[решено] Троян. Не виден файл host. Нет доступа к сайтам с антивирусами.

[PticaOgnennaya]

Добрый день.

Удалось скачать через VPN и проверить cureit, вылечил малварь в два захода. Но нет уверенности, что оно не оставило следов. Спасибо!

[Sandor]

Здравствуйте!

Осталось и много :)

Скачайте AV block remover ('https://www.safezone.cc/resources/av-block-remover-avbr.224/') (или с зеркала ('https://gateway.ipfs.io/ipns/k51qzi5uqu5dgxe9lp4ajfxoa6kx673upp405piwtr9dx2ecuz0bn02560gn9i')).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Можно также воспользоваться версией со случайным именем ('https://avbr.safezone.cc/rnd/').

Если и так не сработает, запускайте программу из любой папки кроме папок Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.

[PticaOgnennaya]

О, боги :)

[Sandor]

Хорошо, кое-что ещё нужно дочистить.

1. Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Bonjour
DAEMON Tools Lite


2. Пофиксите в HijackThis (http://forum.oszone.net/post-1430293-2.html) следующие строчки:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = *.local
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [ConsentPromptBehaviorAdmin] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [EnableLUA] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [PromptOnSecureDesktop] = 0
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 0
O22 - Tasks: \Microsoft\Windows\DataBaseY\RecoveryHosts - C:\ProgramData\Microsoft\MapData\jStyaTGU5\DataBaseY.bat (file missing)
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0


Перезагрузите компьютер.

3. Скачайте Farbar Recovery Scan Tool (https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) (или с зеркала (https://www.safezone.cc/resources/farbar-recovery-scan-tool.231/)) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве ('https://safezone.cc/threads/17759/').

[PticaOgnennaya]

Готово

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

Отключите до перезагрузки антивирус.
Выделите следующий код:

Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
AlternateShell: <==== ВНИМАНИЕ
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
C:\Users\Светик\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
CHR HomePage: Profile 2 -> hxxps://find-it.pro/?utm_source=distr_m
C:\Users\Светик\AppData\Local\Google\Chrome\User Data\Profile 4\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
CHR HomePage: Profile 5 -> hxxp://mail.ru/cnt/10445?gp=821272
CHR StartupUrls: Profile 5 -> "hxxp://mail.ru/cnt/10445?gp=821272"
C:\Users\Светик\AppData\Local\Google\Chrome\User Data\Profile 5\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
C:\Users\Светик\AppData\Local\Google\Chrome\User Data\Profile 6\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
C:\Users\Светик\AppData\Local\Google\Chrome\User Data\Profile 7\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
CHR HKLM-x32\...\Chrome\Extension: [kadaohckdkghfaclhjmkmplebcdcnfnp] - <отсутствует Path/update_url>
FirewallRules: [{c1147d28-b7e0-4e43-8241-8c27cf9da78a}] => (Allow) C:\LDPlayer\LDPlayer9\dnplayer.exe => Нет файла
FirewallRules: [{23a542f2-f65a-404e-8aab-3632fe2129d0}] => (Allow) C:\Program Files\ldplayer9box\VBoxNetNAT.exe => Нет файла
FirewallRules: [{7465932a-e68d-4106-b94e-5e0475caaea3}] => (Allow) C:\Program Files\ldplayer9box\Ld9BoxHeadless.exe => Нет файла
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::


Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве ('https://safezone.cc/threads/17760/').

Еще раз соберите новые логи FRST.txt и Addition.txt, т.к. предыдущие неполные получились.

[PticaOgnennaya]

Готово

[Sandor]

Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению. »
Это еще забыли

[PticaOgnennaya]

Да, точно, забыл, отправляю

[Sandor]

Хорошо. Что сейчас с системой?

[PticaOgnennaya]

Полет нормальный) Появилось восстановление системы, защитник windows, желание наконец-то осилить подготовительное отделение)

[Sandor]

Отлично!
В завершение:
1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.
Загрузите SecurityCheck by glax24 & Severnyj (https://safezone.cc/resources/security-check-by-glax24.25/), сохраните утилиту на Рабочем столе и извлеките из архива.
Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

[PticaOgnennaya]

Готово

[Sandor]

Исправьте по возможности:

HotFix KB5055518 Внимание! Скачать обновления (https://www.catalog.update.microsoft.com/Search.aspx?q=KB5055518)
KeePass Password Safe 2.57.1 v.2.57.1 Внимание! Скачать обновления (https://keepass.info/download.html)
CrystalDiskInfo 9.6.1 v.9.6.1 Внимание! Скачать обновления (https://sourceforge.net/projects/crystaldiskinfo/files/9.6.3/CrystalDiskInfo9_6_3.exe/download)
NVIDIA GeForce Experience 2.11.4.125 v.2.11.4.125 Внимание! Скачать обновления (https://ru.download.nvidia.com/GFE/GFEClient/3.28.0.417/GeForce_Experience_v3.28.0.417.exe)
SumatraPDF v.3.4.6 Внимание! Скачать обновления (https://www.sumatrapdfreader.org/download-free-pdf-viewer)
Python 3.10.6 (64-bit) v.3.10.6150.0 Внимание! Скачать обновления (https://www.python.org/downloads/windows/)
Microsoft Visual Studio Code (User) v.1.94.2 Внимание! Скачать обновления (https://code.visualstudio.com/download)
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.38.33135 v.14.38.33135.0 Внимание! Скачать обновления (https://download.visualstudio.microsoft.com/download/pr/285b28c7-3cf9-47fb-9be8-01cf5323a8df/C4E3992F3883005881CF3937F9E33F1C7D792AC1C860EA9C52D8F120A16A7EB1/VC_redist.x86.exe)
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.38.33135 v.14.38.33135.0 Внимание! Скачать обновления (https://download.visualstudio.microsoft.com/download/pr/285b28c7-3cf9-47fb-9be8-01cf5323a8df/8F9FB1B3CFE6E5092CF1225ECD6659DAB7CE50B8BF935CB79BFEDE1F3C895240/VC_redist.x64.exe)
Microsoft OneDrive v.19.043.0304.0013 Внимание! Скачать обновления (https://oneclient.sfx.ms/Win/Installers/25.059.0327.0001/amd64/OneDriveSetup.exe)
7-Zip 21.07 (x64) v.21.07 Внимание! Скачать обновления (https://www.7-zip.org/download.html)
^Удалите старую версию, скачайте и установите новую.^
Total Commander 64+32-bit (Remove or Repair) v.11.03 Внимание! Скачать обновления (https://www.ghisler.com/download.htm)
paint.net v.5.0.13 Внимание! Скачать обновления (https://github.com/paintdotnet/release/releases/latest)
Zoom v.5.17.7 (31859) Внимание! Скачать обновления (https://zoom.us/client/latest/ZoomInstaller.exe)
Audacity 3.7.1 v.3.7.1 Внимание! Скачать обновления (https://github.com/audacity/audacity/releases)
PotPlayer-64 bit v.24.12.16.0 Внимание! Скачать обновления (https://potplayer.daum.net/)
LAV Filters 0.76.1 v.0.76.1 Внимание! Скачать обновления (https://github.com/Nevcairiel/LAVFilters/releases/latest)
Yandex v.25.2.5.956 Внимание! Скачать обновления (https://download.cdn.yandex.net/browser/yandex/ru/Yandex.exe)
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^


Читайте Рекомендации после лечения. (http://forum.oszone.net/post-1838507-9.html)

[PticaOgnennaya]

Благодарю!