу NetShield Kit.

Сделайте лог Malwarebytes AdwCleaner.

Что там удаляет Eset, по логам не увидим. Откройте журнал угроз, сделайте экспорт соответствующих записей, упакуйте в архив и прикрепите к сообщению.

[Екнекнен]

Здравствуйте.
Запрошенные файлы - во вложении!

[Vvvyg]

Если Вы уже закрыли приложение, запустите повторное сканирование в Malwarebytes AdwCleaner, установите в пункте меню "Настройки" (Settings) дополнительно к отмеченным по умолчанию галочку "Сбросить политики Chrome (Reset Chrome Policies". В разделе "Предустановленные программы" ничего не отмечайте.
Затем нажмите Карантин (Quarantine) под списком найденного. Программа может предложить перезагрузить систему, сделайте тогда это.

После перезагрузки в меню Файлы журналов программы будет лог очистки, файл AdwCleaner[C00].txt, прикрепите к своему следующему сообщению.

Что за диск F:, флэшка? Что-то странное, Есет удаляет файл, а он снова появляется.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Екнекнен]

Диск F - это был смонтированный образ iso. Сейчас он размонтирован.
Логи - во вложении. К стати, никакой перезагрузки Malwarebytes AdwCleaner не запросил.

[Vvvyg]

Если образ - тогда ничего страшного. Не используйте его в дальнейшем.

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
2023-03-29 20:29 - 2023-03-29 21:03 - 000000000 ____D C:\AdwCleaner
NetShield Kit 1.4.0.0 (HKLM-x32\...\{e536483e-b440-4039-9a34-8ddf3469b715}) (Version: 1.4.0.0 - Sigma Software) Hidden
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{e536483e-b440-4039-9a34-8ddf3469b715}
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{D1C8A6A8-3461-4439-B1A7-D21CA0D30B53}_is1
CustomCLSID: HKU\S-1-5-21-3977320362-1619441503-3718286926-1001_Classes\CLSID\{635EFA6F-08D6-4EC9-BD14-8A0FDE975159}\localserver32 -> "C:\Users\1645286\AppData\Local\Orbitum\Application\80.0.3987.128\notification_helper.exe" => Нет файла
CustomCLSID: HKU\S-1-5-21-3977320362-1619441503-3718286926-1001_Classes\CLSID\{88B20FC8-EBD6-4181-B5F6-50F45BFF722E}\InprocServer32 -> C:\Users\1645286\AppData\Local\Microsoft\EdgeUpdate\1.3.167.21\psuser_64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-3977320362-1619441503-3718286926-1001_Classes\CLSID\{997809F3-33FD-4FD6-A2ED-CEF50F3263B1}\InprocServer32 -> C:\Users\1645286\AppData\Local\Microsoft\EdgeUpdate\1.3.169.31\psuser_64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-3977320362-1619441503-3718286926-1001_Classes\CLSID\{ABF66F82-B04C-4FE4-8272-661539463FE1}\InprocServer32 -> C:\Users\1645286\AppData\Local\Microsoft\EdgeUpdate\1.3.171.37\psuser_64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-3977320362-1619441503-3718286926-1001_Classes\CLSID\{B29F5F83-90DF-479A-BDE7-8A9F4412E394}\InprocServer32 -> C:\Users\1645286\AppData\Local\Microsoft\EdgeUpdate\1.3.171.39\psuser_64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-3977320362-1619441503-3718286926-1001_Classes\CLSID\{BFBE0943-74C5-40E0-9E80-0B808109E95D}\InprocServer32 -> C:\Users\1645286\AppData\Local\Microsoft\EdgeUpdate\1.3.163.19\psuser_64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-3977320362-1619441503-3718286926-1001_Classes\CLSID\{D1CE12B0-2529-4B24-BE8E-189735EA0DC1}\InprocServer32 -> C:\Users\1645286\AppData\Local\Microsoft\EdgeUpdate\1.3.165.21\psuser_64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-3977320362-1619441503-3718286926-1001_Classes\CLSID\{E8791438-3525-48BF-A600-C577AD1674C2}\InprocServer32 -> C:\Users\1645286\AppData\Local\Microsoft\EdgeUpdate\1.3.173.49\psuser_64.dll => Нет файла
ContextMenuHandlers1: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> Нет файла
ContextMenuHandlers1: [ANotepad++64] -> {B298D29A-A6ED-11DE-BA8C-A68E55D89593} =>  -> Нет файла
ContextMenuHandlers1: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Нет файла
ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} =>  -> Нет файла
ContextMenuHandlers4: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> Нет файла
ContextMenuHandlers4: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Нет файла
ContextMenuHandlers6: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Нет файла
ContextMenuHandlers6: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Нет файла
FirewallRules: [{C6936D17-B32A-4105-802E-ABFF3F18EBBE}] => (Allow) C:\Program Files (x86)\NetShield Kit\cli.exe => Нет файла
FirewallRules: [{6FE4699B-8411-4F1D-A472-A8A3D88B212A}] => (Allow) C:\Program Files (x86)\NetShield Kit\cli.exe => Нет файла
FirewallRules: [{E6CC103F-2BD5-4B4F-AB7E-06C3E7B12851}] => (Allow) C:\Program Files (x86)\NetShield Kit\netshieldsvc.exe => Нет файла
FirewallRules: [{220573E2-8105-4745-B30A-97817E0942DD}] => (Allow) C:\Program Files (x86)\NetShield Kit\netshieldsvc.exe => Нет файла
FirewallRules: [{744999FA-C245-4078-9151-FF38C65484A5}] => (Allow) C:\Users\1645286\AppData\Local\Orbitum\Application\chrome.exe => Нет файла
FirewallRules: [{FA6C8D27-F17C-4BDB-99F3-9A876371A3DA}] => (Allow) C:\Users\1645286\MediaGet2\mediaget.exe => Нет файла
FirewallRules: [{E8DC4ACF-666D-4453-81F6-C363852BEFCC}] => (Allow) C:\Users\1645286\MediaGet2\mediaget.exe => Нет файла
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[Екнекнен]

А зачем копировать, если вставлять ничего не надо?

[Vvvyg]

Программа берёт скрипт из буфера обмена.

Деинсталлируйте программы NetShield Kit 1.4.0.0 и NetShield Kit 1.4.0.1.
Если нет возможности удалить стандартным способом - сделайте принудительно, с помощью Geek Uninstaller Free.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

На этом всё.