Поймал вирус-майнер, что делать?

@PaSh0k68 · Регистрация: 15.07.2022

Author24 — интернет-сервис помощи студентам

Всем добрый день. Поймал достаточно давно вирус-майнер, но обнаружил его только сейчас. Суть в том, что когда открываю диспетчер задач, ЦП загружен на 100, а потом резко опускается до нормального состояния. Уже и Dr.Web скачал, и фулл проверку сделал, и удалил все, затем увидел еще некоторые программы и их использовал, но после завершения их действия все равно захожу в Диспетчер задач и проц на 100%. Помогите, пожалуйста, решить проблему. Логи программ прикрепил:

@severnyj · 15.07.2022, 11:59

Подготовьте логи FRST: https://www.cyberforum.ru/post7151340.html

@PaSh0k68 · 15.07.2022, 12:07 **[ТС]**

После перехода по ссылке, чтобы скачать FRST, выдает ошибку 1007 (access denied)

@severnyj · 15.07.2022, 12:13

Скачайте и распакуйте из прикрепленного архива.

@PaSh0k68 · 15.07.2022, 12:23 **[ТС]**

Завершил сканирование (пришлось архивировать) :

@severnyj · 15.07.2022, 12:38

Отключите до перезагрузки антивирус.

Код

Start::
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
CHR HKU\S-1-5-21-3968715581-3501684755-1705682470-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fhkbfkkohcdgpckffakhbllifkakihmh]
CHR HKU\S-1-5-21-3968715581-3501684755-1705682470-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [kponpgbmhldcnpphiaflmibpkibijcme]
CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
CHR HKLM-x32\...\Chrome\Extension: [kponpgbmhldcnpphiaflmibpkibijcme]
S3 fiddrv64; отсутствует ImagePath
2022-07-15 10:00 - 2020-12-31 21:19 - 000000000 ____D C:\Users\User\MediaGet2
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Нет файла
WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"topx4\"",Filter="__EventFilter.Name=\"topx3\"::
WMI:subscription\__EventFilter->topx3::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 11000 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
AlternateDataStreams: C:\Windows\System32:tdsrinu.gfc [5882]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [488]
CMD:  netsh advfirewall reset
StartRegedit:
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS]
"DependOnService"=hex(7):52,00,50,00,43,00,53,00,53,00,00,00,00,00
"Description"="@%systemroot%\\system32\\vssvc.exe,-101"
"DisplayName"="@%systemroot%\\system32\\vssvc.exe,-102"
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,73,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,\
  74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,76,\
  00,73,00,73,00,76,00,63,00,2e,00,65,00,78,00,65,00,00,00
"ObjectName"="LocalSystem"
"ServiceSidType"=dword:00000001
"Start"=dword:00000003
"Type"=dword:00000010

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\SPP]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\ASR Writer]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\BITS Writer]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\COM+ REGDB Writer]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\IIS Config Writer]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\IIS Metabase Writer]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\Microsoft Hyper-V VSS Writer]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\MSMQ Writer (MSMQ)]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\MSSearch Service Writer]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\Registry Writer]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\Shadow Copy Optimization Writer]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\System Writer]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\VolSnap]
"Volume{483230d8-0000-0000-0000-500600000000}DiscoverSnapshots (Enter)"=hex:48,\
  00,00,00,00,00,00,00,00,22,8e,c1,70,3d,d6,01,00,00,00,00,00,00,00,00,20,00,\
  00,00,01,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00
"Volume{483230d8-0000-0000-0000-500600000000}DiscoverSnapshots (Leave)"=hex:48,\
  00,00,00,00,00,00,00,00,22,8e,c1,70,3d,d6,01,00,00,00,00,00,00,00,00,21,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00
"VolumesSafeForWrite (Enter)"=hex:48,00,00,00,00,00,00,00,34,32,8e,c2,70,3d,d6,\
  01,00,00,00,00,00,00,00,00,1e,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00
"VolumesSafeForWrite (Leave)"=hex:48,00,00,00,00,00,00,00,34,32,8e,c2,70,3d,d6,\
  01,00,00,00,00,00,00,00,00,1f,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Diag\WMI Writer]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Providers]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Providers\{b5946137-7b9f-4925-af80-51abd60b20d5}]
@="Microsoft Software Shadow Copy provider 1.0"
"Type"=dword:00000001
"Version"="1.0.0.7"
"VersionId"="{00000001-0000-0000-0007-000000000001}"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Providers\{b5946137-7b9f-4925-af80-51abd60b20d5}\CLSID]
@="{65EE1DBA-8FF4-4a58-AC1C-3470EE2F376A}"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Settings]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\Settings\WritersBlockingRevert]
"TornComponentsBlockRevert"=dword:00000001
"{2707761B-2324-473D-88EB-EB007A359533}"="DFS-R Writer"
"{B2014C9E-8711-4C5C-A5A9-3CF384484757}"="AD Writer"
"{D76F5A28-3092-4589-BA48-2958FB88CE29}"="FRS Writer"
"{DD846AAA-A1B6-42a8-AAF8-03DCB6114BFD}"="ADAM Writer"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VSS\VssAccessControl]
"NT Authority\\NetworkService"=dword:00000001

EndRegedit:
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

@PaSh0k68 · 15.07.2022, 12:47 **[ТС]**

Выполнено:

@severnyj · 15.07.2022, 12:49

Что с проблемой?

@PaSh0k68 · 15.07.2022, 12:51 **[ТС]**

Когда захожу в Диспетчер задач, все еще в начале стоит 100%

@severnyj · 15.07.2022, 12:58

А потом падает - это нормальное поведение Диспетчера задач.

Деинсталлируйте FRST - Переименуйте FRST64.exe в Uninstall.exe и запустите.

Расширенная поддержка закончилась Внимание! Скачать обновления
^Корпоративные версии обновляются установкой с DVD или Flash-носителя соответствующей редакции. На устройстве может отсутствовать возможность получать обновления, если его оборудование несовместимо, на нем нет актуальных драйверов или истек срок его поддержки, предоставляемой поставщиком вычислительной техники (OEM).^
Internet Explorer 11.388.19041.0 Внимание! Скачать обновления

NVIDIA GeForce Experience 3.22.0.32 v.3.22.0.32 Внимание! Скачать обновления
Python 3.9.2 (64-bit) v.3.9.2150.0 Внимание! Скачать обновления
Microsoft Visual Studio Code (User) v.1.63.2 Внимание! Скачать обновления
Microsoft Office Enterprise 2007 v.12.0.4518.1014 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice

7-Zip 16.04 (x64) v.16.04 Данная версия программы больше не поддерживается разработчиком.. Удалите старую версию, скачайте и установите новую.
7-Zip 19.00 v.19.00 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^

Discord v.0.0.309 Внимание! Скачать обновления
Microsoft Teams v.1.5.00.14473 Внимание! Скачать обновления
Zoom v.5.8.4 (1736) Внимание! Скачать обновления
Viber v.14.0.0.51 Внимание! Скачать обновления

Java 8 Update 51 (64-bit) v.8.0.510 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u333-windows-x64.exe)^

K-Lite Codec Pack 14.4.0 Standard v.14.4.0 Внимание! Скачать обновления
QuickTime 7 v.7.79.80.95 Данная программа больше не поддерживается разработчиком и имеет известные проблемы безопасности! Рекомендуется деинсталлировать данное ПО.

Adobe Reader XI (11.0.09) - Russian v.11.0.09 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC.

Opera GX Stable 88.0.4412.75 v.88.0.4412.75 Внимание! Скачать обновления
^Проверьте обновления через меню О программе!^

+

Рекомендации после удаления вредоносного ПО

@PaSh0k68 · 15.07.2022, 13:01 **[ТС]**

Да, потом прям резко падает (100% - 48% - 23% и тп). Тогда ладно, огромное человеческое спасибо Вам!

@severnyj · 15.07.2022, 13:10

Можете посмотреть, как у меня - никаких отличий - при старте всегда скачок вверх.

@PaSh0k68 · 15.07.2022, 13:21 **[ТС]**

Да-да, также, еще раз огромное спасибо, выручили!)

@severnyj 3877 / 2093 / 342 Регистрация: 04.04.2012 Сообщений: 7,702
	15.07.2022, 11:59	2
	Подготовьте логи FRST: https://www.cyberforum.ru/post7151340.html 0

@PaSh0k68 0 / 0 / 0 Регистрация: 15.07.2022 Сообщений: 13
	15.07.2022, 12:07 [ТС]	3
	После перехода по ссылке, чтобы скачать FRST, выдает ошибку 1007 (access denied) 0

@severnyj 3877 / 2093 / 342 Регистрация: 04.04.2012 Сообщений: 7,702
	15.07.2022, 12:49	8
	Что с проблемой? 0

@PaSh0k68 0 / 0 / 0 Регистрация: 15.07.2022 Сообщений: 13
	15.07.2022, 12:51 [ТС]	9
	Когда захожу в Диспетчер задач, все еще в начале стоит 100% 0

@severnyj 3877 / 2093 / 342 Регистрация: 04.04.2012 Сообщений: 7,702
	15.07.2022, 12:58	10
	А потом падает - это нормальное поведение Диспетчера задач. Деинсталлируйте FRST - Переименуйте FRST64.exe в Uninstall.exe и запустите. Расширенная поддержка закончилась Внимание! Скачать обновления ^Корпоративные версии обновляются установкой с DVD или Flash-носителя соответствующей редакции. На устройстве может отсутствовать возможность получать обновления, если его оборудование несовместимо, на нем нет актуальных драйверов или истек срок его поддержки, предоставляемой поставщиком вычислительной техники (OEM).^ Internet Explorer 11.388.19041.0 Внимание! Скачать обновления NVIDIA GeForce Experience 3.22.0.32 v.3.22.0.32 Внимание! Скачать обновления Python 3.9.2 (64-bit) v.3.9.2150.0 Внимание! Скачать обновления Microsoft Visual Studio Code (User) v.1.63.2 Внимание! Скачать обновления Microsoft Office Enterprise 2007 v.12.0.4518.1014 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice 7-Zip 16.04 (x64) v.16.04 Данная версия программы больше не поддерживается разработчиком.. Удалите старую версию, скачайте и установите новую. 7-Zip 19.00 v.19.00 Внимание! Скачать обновления ^Удалите старую версию, скачайте и установите новую.^ Discord v.0.0.309 Внимание! Скачать обновления Microsoft Teams v.1.5.00.14473 Внимание! Скачать обновления Zoom v.5.8.4 (1736) Внимание! Скачать обновления Viber v.14.0.0.51 Внимание! Скачать обновления Java 8 Update 51 (64-bit) v.8.0.510 Внимание! Скачать обновления ^Удалите старую версию и установите новую (jre-8u333-windows-x64.exe)^ K-Lite Codec Pack 14.4.0 Standard v.14.4.0 Внимание! Скачать обновления QuickTime 7 v.7.79.80.95 Данная программа больше не поддерживается разработчиком и имеет известные проблемы безопасности! Рекомендуется деинсталлировать данное ПО. Adobe Reader XI (11.0.09) - Russian v.11.0.09 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC. Opera GX Stable 88.0.4412.75 v.88.0.4412.75 Внимание! Скачать обновления ^Проверьте обновления через меню О программе!^ + Рекомендации после удаления вредоносного ПО 1

@PaSh0k68 0 / 0 / 0 Регистрация: 15.07.2022 Сообщений: 13
	15.07.2022, 13:01 [ТС]	11
	Да, потом прям резко падает (100% - 48% - 23% и тп). Тогда ладно, огромное человеческое спасибо Вам! 0

@severnyj 3877 / 2093 / 342 Регистрация: 04.04.2012 Сообщений: 7,702
	15.07.2022, 13:10	12
	Можете посмотреть, как у меня - никаких отличий - при старте всегда скачок вверх. Миниатюры 1

@PaSh0k68 0 / 0 / 0 Регистрация: 15.07.2022 Сообщений: 13
	15.07.2022, 13:21 [ТС]	13
	Да-да, также, еще раз огромное спасибо, выручили!) 0

Поймал вирус-майнер, что делать?

Решение