Вирусы из автозагрузки "Обработчик команд Windows"

[Andromegas]

Здравствуйте! При запуске ПК активируется обработчик команд виндоус (в автозагрузках появился также), доктор веб курейт удалил часть вирусов но источник проблемы остался. Буду признателен за помощь!

[Info_bot]

Уважаемый(ая) Andromegas, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\Program Files\google\chrome\updater.exe', '');
 DeleteFile('C:\Program Files\google\chrome\updater.exe', '');
 DeleteFile('C:\Programdata\ReaItekHD\taskhostw.exe', '64');
 DeleteFile('C:\Windows\SysWOW64\unsecapp.exe', '64');
 DeleteFileMask('c:\programdata\reaitekhd', '*', true);
 DeleteDirectory('c:\programdata\reaitekhd');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Andromegas', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Andromegas', '64');
 DeleteSchedulerTask('Microsoft\Windows\SysFilesH\RecoveryTask');
 DeleteSchedulerTask('Microsoft\Windows\WindowsBackup\CashClean');
 DeleteSchedulerTask('Microsoft\Windows\WindowsBackup\MasterData');
 DeleteSchedulerTask('Microsoft\Windows\WindowsBackup\OnlogonCheck');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, упакуйте его в архив с паролем, выложите на файлообменник или в облако и дайте ссылку с паролем в личном сообщении.

Скачайте, распакуйте и запустите утилиту AV block remove, следуйте инструкциям. Если не запустится - переименуйте файл, переместите в любую папку, кроме рабочего стола и загрузок. Не поможет - запустите из безопасного режима с поддержкой сети.
Файл AV_block_remove_дата_время.log из папки с программы прикрепите к своему сообщению.

Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

[Andromegas]

Прошу прощения но скрипт не выполняется выдает ошибку "Ошибка скрипта: Too many actual parameters, позиция [9:16]", на всякий случай загружаю новый лог скана

[Vvvyg]

Ошибок в скрипте нет. Читайте внимательно, откуда нужно запускать AVZ.

[Andromegas]

Сделал, спасибо

[Vvvyg]

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.99.1v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
deltmp
sreg
delref HTTPS://STARTMAIN.RU
delref %SystemDrive%\USERS\ANDROM~1\APPDATA\LOCAL\TEMP\KMSAUTO X64.EXE
delref %SystemDrive%\USERS\ANDROM~1\APPDATA\LOCAL\TEMP\KMSAUTO_FILES
delref %SystemDrive%\ACTIVATORS\AACT V4.2.1 PORTABLE\AACT_FILES\KMSSS.EXE
delref %SystemDrive%\PROGRAM FILES\WINDOWS SIDEBAR\SIDEBAR.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\NVIDIA CORPORATION\3D VISION\NPNV3DV.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\NVIDIA CORPORATION\3D VISION\NPNV3DVSTREAMING.DLL
delref %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS DEFENDER\PLATFORM\4.18.2211.5-0
delref %SystemDrive%\ACTIVATORS\AACT V4.2.1 PORTABLE\AACT_FILES
delref %SystemDrive%\ACTIVATORS\AACT V4.2.1 PORTABLE\AACT_X64.EXE
delref %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS DEFENDER\PLATFORM\4.18.2107.4-0\DRIVERS\WDNISDRV.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\90.0.818.66\MSEDGE.DLL
delref %SystemDrive%\USERS\ANDROMEGAS\APPDATA\LOCAL\BROWSERUPDPHENIX
delref %SystemDrive%\PROGRAM FILES\GOOGLE\CHROME\APPLICATION\56.0.2924.87\RESOURCES\BOOKMARK_MANAGER\BOOKMARK MANAGER
apply
areg
restart

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Andromegas]

Скрипт не заканчивает выполнение

[Vvvyg]

Ок, делайте лог Farbar Recovery Scan Tool.

[Andromegas]

Сделал!

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
PowerShell: Remove-MpPreference -ExclusionPath "C:\USERS\ANDROMEGAS\APPDATA\LOCAL\BROWSERUPDPHENIX"
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
HKU\S-1-5-21-414999842-2864094964-1908021753-1000\...\Run: [GalaxyClient] => [X]
CHR StartupUrls: Default -> "hxxps://startmain.ru"
CHR DefaultSearchURL: Default -> hxxp://tupoisk.ru/?q={searchTerms}
HKLM\...\StartupApproved\Run: => "Acronis Scheduler2 Service"
HKU\S-1-5-21-414999842-2864094964-1908021753-1000\...\StartupApproved\Run: => "CCleaner Smart Cleaning"
HKU\S-1-5-21-414999842-2864094964-1908021753-1000\...\StartupApproved\Run: => "Andromegas"
FirewallRules: [{853FB6F4-8805-4487-BF0A-4CA1687282CF}] => (Allow) C:\Users\Andromegas\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{4AE26B2F-37F6-496B-AB75-F0F8F5B0D852}] => (Allow) C:\Users\Andromegas\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt), прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен.

Сообщите, что с проблемами.

[Andromegas]

Спасибо, да вроде всё хорошо сейчас

[Vvvyg]

Удалите исключения защитника, сделанные вирусами - Параметры> обновления и безопасности > защита от вирусов.
Выберите"Управление настройками".
Выберите "Добавить или удалить исключения".
В списке текущих исключений выберите упомянутые и - "Удалить".

C:\Users\Andromegas\AppData\Local\Browserupdphenix"
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2211.5-0"

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.

Java 8 - обе версии, включая x64, обязательно обновите до текущего билда, у Вас устаревшие, со множеством критических уязвимостей.

На этом всё.