Подцепил майнер. AutoLogger не работает

[murtuz90]

Приветствую. Установил сегодня ориг. лицензионную последнюю Windows 10 Pro x64 и установил все обновления и драйвера. Установил игру и сразу система начала вести себя странно. Файлы программы CPUID HWMonitor испорчены и её не удалить(просит доступа у "Администраторы"), хоть и показывает что пустая. Помогло переименование этой папки и повторная установка CPUID HWMonitor. После этого началось самое интересное. Запустил мониторинг в ней и увидел что процессор нагружен полностью, не закрывая её открыл диспетчер задач и нагрузка сразу упала. Перепроверил несколько раз, одно и то же. Также проц не нагружается если отключить интернет, даже если диспетчер задач закрыт.


AutoLogger из инструкции не запускает процесс. Встроенный антивирус не разрешает, даже после отключения.
Сделал лог от AdwCleaner, FRST и CureIt.


Сайт Virustotal насчитал 60+ вирусов. Выложил этот установочный файл на обменник т.к. через форму https://virusinfo.info/upload_virus.php?tid=37678 не получается загрузить, может быть из-за того что файл весит 5мб.

Помогите пожалуйста убрать эту нечисть. Заранее спасибо!

[Info_bot]

Уважаемый(ая) murtuz90, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[murtuz90]

upd.

Установил и запусти кое-как AnVir Task Manager(сразу вылетала, также как и её VirusTotalUpload.exe, пришлось переименовать исполняемый файл) и он выявил что процесс это C:\ProgramData\WindowsTask\MicrosoftHost.exe. Отправил его в карантин через него(не помогает, он опять повторно запускается и AnVir его постоянно убивает) и на проверку на сайт virustotal:

https://www.virustotal.com/gui/file/...5f8-1725913932

При попытке зайти в эту папку и в папку C:\ProgramData\ проводник сразу закрывается, и при попытке зайти на эту страницу virustotal браузер закрывается.

upd 2

Нашёл в исключениях встроенного антивируса папку C:\ProgramData\ и после удаления он нашел несколько вирусов и удалил. Пока что процессор не грузится сам по себе. Решил установить Malwarebytes, но он испортил его файлы тоже. Боится похоже собака) Кстати теперь получилось с AutoLogger-ом. Лог приложил.

[Sandor]

Здравствуйте!

Скачайте, распакуйте и запустите утилиту AV block remove, следуйте инструкциям. Если не запустится - переименуйте файл, переместите в любую папку, кроме рабочего стола и загрузок. Не поможет - запустите из безопасного режима с поддержкой сети.
Файл AV_block_remove_дата_время.log из папки с программы прикрепите к своему сообщению.

Соберите и прикрепите новый CollectionLog Автологером.

[murtuz90]

Здравствуйте!

Скачайте, распакуйте и запустите утилиту AV block remove, следуйте инструкциям. Если не запустится - переименуйте файл, переместите в любую папку, кроме рабочего стола и загрузок. Не поможет - запустите из безопасного режима с поддержкой сети.
Файл AV_block_remove_дата_время.log из папки с программы прикрепите к своему сообщению.

Соберите и прикрепите новый CollectionLog Автологером.

Здравствуйте! Спасибо за помощь! Лог Автологгера почему-то не получилось загрузить на форум, поэтому даю ссылку на обменник https://dropmefiles.net/ru/kcQz9KA

[Sandor]

"Пофиксите" в HijackThis только следующее:

F2 - HKLM\..\WinLogon: [Shell] = explorer.exe,wuf.exe wtime.cmd
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 4
O22 - Tasks: GridinSoft Trojan Killer - C:\Program Files\Trojan Killer\tk64.lrp -finishrem (file missing)
O27 - Account: (Hidden) User 'John' is invisible on logon screen

Перезагрузите компьютер.

Соберите и прикрепите новые логи Farbar Recovery Scan Tool.

Не нужно полностью цитировать предыдущее сообщение, пишите в нижнем поле быстрого ответа.

Лог Автологгера почему-то не получилось загрузить на форум

Удалите ваши старые вложения.

[murtuz90]

Спасибо. Всё сделал

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  2024-09-11 03:41 - 2024-09-11 03:45 - 000000000 ____D C:\ProgramData\HitmanPro
  2024-09-11 03:21 - 2024-09-11 04:18 - 000000000 ____D C:\Program Files\GridinSoft Anti-Malware
  2024-09-11 03:21 - 2024-09-11 03:38 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\GridinSoft Anti-Malware
  2024-09-11 03:21 - 2024-09-11 03:21 - 000000000 ____D C:\ProgramData\GridinSoft
  FirewallRules: [{24C5F92A-C9A2-49D6-9894-E9673A3E0C0E}] => (Allow) C:\Windows\Windows Driver Foundation (WDF).exe => Нет файла
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

[murtuz90]

Готово

[Sandor]

Хорошо. Проблема решена?

[murtuz90]

Ну вроде да, хотя она и была решена вроде в 3м посте. Единственное что заметил это не удаляется переименованная папка CPUID HWMonitor "C:\Program Files\CPUIDd"

Думаю лучше снести систему и заново поставить. Надеюсь вирус не пробрался на другие локальные диски. Спасибо за помощь!

[Sandor]

снести систему и заново поставить

Нет необходимости. Притом, заражение скорее всего произошло при активации. Активатор вероятно "весит" 200+ мегабайт, т.е. самораспаковывающийся архив, содержащий сам активатор и майнер.

Чтобы удалить указанное выполните скрипт:

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  2024-09-11 02:25 - 2024-09-11 02:25 - 000000985 _____ C:\Users\Public\Desktop\CPUID HWMonitor.lnk
  2024-09-11 02:25 - 2024-09-11 02:25 - 000000000 ____D C:\Program Files\CPUID
  2024-09-11 02:16 - 2024-09-11 03:34 - 000000000 ____D C:\Program Files\Trojan Killer
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.


В завершение, если больше проблем нет:
1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[murtuz90]

Проблема в папке C:\Program Files\CPUIDd, которую я переименовал чтобы установить заново CPUID HWMonitor. Все-равно выполнить скрипт для папки с рабочей программой?

Также пытаюсь запустить другую игру у которой взломанный, но безопасный лаунчер, но AutoLogger берётся откуда-то(хотя это вроде портативная программа и я удалил все архивы с ним, папки и исполняемые файлы) и создает в папке AutoLoggere(я так раньше переименовывал чтобы запустить) на рабочем столе крэш-файл этого лаунчера. Как его можно полностью удалить?

- - - - -Добавлено - - - - -

Сделал как вы написали

[Sandor]

По порядку:

Проблема в папке C:\Program Files\CPUIDd

Пробуйте удалить её в безопасном режиме.

AutoLogger берётся откуда-то(хотя это вроде портативная программа и я удалил все архивы с ним, папки и исполняемые файлы)

Временно отключите защитное ПО.
Выполните скрипт в AVZ программу обязательно запускайте из папки Автологера:

var PathAutoLogger : string;
begin
  clearlog;
  PathAutoLogger := Copy(GetAVZDirectory, 0, (Length(GetAVZDirectory)-3));
  AddToLog('start time ' + FormatDateTime('yyyy.mm.dd-hh:mm:ss', now) +#13#10+ PathAutoLogger);
  if RegKeyExists('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps', 'x64') then
     begin 
       AddToLog('LocalDumps - exists.');
       if not RegKeyDel('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps', 'x64')
          then AddToLog('Failed to delete LocalDumps')
     end
  else AddToLog('LocalDumps key missing.');
  if RegKeyParamExists('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting', 'DontShowUI', 'x64') then
     begin 
       AddToLog('DontShowUI - exists.');
       if not RegKeyParamDel('HKLM', 'SOFTWARE\Microsoft\Windows\Windows Error Reporting', 'DontShowUI', 'x64')
          then AddToLog('Failed to delete DontShowUI');
     end
  else AddToLog('DontShowUI parameter missing.');
  SaveLog(PathAutoLogger+'report.log');
end.

report.log из папки AVZ прикрепите к следующему сообщению.

Исправьте по возможности:
Dell SupportAssist v.4.0.3.61632 Внимание! Скачать обновления

Видны две версии 7-z. Удалите обе и если нужен, установите заново.

[murtuz90]

Готово

[Sandor]

Это не тот. А такой есть?

AutoLoggerreport.log

[murtuz90]

Уже снёс систему для спокойствия. Спасибо за помощь!