Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Информационная безопасность » Лечение систем от вредоносных программ » malware bytes показывает много майнеров

Ответить
Настройки темы
malware bytes показывает много майнеров

Новый участник


Сообщения: 8
Благодарности: 0

Профиль | Отправить PM | Цитировать


Изменения
Автор: Antarktik
Дата: 07-07-2019
malware bytes показывает очень много вирусов,но компьютер не лагает вроде,а там показывает много майнеров,так вопрос в том,стоит ли всё чистить?

upd: не смог загрузить лог антивирусника так что кидаю ссылку на файл обменник https://dropmefiles.com/px8PT

Отправлено: 15:04, 07-07-2019

 
SQx SQx вне форума

Аватара для SQx

Пользователь


Консультант


Сообщения: 74
Благодарности: 13

Профиль | Отправить PM | Цитировать


Здравствуйте,

Вам нужна помощь? Нам нужны ваши логи! Если их не будет, мы отправим вас в эту тему.

-------
CCNA, CCNP, CCNA Security, CCDA, CCDP, MCP


Отправлено: 15:22, 07-07-2019 | #2



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Новый участник


Сообщения: 8
Благодарности: 0

Профиль | Отправить PM | Цитировать


Вложения
Тип файла: zip CollectionLog-2019.07.07-19.31.zip
(81.1 Kb, 2 просмотров)

Цитата SQx:
Здравствуйте,
Вам нужна помощь? Нам нужны ваши логи! Если их не будет, мы отправим вас в эту тему. »
вот лог из логгера

Последний раз редактировалось Antarktik, 07-07-2019 в 15:45.


Отправлено: 15:33, 07-07-2019 | #3

SQx SQx вне форума

Аватара для SQx

Пользователь


Консультант


Сообщения: 74
Благодарности: 13

Профиль | Отправить PM | Цитировать


Здравствуйте,

Удалите Lavasoft(Web Companion), YoutubeAdBlock, Zaxar через установку программ в панели управления.


Сами прописывали в автозагрузку?
Код: Выделить весь код
O4 - HKCU\..\StartupApproved\StartupFolder: C:\Users\fox\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\debug.nfo (2018/10/23)
O4 - HKCU\..\StartupApproved\StartupFolder: C:\Users\fox\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\speedfanevents.cfg (2018/06/23)
O4 - HKCU\..\StartupApproved\StartupFolder: C:\Users\fox\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\speedfanparams.cfg (2018/06/23)
O4 - HKCU\..\StartupApproved\StartupFolder: C:\Users\fox\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\speedfansens.cfg (2018/06/23)


HiJackThis профиксить
Важно: необходимо отметить и профиксить только то, что указано ниже.
Код: Выделить весь код
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKA1VtC1mRJr0-ErU7DQvze26qMhqdYvz-3--qNpMUBv4J8VJeL_EOEqsxmwfK9keTlqDBzoJkyi62Spq33H4smM4Egvibo3yL5PdxT0ooVnufm3genFLD5cMarvxvGz7IrQmeeplu7a4qmCCa0fBaguio5CEwxmhsv9gE3YZzlc0ZpRFtzyvblf&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKA1VtC1mRJr0-ErU7DQvze26qMhqdYvz-3--qNpMUBv4J8VJeL_EOEqsxmwfK9keTlqDBzoJkyi62Spq33H4smM4Egvibo3yL5PdxT0ooVnufm3genFLD5cMarvxvGz7IrQmeeplu7a4qmCCa0fBaguio5CEwxmhsv9gE3YZzlc0ZpRFtzyvblf&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [Default_Search_URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKA1VtC1mRJr0-ErU7DQvze26qMhqdYvz-3--qNpMUBv4J8VJeL_EOEqsxmwfK9keTlqDBzoJkyi62Spq33H4smM4Egvibo3yL5PdxT0ooVnufm3genFLD5cMarvxvGz7IrQmeeplu7a4qmCCa0fBaguio5CEwxmhsv9gE3YZzlc0ZpRFtzyvblf&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main: [SearchAssistant] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKA1VtC1mRJr0-ErU7DQvze26qMhqdYvz-3--qNpMUBv4J8VJeL_EOEqsxmwfK9keTlqDBzoJkyi62Spq33H4smM4Egvibo3yL5PdxT0ooVnufm3genFLD5cMarvxvGz7IrQmeeplu7a4qmCCa0fBaguio5CEwxmhsv9gE3YZzlc0ZpRFtzyvblf&q={searchTerms}
O2 - HKLM\..\BHO: YoutubeAdBlock - {984AFA40-4BEC-457F-AEDE-FE3404A646FA} - C:\Program Files (x86)\VKkhWVSisIE\tYcpbNg.dll (file missing)
O2-32 - HKLM\..\BHO: YoutubeAdBlock - {984AFA40-4BEC-457F-AEDE-FE3404A646FA} - C:\Program Files (x86)\VKkhWVSisIE\kHoGPiheO.dll (file missing)
O4 - HKCU\..\StartupApproved\Run: [Web Companion] = C:\Program Files (x86)\Lavasoft\Web Companion\Application\WebCompanion.exe --minimize (file missing) (2019/01/03)
O22 - Task: DvwLFWwXutwLxJgmB2 - C:\WINDOWS\system32\rundll32.exe "C:\Program Files (x86)\ooxzIAzTqruiVIszQdR\qmPklob.dll",#1
O22 - Task: SOVqgpLsuXhFCxp2 - C:\WINDOWS\system32\rundll32.exe "C:\Program Files (x86)\fHDlqDVwU\MVvwqu.dll",#1
O22 - Task: UXshqEpiPQcXH2 - C:\WINDOWS\system32\wscript.exe "C:\ProgramData\BuHcEEPgNwocAWVB\MpeHOhW.wsf"
O22 - Task: iYMvCriySoqaGgPjbmR2 - C:\WINDOWS\system32\rundll32.exe "C:\Program Files (x86)\qUgzYKxVLnesC\DKniSRP.dll",#1
O22 - Task: mMzvDpxKxjJVUr - C:\WINDOWS\system32\rundll32.exe "C:\Program Files (x86)\hUmbquBpttZU2\BMbVXvAwwqLuG.dll",#1


AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
Код: Выделить весь код
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 DelBHO('{984AFA40-4BEC-457F-AEDE-FE3404A646FA}');
 QuarantineFile('C:\Program Files (x86)\VKkhWVSisIE\tYcpbNg.dll','');
 QuarantineFile('C:\Program Files (x86)\VKkhWVSisIE\kHoGPiheO.dll','');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','');
 QuarantineFile('C:\WINDOWS\system32\Chanlaiwzheng.sys','');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','64');
 DeleteFile('C:\Program Files (x86)\VKkhWVSisIE\kHoGPiheO.dll','32');
 DeleteFile('C:\Program Files (x86)\VKkhWVSisIE\tYcpbNg.dll','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код: Выделить весь код
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.
К сообщению прикреплять файл quarantine.zip не нужно!



- Подготовьте и прикрепите лог сканирования AdwCleaner.

-------
CCNA, CCNP, CCNA Security, CCDA, CCDP, MCP


Отправлено: 15:51, 07-07-2019 | #4


Новый участник


Сообщения: 8
Благодарности: 0

Профиль | Отправить PM | Цитировать


Цитата SQx:
Сами прописывали в автозагрузку?
Код:
O4 - HKCU\..\StartupApproved\StartupFolder: C:\Users\fox\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\debug.nfo (2018/10/23)
O4 - HKCU\..\StartupApproved\StartupFolder: C:\Users\fox\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\speedfanevents.cfg (2018/06/23)
O4 - HKCU\..\StartupApproved\StartupFolder: C:\Users\fox\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\speedfanparams.cfg (2018/06/23)
O4 - HKCU\..\StartupApproved\StartupFolder: C:\Users\fox\AppData\Roaming\Microsoft\Windows\Start Menu\P »
да,сам,кроме первого

Цитата SQx:
Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью формы отправки карантина »
у меня не 7z,а zip
имя карантина: 2019.07.07_quarantine_76cdb2bad9582d23c1f6f4d868218d6c.zip

Последний раз редактировалось Antarktik, 07-07-2019 в 16:20.


Отправлено: 16:11, 07-07-2019 | #5


Новый участник


Сообщения: 8
Благодарности: 0

Профиль | Отправить PM | Цитировать


Вложения
Тип файла: txt AdwCleaner[S00].txt
(9.9 Kb, 2 просмотров)

вот лог adwcleaner

Отправлено: 16:17, 07-07-2019 | #6

SQx SQx вне форума

Аватара для SQx

Пользователь


Консультант


Сообщения: 74
Благодарности: 13

Профиль | Отправить PM | Цитировать


Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.





AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
Код: Выделить весь код
var j:integer; NumStr:string;
begin
for j:=0 to 999 do
begin
if j=0 then
NumStr:='CurrentControlSet' else
if j<10 then
NumStr:='ControlSet00'+IntToStr(j) else
if j<100 then
NumStr:='ControlSet0'+IntToStr(j) else
NumStr:='ControlSet'+IntToStr(j);
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
SetServiceStart('RemoteRegistry', 4);
ExecuteRepair(14);
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.
После выполнения скрипта компьютер перезагрузится.

Файл fystemRoot.log из папки AVZ прикрепите в следующем сообщение.

-------
CCNA, CCNP, CCNA Security, CCDA, CCDP, MCP


Отправлено: 17:37, 07-07-2019 | #7


Новый участник


Сообщения: 8
Благодарности: 0

Профиль | Отправить PM | Цитировать


Вложения
Тип файла: txt AdwCleaner[C01].txt
(5.9 Kb, 1 просмотров)
Тип файла: log fystemRoot.log
(665 байт, 1 просмотров)

Цитата SQx:
После выполнения скрипта компьютер перезагрузится. »
компьютер не перезагрузился..

Отправлено: 21:21, 07-07-2019 | #8

SQx SQx вне форума

Аватара для SQx

Пользователь


Консультант


Сообщения: 74
Благодарности: 13

Профиль | Отправить PM | Цитировать


Приложите пожалуйста новые логи согласно правилам раздела.
Вам нужна помощь? Нам нужны ваши логи! Если их не будет, мы отправим вас в эту тему.
Необходимо убедиться, что исправление службы Windows Update прошло удачно.

Цитата Antarktik:
компьютер не перезагрузился.. »
Спасибо за детали, можно это проигнорировать, так как этот пункт был исключен из фикса.

-------
CCNA, CCNP, CCNA Security, CCDA, CCDP, MCP


Отправлено: 21:52, 07-07-2019 | #9


Новый участник


Сообщения: 8
Благодарности: 0

Профиль | Отправить PM | Цитировать


Вложения
Тип файла: zip CollectionLog-2019.07.08-02.35.zip
(81.7 Kb, 1 просмотров)

вот

Отправлено: 22:37, 07-07-2019 | #10



Компьютерный форум OSzone.net » Информационная безопасность » Лечение систем от вредоносных программ » malware bytes показывает много майнеров

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
Загрузка - [решено] Долгая загрузка на голубом фоне и много-много появляющихся точек deem73 Microsoft Windows 2000/XP 5 01-12-2014 17:21
522788 bytes это сколько в Гигабайтах? micro8 Хочу все знать 7 14-03-2013 08:07
HDD - [решено] Тест HDD показывает много оранжевых UnderTaket Накопители (SSD, HDD, USB Flash) 27 01-02-2011 04:29
Private bytes, working set, virtual bytes. Обьясните пож Barvetal Хочу все знать 4 06-04-2010 20:35
HDD - Hard Drive Inspector показывает что много bad'ов Brard Накопители (SSD, HDD, USB Flash) 32 23-06-2009 22:36




 
Переход