[решено] Скрытый майнинг и видео по кд

[Руся_Петрунин@vk]

1.Кто то майнит на маём пк причём когда я удаляю он не удаляется а качяется заново и запускается rarsfx10 и причём прячется как system

2.Cкачял я файл установил и видео с того канала запускается через минуты 2

[Руся_Петрунин@vk]

логи по правилам

Вам нужна помощь? Нам нужны ваши логи! Если их не будет, мы отправим вас в эту тему.

выложите

[Руся_Петрунин@vk]

Вот лог

Вложения

CollectionLog-2017.02.13-10.13.zip

(85.23 КБ) 0 скачиваний

CollectionLog-2017.02.13-10.13.zip

(85.23 КБ) 0 скачиваний

[iskander-k]

Вот лог

[Руся_Петрунин@vk]

Здравствуйте!



Через Панель управления - Удаление программ - удалите нежелательное ПО:


Цитата:



autoDENGI App



Закройте все программы,

временно выгрузите антивирус, файрволл и прочее защитное ПО

.

FAQ Помощи по рекомендациям и советам консультантов

(Файл - Выполнить скрипт):





Код:

Код: Выделить всё

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\users\ruslan123\appdata\roaming\wiudows\taskhostw.exe');
 TerminateProcessByName('c:\users\ruslan123\appdata\local\temp\dwm.exe');
 TerminateProcessByName('c:\users\ruslan123\appdata\roaming\adobe\svchost.exe');
 TerminateProcessByName('c:\users\ruslan~1\appdata\local\temp\rarsfx19\system.exe');
 QuarantineFile('c:\users\ruslan123\appdata\roaming\wiudows\taskhostw.exe','');
 QuarantineFileF('c:\program files (x86)\zaxar', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('c:\users\ruslan123\appdata\local\temp\dwm.exe', '');
 QuarantineFile('c:\users\ruslan123\appdata\roaming\adobe\svchost.exe', '');
 QuarantineFile('c:\users\ruslan~1\appdata\local\temp\rarsfx19\system.exe', '');
 QuarantineFile('C:\Users\ruslan123\AppData\system32\explorer.exe', '');
 QuarantineFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\explorer.exe', '');
 QuarantineFile('C:\Users\ruslan123\AppData\Roaming\WindowsUpdate.exe', '');
 QuarantineFile('C:\Users\ruslan123\AppData\Roaming\HDAudioDrive\smphost.exe.lnk', '');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '');
 QuarantineFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\5219e0740de761ad548fd7fa33cb39a8.exe', '');
 QuarantineFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\e6ce1ad7ecb66011de450cea42e2804f.exe', '');
 QuarantineFile('C:\Users\ruslan123\AppData\Local\Temp\RarSFX30\1.VBS', '');
 QuarantineFile('C:\Users\ruslan123\AppData\Local\Temp\RarSFX19\12.VBS', '');
 ExecuteFile('schtasks.exe', '/delete /TN "System Core" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{82049A9C-2309-4178-BB03-05B6EF91405B}" /F', 0, 15000, true);
 DeleteFile('c:\users\ruslan123\appdata\roaming\wiudows\taskhostw.exe','32');
 DeleteFile('c:\users\ruslan123\appdata\local\temp\dwm.exe', '32');
 DeleteFile('c:\users\ruslan123\appdata\roaming\adobe\svchost.exe', '32');
 DeleteFile('c:\users\ruslan~1\appdata\local\temp\rarsfx19\system.exe', '32');
 DeleteFile('C:\Users\ruslan123\AppData\system32\explorer.exe', '32');
 DeleteFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\explorer.exe', '32');
 DeleteFile('C:\Users\ruslan123\AppData\Roaming\WindowsUpdate.exe', '32');
 DeleteFile('C:\Users\ruslan123\AppData\Roaming\HDAudioDrive\smphost.exe.lnk', '32');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '32');
 DeleteFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\5219e0740de761ad548fd7fa33cb39a8.exe', '32');
 DeleteFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\e6ce1ad7ecb66011de450cea42e2804f.exe', '32');
 DeleteFileMask('c:\program files (x86)\zaxar', '*', true);
 DeleteDirectory('c:\program files (x86)\zaxar');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','System Core');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','5219e0740de761ad548fd7fa33cb39a8');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','e6ce1ad7ecb66011de450cea42e2804f');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','5219e0740de761ad548fd7fa33cb39a8');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','GoogleChromeAutoLaunch_850528626E5HFO8S7TEIWSFEC337D4CE6F2');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','explorer');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','e6ce1ad7ecb66011de450cea42e2804f');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows NT\CurrentVersion\Windows','Load');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Zaxar','command');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.







Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью

этой формы

или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine safezone.cc (замените [/i] на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.





Файл CheckBrowserLnk.log

из папки


Цитата:



...\AutoLogger\CheckBrowserLnk



перетащите на

утилиту ClearLNK

.







Отчёт о работе в виде файла ClearLNK-.log прикрепите к вашему следующему сообщению.



Скачайте

AdwCleaner (by Malwarebytes)

и сохраните его на Рабочем столе.Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Sx].txt.Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в

этом руководстве

.

[Sandor]

Цитата Sandor:



begin

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

TerminateProcessByName('c:\users\ruslan123\appdata\roaming\wiudows\taskhostw.exe');

TerminateProcessByName('c:\users\ruslan123\appdata\local\temp\dwm.exe');

TerminateProcessByName('c:\users\ruslan123\appdata\roaming\adobe\svchost.exe');

TerminateProcessByName('c:\users\ruslan~1\appdata\local\temp\rarsfx19\system.exe');

QuarantineFile('c:\users\ruslan123\appdata\roaming\wiudows\taskhostw.exe','');

QuarantineFileF('c:\program files (x86)\zaxar', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);

QuarantineFile('c:\users\ruslan123\appdata\local\temp\dwm.exe', '');

QuarantineFile('c:\users\ruslan123\appdata\roaming\adobe\svchost.exe', '');

QuarantineFile('c:\users\ruslan~1\appdata\local\temp\rarsfx19\system.exe', '');

QuarantineFile('C:\Users\ruslan123\AppData\system32\explorer.exe', '');

QuarantineFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\explorer.exe', '');

QuarantineFile('C:\Users\ruslan123\AppData\Roaming\WindowsUpdate.exe', '');

QuarantineFile('C:\Users\ruslan123\AppData\Roaming\HDAudioDrive\smphost.exe.lnk', '');

QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '');

QuarantineFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\5219e0740de761ad548fd7fa33cb39a8.exe', '');

QuarantineFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\e6ce1ad7ecb66011de450cea42e2804f.exe', '');

QuarantineFile('C:\Users\ruslan123\AppData\Local\Temp\RarSFX30\1.VBS', '');

QuarantineFile('C:\Users\ruslan123\AppData\Local\Temp\RarSFX19\12.VBS', '');

ExecuteFile('schtasks.exe', '/delete /TN "System Core" /F', 0, 15000, true);

ExecuteFile('schtasks.exe', '/delete /TN "{82049A9C-2309-4178-BB03-05B6EF91405B}" /F', 0, 15000, true);

DeleteFile('c:\users\ruslan123\appdata\roaming\wiudows\taskhostw.exe','32');

DeleteFile('c:\users\ruslan123\appdata\local\temp\dwm.exe', '32');

DeleteFile('c:\users\ruslan123\appdata\roaming\adobe\svchost.exe', '32');

DeleteFile('c:\users\ruslan~1\appdata\local\temp\rarsfx19\system.exe', '32');

DeleteFile('C:\Users\ruslan123\AppData\system32\explorer.exe', '32');

DeleteFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\explorer.exe', '32');

DeleteFile('C:\Users\ruslan123\AppData\Roaming\WindowsUpdate.exe', '32');

DeleteFile('C:\Users\ruslan123\AppData\Roaming\HDAudioDrive\smphost.exe.lnk', '32');

DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '32');

DeleteFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\5219e0740de761ad548fd7fa33cb39a8.exe', '32');

DeleteFile('C:\Users\ruslan123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\e6ce1ad7ecb66011de450cea42e2804f.exe', '32');

DeleteFileMask('c:\program files (x86)\zaxar', '*', true);

DeleteDirectory('c:\program files (x86)\zaxar');

RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','System Core');

RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','5219e0740de761a d548fd7fa33cb39a8');

RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','e6ce1ad7ecb6601 1de450cea42e2804f');

RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','5219e0740de761ad 548fd7fa33cb39a8');

RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','GoogleChromeAuto Launch_850528626E5HFO8S7TEIWSFEC337D4CE6F2');

RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','explorer');

RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update');

RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','e6ce1ad7ecb66011 de450cea42e2804f');

RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows NT\CurrentVersion\Windows','Load');

RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Zaxar','command');

ExecuteSysClean;

ExecuteWizard('SCU', 2, 3, true);

CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');

RebootWindows(true);

end.

[решено] Скрытый майнинг и видео по кд

Крашит винду



Нужно удалить папки RarSFX но они не удаляются а сразу появляются

[Руся_Петрунин@vk]

Я так понел что из-за этой команды создаётся всё Set WshShell = CreateObject("WScript.Shell")

WshShell.Run chr(34) & "1.bat" & Chr(34), 0

Set WshShell = Nothing расширение файла файл сценария

[Руся_Петрунин@vk]

Цитата Руся_Петрунин@vk:



Крашит винду

[решено] Скрытый майнинг и видео по кд

Первый скрипт выполните в Безопасном режиме. Остальное делайте в обычном режиме.

[Sandor]

Цитата Sandor:



Первый скрипт выполните в Безопасном режиме. Остальное делайте в обычном режиме.

[решено] Скрытый майнинг и видео по кд

Спасибо огромное!!!!!!

[Руся_Петрунин@vk]

Не бросайте, пожалуйста, тему. Жду еще два лога.