Помогите убить Trojan.PWS.StealC.5

[Полечите!]

Здравствуйте, помогите убить эту гадость Trojan.PWS.StealC.5, каждый день она самовосстанавливается.

Предыстория появления простая: по личной глупости и спешке скачал кейген из откуда-попало. Запустил и понял, что ничего не произошло и что попался на крючок, быстро все стёр, скачал куриИТ пролечил, и успокоился.
Но на утро попал в маленький филиал АДА на земле, списания с карты в яндекс еде маркете, смены паролей на почтах, захваты соцсетей и прочие неприятности. В общем - Идиот!
Вроде бы все важное восстановил пароли сменил, но эта гадость сама восстанавливается каждый день всегда по одному и тому же пути в папке iofolko5

Screenshot 2024-10-10 174246.png

[Info_bot]

Уважаемый(ая) Полечите!, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\ProgramData\NtscDevelop\ResourcbSuse\LDGRXsTWebyAblay.dll', '');
 QuarantineFile('C:\Users\Admin\AppData\Local\Temp\abc3bc1985\skotes.exe', '');
 QuarantineFile('C:\Users\Admin\AppData\Local\Temp\EdgeUpdater\LKMService.exe', '');
 QuarantineFileF('c:\programdata\ntscdevelop', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('C:\ProgramData\NtscDevelop\ResourcbSuse\LDGRXsTWebyAblay.dll', '');
 DeleteFile('C:\ProgramData\NtscDevelop\ResourcbSuse\LDGRXsTWebyAblay.dll', '64');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\abc3bc1985\skotes.exe', '32');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\abc3bc1985\skotes.exe', '64');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\EdgeUpdater\LKMService.exe', '32');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\EdgeUpdater\LKMService.exe', '64');
 DeleteFileMask('c:\programdata\ntscdevelop', '*', true);
 DeleteFileMask('c:\users\admin\appdata\local\temp\abc3bc1985', '*', true);
 DeleteDirectory('c:\programdata\ntscdevelop');
 DeleteDirectory('c:\users\admin\appdata\local\temp\abc3bc1985');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'LKMService_b91bcb3c622348da9eb8b00086c72f9a', '32');
 DeleteSchedulerTask('C:\Windows\Task\skotes.job');
 DeleteSchedulerTask('Microsoft\Mtqmtdvzncuqqsv');
 DeleteSchedulerTask('skotes');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 3, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, упакуйте его в архив с паролем, выложите на файлообменник или в облако и дайте ссылку с паролем в личном сообщении.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Полечите!]

оба в одном архиве farbar logs.zip (31.6 Кб)

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
Task: {E0F10DCF-44AD-40E8-9370-FB5DA59F93FB} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => %systemroot%\system32\MusNotification.exe  (Нет файла)
CHR DefaultSearchURL: Default -> hxxp://searchtds.com/?q={searchTerms}
Folder: C:\Users\Admin\AppData\Roaming\aevrrerqmhcb
Folder: C:\ProgramData\CAKFIJDHJEGI
Folder: C:\ProgramData\GDHIDHIEGIII
2024-10-02 12:48 - 2024-10-03 10:03 - 000000000 ____D C:\Users\Admin\AppData\Roaming\aevrrerqmhcb
2024-10-02 12:48 - 2024-10-02 12:49 - 000000000 ____D C:\ProgramData\CAKFIJDHJEGI
2024-10-01 12:48 - 2024-10-01 12:49 - 000000000 ____D C:\ProgramData\GDHIDHIEGIII
2024-10-02 12:49 - 2024-10-02 12:49 - 000000008 ____H () C:\ProgramData\em102it45.dat
2024-10-02 12:50 - 2024-10-02 12:56 - 000000004 ____H () C:\ProgramData\em102rc45.dat
2024-10-02 12:49 - 2024-10-02 12:49 - 000000128 ____H () C:\ProgramData\em102resa.dat
2024-10-02 12:49 - 2024-10-02 12:49 - 000000128 ____H () C:\ProgramData\em102resb.dat
2024-10-02 12:49 - 2024-10-02 12:49 - 000685392 _____ (Mozilla Foundation) C:\ProgramData\freebl3.dll
2024-10-02 12:49 - 2024-10-02 12:49 - 000608080 _____ (Mozilla Foundation) C:\ProgramData\mozglue.dll
2024-10-02 12:49 - 2024-10-02 12:49 - 000450024 _____ (Microsoft Corporation) C:\ProgramData\msvcp140.dll
2024-10-02 12:49 - 2024-10-02 12:49 - 002046288 _____ (Mozilla Foundation) C:\ProgramData\nss3.dll
2024-10-02 12:49 - 2024-10-02 12:49 - 000257872 _____ (Mozilla Foundation) C:\ProgramData\softokn3.dll
2024-10-02 12:49 - 2024-10-02 12:49 - 000080880 _____ (Microsoft Corporation) C:\ProgramData\vcruntime140.dll
ContextMenuHandlers5: [ACE] -> {5E2121EE-0300-11D4-8D3B-444553540000} =>  -> Нет файла
AlternateDataStreams: C:\ProgramData\Reprise:wupeogjxlctlfudivq`qsp`28hfm [0]
FirewallRules: [Block Cortana ActionUriServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\ActionUriServer.exe => Нет файла
FirewallRules: [Block Cortana PlacesServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\PlacesServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersShareTargetApp.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersShareTargetApp.exe => Нет файла
FirewallRules: [Block Cortana SearchUI.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe => Нет файла
FirewallRules: [TCP Query User{8B7CC21D-494A-45DC-A9B4-ABAA1EA709D2}D:\steam\steamapps\common\borderlands_2_ru\binaries\win32\borderlands2.exe] => (Allow) D:\steam\steamapps\common\borderlands_2_ru\binaries\win32\borderlands2.exe => Нет файла
FirewallRules: [UDP Query User{D1A1439B-4256-4AA2-9F9B-B700F635BA9C}D:\steam\steamapps\common\borderlands_2_ru\binaries\win32\borderlands2.exe] => (Allow) D:\steam\steamapps\common\borderlands_2_ru\binaries\win32\borderlands2.exe => Нет файла
FirewallRules: [{350D87BF-8206-49E4-A90F-3B1183195A24}] => (Allow) D:\Steam\steamapps\common\MergeCrafter\MergeCrafter\MergeCrafter.exe => Нет файла
FirewallRules: [{4ADE5B19-FB66-41E9-AAF2-5F5F6B3E36EF}] => (Allow) D:\Steam\steamapps\common\MergeCrafter\MergeCrafter\MergeCrafter.exe => Нет файла
FirewallRules: [TCP Query User{43511541-8DC6-40D8-B6B4-655441FC730C}C:\users\admin\desktop\qbittorrentportable\app\qbittorrent\qbittorrent.exe] => (Allow) C:\users\admin\desktop\qbittorrentportable\app\qbittorrent\qbittorrent.exe => Нет файла
FirewallRules: [UDP Query User{A06596B6-778D-42AE-A23F-C7FDC5FCD05E}C:\users\admin\desktop\qbittorrentportable\app\qbittorrent\qbittorrent.exe] => (Allow) C:\users\admin\desktop\qbittorrentportable\app\qbittorrent\qbittorrent.exe => Нет файла
FirewallRules: [TCP Query User{59CF1ACD-3B4B-410B-95A5-C4BD7148BB6C}C:\users\admin\appdata\local\programs\pinokio\pinokio.exe] => (Allow) C:\users\admin\appdata\local\programs\pinokio\pinokio.exe => Нет файла
FirewallRules: [UDP Query User{374F1F80-0CF9-4857-8710-A4DC25D9520C}C:\users\admin\appdata\local\programs\pinokio\pinokio.exe] => (Allow) C:\users\admin\appdata\local\programs\pinokio\pinokio.exe => Нет файла
FirewallRules: [TCP Query User{40C6E426-58E8-410C-81D9-CAADB7AA2A77}C:\programdata\popcap games\plantsvszombies\popcapgame1.exe] => (Allow) C:\programdata\popcap games\plantsvszombies\popcapgame1.exe => Нет файла
FirewallRules: [UDP Query User{603E6C6C-4384-47AB-89DF-FC778F447C4E}C:\programdata\popcap games\plantsvszombies\popcapgame1.exe] => (Allow) C:\programdata\popcap games\plantsvszombies\popcapgame1.exe => Нет файла
FirewallRules: [{7C3FDD70-313E-4074-9DE1-83CB0987C038}] => (Allow) D:\Steam\steamapps\common\HeroSiege\bin\start_protected_game.exe => Нет файла
FirewallRules: [{6E694066-82EC-462E-827F-10B861CA6C7A}] => (Allow) D:\Steam\steamapps\common\HeroSiege\bin\start_protected_game.exe => Нет файла
FirewallRules: [{A3A47ECA-B9EA-4DAE-9663-515302363B6D}] => (Allow) D:\Steam\steamapps\common\PickCrafter\PickCrafter\PickCrafter.exe => Нет файла
FirewallRules: [{797E8445-FC51-4397-932C-479CC4B80F3F}] => (Allow) D:\Steam\steamapps\common\PickCrafter\PickCrafter\PickCrafter.exe => Нет файла
FirewallRules: [{79493BE5-477D-41C1-9C2E-D59F9148848A}] => (Allow) D:\Steam\steamapps\common\NIMRODS\NIMRODS\NIMRODS.exe => Нет файла
FirewallRules: [{586359F8-48FC-4946-8524-A09060AD5F75}] => (Allow) D:\Steam\steamapps\common\NIMRODS\NIMRODS\NIMRODS.exe => Нет файла
FirewallRules: [TCP Query User{727B5040-DEF0-47BC-A4D9-F03ADC1E7EDB}C:\users\admin\appdata\local\programs\evernote\evernote.exe] => (Allow) C:\users\admin\appdata\local\programs\evernote\evernote.exe => Нет файла
FirewallRules: [UDP Query User{BC3884FA-70AB-4C2F-9674-A8B6EAA0349A}C:\users\admin\appdata\local\programs\evernote\evernote.exe] => (Allow) C:\users\admin\appdata\local\programs\evernote\evernote.exe => Нет файла
FirewallRules: [TCP Query User{BCC6DDB3-AACC-4E39-8471-B8905956DBE2}C:\program files\dolphin anty\dolphin anty.exe] => (Allow) C:\program files\dolphin anty\dolphin anty.exe => Нет файла
FirewallRules: [UDP Query User{9F69C05E-953A-46EC-A8EE-17B912958F3D}C:\program files\dolphin anty\dolphin anty.exe] => (Allow) C:\program files\dolphin anty\dolphin anty.exe => Нет файла
FirewallRules: [{2E0BE9CD-9C80-4850-8FCE-906A2042BC84}] => (Allow) C:\Program Files (x86)\BlueStacks X\BlueStacksWeb.exe => Нет файла
FirewallRules: [{A2BDF554-6ED1-4AA7-9824-F2016B9BA624}] => (Allow) C:\Program Files (x86)\BlueStacks X\Cloud Game.exe => Нет файла
FirewallRules: [{8C42D575-1CD0-478C-B64D-8C633A8D2FE8}] => (Allow) C:\Program Files\BlueStacks_nxt\HD-Player.exe => Нет файла
FirewallRules: [{8F50585C-1E68-4497-A02E-B87CB0E6E262}] => (Allow) C:\Program Files\BlueStacks_nxt\BlueStacksAppplayerWeb.exe => Нет файла
FirewallRules: [{127ECF7A-5FEB-43FF-8A42-B3205E89A910}] => (Allow) D:\\Nox\bin\Nox.exe => Нет файла
FirewallRules: [{C5621542-45F1-4D11-8A62-618E5D43597A}] => (Allow) C:\Program Files (x86)\Bignox\BigNoxVM\RT\NoxVMHandle.exe => Нет файла
FirewallRules: [TCP Query User{7CB36485-A0CA-46AC-900B-41A0AD4D6E3B}C:\program files\windowsapps\31310evgenylachinov.homemediaserver_6.3.0.0_x64__7g9y8jbwh5192\hms.exe] => (Allow) C:\program files\windowsapps\31310evgenylachinov.homemediaserver_6.3.0.0_x64__7g9y8jbwh5192\hms.exe => Нет файла
FirewallRules: [UDP Query User{FDF3F9F5-E679-49B8-B354-5FE1ED5C7090}C:\program files\windowsapps\31310evgenylachinov.homemediaserver_6.3.0.0_x64__7g9y8jbwh5192\hms.exe] => (Allow) C:\program files\windowsapps\31310evgenylachinov.homemediaserver_6.3.0.0_x64__7g9y8jbwh5192\hms.exe => Нет файла
FirewallRules: [TCP Query User{14730694-ADF2-417C-808A-A8C5DEA4654F}C:\program files (x86)\nils maier\simpledlna\simpledlna.exe] => (Allow) C:\program files (x86)\nils maier\simpledlna\simpledlna.exe => Нет файла
FirewallRules: [UDP Query User{FCC77B00-BFA9-4F7E-BE93-F5293171F7C8}C:\program files (x86)\nils maier\simpledlna\simpledlna.exe] => (Allow) C:\program files (x86)\nils maier\simpledlna\simpledlna.exe => Нет файла
FirewallRules: [TCP Query User{FCB76B2A-4989-40A0-B9B9-AE6F5D3D2B55}C:\programdata\popcap games\plantsvszombies\popcapgame1.exe] => (Allow) C:\programdata\popcap games\plantsvszombies\popcapgame1.exe => Нет файла
FirewallRules: [UDP Query User{24A50545-D1C8-4371-8E0D-84C147A56FFA}C:\programdata\popcap games\plantsvszombies\popcapgame1.exe] => (Allow) C:\programdata\popcap games\plantsvszombies\popcapgame1.exe => Нет файла
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
StartBatch:
ipconfig /flushdns
sfc /scannow
endbatch:
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt), прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен.

Сообщите, что с проблемой.

Удалите программу Bonjour.

[Полечите!]

Fixlog приложил.

Удалите программу Bonjour. - готово. Она несет в себе какой-то вредоносный характер? Это вроде часть экосистемы Apple, по идее должна быть безопасна.

Утром, перед выполнением последнего задания по лечению, прогнал тест CureIT - зловреда не нашел. Надеюсь он сгинул!

[Vvvyg]

Она несет в себе какой-то вредоносный характер? Это вроде часть экосистемы Apple, по идее должна быть безопасна.

Она, как минимум, бесполезна, а в некоторых случаях вызывает сбои в работе сети.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.

[Полечите!]

Добрый день, снова этот зверь вылез только видимо уже другой конфигурации Trojan.PWS.Steam.37731

- - - - -Добавлено - - - - -

из лога доктор вэба кур ит

C:\Users\Admin\Documents\iofolko5\ex6wFHKxvarVRVJQ fzEBZePz.exe - Ok - 166ms, 121344 bytes
>C:\Users\Admin\Documents\iofolko5\eCabQHSVZLQdN22 eR6rwg1mK.exe is NSIS container
>>C:\Users\Admin\Documents\iofolko5\eCabQHSVZLQdN2 2eR6rwg1mK.exe\Significance - packed by BINARY PACKAGE
>>>C:\Users\Admin\Documents\iofolko5\eCabQHSVZLQdN 22eR6rwg1mK.exe\Significance is BINARYRES container
C:\Users\Admin\Documents\iofolko5\eCabQHSVZLQdN22e R6rwg1mK.exe - container - 1156ms, 1007575 bytes
>C:\Users\Admin\Documents\iofolko5\tfh2Gg0uiYaB_Oa xMS2F87TI.exe is CAB archive
C:\Users\Admin\Documents\iofolko5\tfh2Gg0uiYaB_Oax MS2F87TI.exe - Ok
C:\Users\Admin\Documents\iofolko5\tfh2Gg0uiYaB_Oax MS2F87TI.exe - archive - 3800ms, 3758256 bytes
>C:\Users\Admin\Documents\iofolko5\2a6bHTuPRXtit0h xpp9oH8hF.exe is NSIS container
>>C:\Users\Admin\Documents\iofolko5\2a6bHTuPRXtit0 hxpp9oH8hF.exe\Preferences - packed by BINARY PACKAGE
>>>C:\Users\Admin\Documents\iofolko5\2a6bHTuPRXtit 0hxpp9oH8hF.exe\Preferences is BINARYRES container
>C:\Users\Admin\Documents\iofolko5\jXCIFcL_J2bnADy YFuPc2rI6.exe is BINARYRES container
>>C:\Users\Admin\Documents\iofolko5\jXCIFcL_J2bnAD yYFuPc2rI6.exe\data001 is NET container
C:\Users\Admin\AppData\Local\Temp\goopdateres_tr.d ll.old5a4001 - Ok - 56ms, 27816 bytes
>>C:\Users\Admin\Documents\iofolko5\jXCIFcL_J2bnAD yYFuPc2rI6.exe\data002 is NET container
>>C:\Users\Admin\Documents\iofolko5\jXCIFcL_J2bnAD yYFuPc2rI6.exe\data005 is NET container
>>C:\Users\Admin\Documents\iofolko5\jXCIFcL_J2bnAD yYFuPc2rI6.exe\data006 is NET container
>>C:\Users\Admin\Documents\iofolko5\jXCIFcL_J2bnAD yYFuPc2rI6.exe\data007 is NET container
C:\Users\Admin\Documents\iofolko5\jXCIFcL_J2bnADyY FuPc2rI6.exe - container - 3968ms, 3229696 bytes
C:\Users\Admin\Documents\iofolko5\2a6bHTuPRXtit0hx pp9oH8hF.exe - container - 4116ms, 1294297 bytes
C:\Users\Admin\Documents\iofolko5\ex6wFHKxvarVRVJQ fzEBZePz.exe - Ok - 163ms, 121344 bytes

[Vvvyg]

Сделайте новый лог Autologger.

[Полечите!]

вот новый лог

[Vvvyg]

Ещё и KVRT прошлись. По логам чисто.

[Полечите!]

мониторить и ждать очередного появления и снимать логи?

[Vvvyg]

Если 3 дня чисто - порядок. Только если снова что-то нехорошее запустите - будет повторение. Или что-то другое.