@kuks

Здравствуйте. Словил очень хитрый и сложный к поимке майнер. Суть следующая: Услышал, что вентиляторы видеокарты подозрительно быстро вращаются, посмотрел график в MSI Afterburner - на чипе загрузка 100% и 5,5гб на память. Решил выявить этот процесс через диспетчер задач, а тут вот что! В диспетчере задач нагрузка на ГП около 5% и никаких подозрительных процессов нет. Через утилиту Process Explorer выявил exe-шник, который пожирает видеопамять, им оказался некий PRINT.EXE, который находился в папке C:\ProgramData\PuzzleMedia. Удивительно, что зайдя в эту папку я не нашёл файла PRINT.EXE, остановил вручную .exe и удалил всю папку PuzzleMedia - майнинг не остановился. Перезагрузил ПК, через минуту майнинг снова начался, папка PuzzleMedia появилась вновь и вновь запустился процесс PRINT.EXE. ESET угрозы не нашёл. Я установил AVG, он закинул PuzzleMedia.exe из папки PuzzleMedia в карантин и майнинг прекратился. В очередной раз удалив папку PuzzleMedia и перезагрузив ПК опять появилась эта папка. Также я заметил, что в файле C:\ProgramData\ntuser.pol прописано что-то про PuzzleMedia, но удаляя этот файл ntuser.pol после перезагрузки он появляется заново. Установил AVZ, поставил свежие базы, он угроз не видит.
Как я понимаю, надо найти файл который прописывает в ntuser.pol задачу скачивать PuzzleMedia и всё его содержимое. А чего не понимаю, почему этот PRINT.EXE является невидимым exe-шником. Системные файлы в проводнике не скрыты. Заранее спасибо за помощь.

1

@kuks

Логи

Вложения

CollectionLog-2021.07.08-14.11.zip (130.3 Кб, 61 просмотров)

1

@Sandor

Здравствуйте!

Дополнительно подготовьте и прикрепите лог сканирования AdwCleaner.

1

@kuks

# -------------------------------
# Malwarebytes AdwCleaner 8.3.0.0
# -------------------------------
# Build: 06-29-2021
# Database: 2021-06-29.1 (Cloud)
# Support: https://www.malwarebytes.com/support
#
# -------------------------------
# Mode: Clean
# -------------------------------
# Start: 07-08-2021
# Duration: 00:00:02
# OS: Windows 10 Enterprise
# Cleaned: 25
# Failed: 0


***** [ Services ] *****

No malicious services cleaned.

***** [ Folders ] *****

Deleted C:\Program Files (x86)\Driver Identifier
Deleted C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Driver Identifier
Deleted C:\Users\opasn\AppData\Local\Temp\VideoConverter
Deleted C:\Users\opasn\AppData\Roaming\driveridentifier

***** [ Files ] *****

No malicious files cleaned.

***** [ DLL ] *****

No malicious DLLs cleaned.

***** [ WMI ] *****

No malicious WMI cleaned.

***** [ Shortcuts ] *****

No malicious shortcuts cleaned.

***** [ Tasks ] *****

No malicious tasks cleaned.

***** [ Registry ] *****

Deleted HKCU\Software\Google\Chrome\NativeMessagingHosts\ru.mail.go.ext_info_host
Deleted HKCU\Software\Microsoft\Internet Explorer\Main|Start Page
Deleted HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Fi rewallRules|{0D544F7C-5C82-48BF-A6BD-A023E24FDF29}
Deleted HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Fi rewallRules|{1014F0EF-0AC9-434B-9693-4F74FF797E36}
Deleted HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Fi rewallRules|{13E338C8-1E50-4F59-9F50-25AAED331822}
Deleted HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Fi rewallRules|{2B6CE2A1-A017-457A-BDFF-FC8C476FFC0F}
Deleted HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Fi rewallRules|{31F2DB92-1AC6-4857-8187-843956916060}
Deleted HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Fi rewallRules|{7E2AF963-D307-4108-9093-2A6EF90C0426}
Deleted HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Fi rewallRules|{9BD9829A-688C-470D-8FDE-1300837BDB47}
Deleted HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\Fi rewallRules|{AD5E1BC6-31AC-4019-AD58-42F3B633A3D8}
Deleted HKLM\Software\Wow6432Node\\Microsoft\Windows\CurrentVersion\Uninstall\{40A3E5DB-5EF8-4F04-BF3E-7AB87C4AE85A}_is1
Deleted HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main|Start Page
Deleted HKU\S-1-5-18\Software\Microsoft\Internet Explorer\Main|Start Page

***** [ Chromium (and derivatives) ] *****

Deleted Chameleon - dmpojjilddefgnhiicjcmhbkjgbbclob
Deleted __MSG_appName__ - meejmcfbiapijdfaadackoblffmidlig

***** [ Chromium URLs ] *****

Deleted https://find-it.pro/?utm_source=distr_m
Deleted https://find-it.pro/?utm_source=distr_m
Deleted https://find-it.pro/?utm_source=distr_m
Deleted https://find-it.pro/?utm_source=distr_m
Deleted https://find-it.pro/?utm_source=distr_m
Deleted https://find-it.pro/?utm_source=distr_m

***** [ Firefox (and derivatives) ] *****

No malicious Firefox entries cleaned.

***** [ Firefox URLs ] *****

No malicious Firefox URLs cleaned.

***** [ Hosts File Entries ] *****

0

@kuks

Хочу уточнить, что в итоге я нашёл файл Print.exe в папке System32 и удалил его, теперь майнинг идёт от процесса dllhost.exe, который так же находится в папке System32, при удалении он восстанавливается после перезагрузки.
AdwCleaner на 3-е сканирование вообще не находит угроз, а майнер продолжает работать.

Вложения

AdwCleaner[C00].txt (3.7 Кб, 11 просмотров)

0

@Sandor

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
(Если не помещаются, упакуйте).
Подробнее читайте в этом руководстве.

0

@kuks

Сегодня майнит процесс regsvr32.exe

0

@kuks

Логи

Вложения

logs.zip (42.3 Кб, 39 просмотров)

0

@Sandor

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  
  Код

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  GroupPolicy: Ограничение - Chrome <==== ВНИМАНИЕ
  GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
  Task: {4C771015-0822-49E2-A2F8-7C858BE632C3} - System32\Tasks\uBlockProLogonUpdate => C:\Users\opasn\AppData\Local\Programs\uBlock Pro\updater.exe [1667489 2021-06-24] (uBlock Pro) [Файл не подписан]
  AutoConfigURL: [S-1-5-21-2742933161-787367663-756083512-1001] => hxxp://antizapret.prostovpn.org/proxy.pac
  ManualProxies: 0hxxp://antizapret.prostovpn.org/proxy.pac
  C:\Users\opasn\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\odfafepnkmbhccpbejgmiehpchacaeak
  CHR Notifications: Default -> hxxps://best-loan-info.com; hxxps://ccleaner-download.xyz; hxxps://mail-notification.info; hxxps://mnthor.xyz; hxxps://ms-86.geomylife.info; hxxps://pinghauz.xyz; hxxps://s-tracking.xyz; hxxps://supertopfreegames.com; hxxps://www.twitch.tv; hxxps://www.youtube.com,*"; hxxps://zarabotok-online.xyz
  CHR StartupUrls: Default -> "hxxps://find-it.pro/?utm_source=distr_m","hxxps://www.google.com/"
  C:\Users\opasn\AppData\Local\Google\Chrome\User Data\Default\Extensions\cjpalhdlnbpafiamejdnhcphjbkeiagm
  C:\Users\opasn\AppData\Local\Google\Chrome\User Data\Default\Extensions\pfbelemfiiedkpdhjhcoafgkimlofkae
  CHR DefaultSearchURL: System Profile -> hxxp://search-cdn.net/fip/?q={searchTerms}
  CHR DefaultSearchKeyword: System Profile -> cdn
  R2 Transmission; C:\Program Files (x86)\Transmission\transmission-qt.exe [1558232 2021-07-03] (SignPath Foundation -> Transmission Project) <==== ВНИМАНИЕ
  R2 Transmission; C:\Program Files (x86)\Transmission\transmission-qt.exe [1558232 2021-07-03] (SignPath Foundation -> Transmission Project) <==== ВНИМАНИЕ
  2021-06-24 19:22 - 2021-06-24 19:22 - 000003584 _____ C:\windows\system32\Tasks\uBlockProLogonUpdate
  uBlock Pro - #1 Adblocker 1.0.0.0 (HKLM-x32\...\{128c1f13-cfdb-4551-ae5f-b034246486fa}) (Version: 1.0.0.0 - uBlock Pro) Hidden
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Через Geek Uninstaller удалите принудительно

2

@kuks

Спасибо. Майнера и подозрительных процессов больше нет (проверил несколькими перезагрузками), папку PuzzleMedia удалил.

0

@Sandor

юблок про удалить получилось?

0

@kuks

Получилось без проблем

0

@Sandor

Отлично! В завершение:

1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Параметры прокрутите вниз и выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

1

@kuks

В логах увидел что-то про YoutubeDownloader — вирусное расширение, которое у меня появлялось само по себе в браузере, до ручного удаления.

Вложения

SecurityCheck.txt (12.5 Кб, 13 просмотров)

0

@Sandor

------------------------------- [ Windows ] -------------------------------
Контроль учётных записей пользователя отключен (Уровень 1)
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
---------------------- [ AntiVirusFirewallInstall ] -----------------------
ESET Security v.14.2.10.0 Внимание! Скачать обновления
--------------------------- [ OtherUtilities ] ----------------------------
Notepad++ (64-bit x64) v.7.3.1 Внимание! Скачать обновления
Python 2.6.2 (64-bit) v.2.6.2150 Внимание! Скачать обновления
VeraCrypt v.1.23-Hotfix-2 Внимание! Скачать обновления
Microsoft Office 2007 Service Pack 3 (SP3) Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.20 (64-bit) v.5.20.0 Внимание! Скачать обновления
------------------------------- [ Imaging ] -------------------------------
paint.net v.4.2.14 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45449 Внимание! Клиент сети P2P с рекламным модулем!.
-------------------------------- [ Media ] --------------------------------
VLC media player v.3.0.10 Внимание! Скачать обновления
---------------------------- [ UnwantedApps ] -----------------------------
QIP Internet Guardian Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
YoutubeDownloader v.2.0.0.1400 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
No Mans Sky v1.6.2 / RePack by Azaq Внимание! Нелицензионное ПО, репак, утилита активации, кряк или кейген.

Да, пробуйте удалить. Если не получится стандартно, удаляйте принудительно через Geek Uninstaller

2