Заразился вирусом, закрывает диспетчер, браузер и не дает открывать и загружать некоторые программы

@AlbinoLull · Регистрация: 10.08.2022

Студворк — интернет-сервис помощи студентам

Доброго времени суток.
Поймал вирус, впервые
Не сильно разбираюсь в этом, но он закрывает диспетчер задач, когда пытаюсь открыть расположение файла COM surrogate, находящийся в папке Realtek, так же заметил появившийся файл в автозагрузке realtek, который включается вновь при перезапуске.
Закрывает все программы, которые могут помочь, autologger, AVbr и некоторые другие подобного типа. что бы сделать лог, пришлось создать новый профиль пользователя, не знаю как это повлияло на него(лог).
Так же закрывает браузер(любой) при попытке входа на ваш сайт и другие, где есть решение проблем с этим файлом.
Заранее спасибо

@thyrex · 12.08.2022, 06:52

Попробуйте выполнить фикс простым запуском HiJackThis

@AlbinoLull · 12.08.2022, 09:45 **[ТС]**

Выполнил, ничего не поменялось, но там небыло некоторых строк. Истешет я не могу запустить автологер

@AlbinoLull · 12.08.2022, 10:42 **[ТС]**

пару логов, которые удалось собрать без прав администратора

@thyrex · 12.08.2022, 12:35

А каких строчек Вы не нашли для фикса в HiJack?

Задания Планировщика, которые запускали сам майнер, прекрасно удалены, а вот все записи в файле hosts на месте, равно как и запись в реестре.

O4 - HKLM\..\StartupApproved\StartupFolder: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Visio.lnk -> C:\ute\wtushelah-esa.exe -B -r 3 --donate-level=1 -o stratum+tcp://de4.pool-pay.com:15617 -u 42kpRiw7ighU7iw7iq7kuirF3TYRifQ7iwqiw7ak juwuigkUtwUtiwuiF3iwF3iwwinUtyzk7dwUtiTi wU156U72iU7iiyiwVkwptyewqU.id13 -p x -t 4 (2021/05/31)

А это сами майнингом занимаетесь?

@AlbinoLull · 12.08.2022, 12:50 **[ТС]**

Не нашёл строчки 022, Майнингом не занимаюсь

Добавлено через 1 минуту
Но права администратора так и не вернулись, можно их как то вернуть и удалить удалённого пользователя?

@thyrex · 12.08.2022, 12:52

C:\ute\wtushelah-esa.exe - проверьте на virustotal.com и пришлите ссылку на результат анализа

@AlbinoLull · 13.08.2022, 01:01 **[ТС]**

а у меня нет этого файла

@AlbinoLull · 13.08.2022, 01:06 **[ТС]**

нашел это, удалить не могу

@thyrex · 13.08.2022, 01:37

FRST запускается без прав администратора? Если да, сделайте его логи еще раз. Может таки удастся что-то исправить.

@AlbinoLull · 13.08.2022, 10:04 **[ТС]**

удалось

@thyrex · 13.08.2022, 12:31

C:\Users\AlbinoLull\Downloads\Torrent Game - в этой папке первопричина Ваших проблем вообще. Репак игры, после запуска которого все и понеслось. Но в любом случае это не должно было привести к таким проблемам, значит, что-то перемкнуло в самой системе.

Выполните написанное ниже в безопасном режиме

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
Start::
SystemRestore: On
HKLM\...\Run: [Realtek HD Audio] => C:\ProgramData\RealtekHD\taskhostw.exe [46657552 2022-07-27] (Доступ не разрешён)  [Файл не подписан] (Доступ не разрешён) <==== ВНИМАНИЕ
HKU\S-1-5-21-4107695417-2313012266-568464087-1001\...\Policies\Explorer: [DisallowRun] 1
File: C:\ute\Gen.exe
Folder: C:\ute
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Gen.lnk [2021-05-20]
ShortcutTarget: Gen.lnk -> C:\ute\Gen.exe (Igor Nys) [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Visio.lnk [2021-05-21]
ShortcutTarget: Visio.lnk -> C:\ute\wtushelah-esa.exe (Нет файла)
R2 TermService; C:\Program Files\RDP Wrapper\rdpwrap.dll [116736 2022-07-30] (Stas'M Corp.) [Файл не подписан] <==== ВНИМАНИЕ (отсутствует ServiceDLL)
Unlock: C:\Users\tast
Cmd: net user Администратор /active:yes
Cmd: net user John /active:no
Cmd: net user John /delete
Unlock: C:\FRST
2022-08-10 20:56 - 2022-08-10 20:57 - 000000000 ____D C:\Users\John.DESKTOP-UAO7VRV
2022-07-30 15:03 - 2022-08-10 15:46 - 000000000 __SHD C:\AdwCleaner
2022-07-30 15:03 - 2022-08-10 15:46 - 000000000 ____D C:\Program Files (x86)\IObit
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\Windows Tasks Service
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\WavePad
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\RobotDemo
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\PuzzleMedia
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\Norton
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\McAfee
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\MB3Install
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\Malwarebytes
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\grizzly
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\FingerPrint
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\Evernote
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\ESET
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\Doctor Web
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\AVAST Software
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\360safe
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\SpyHunter
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Ravantivirus
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Rainmeter
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Process Lasso
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Malwarebytes
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Loaris Trojan Remover
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Kaspersky Lab
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\ESET
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Enigma Software Group
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\DrWeb
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\COMODO
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Common Files\McAfee
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Common Files\Doctor Web
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Common Files\AV
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Cezurity
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\ByteFence
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\Bitdefender Agent
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\AVG
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files\AVAST Software
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files (x86)\Transmission
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files (x86)\SpyHunter
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files (x86)\Panda Security
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files (x86)\Kaspersky Lab
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files (x86)\Cezurity
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files (x86)\AVG
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\Program Files (x86)\360
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\KVRT2020_Data
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 __SHD C:\KVRT_Data
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 ___HD C:\Program Files\RDP Wrapper
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 ____D C:\WINDOWS\speechstracing
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 ____D C:\Users\AlbinoLull\AppData\Roaming\RMS_settings
2022-07-30 15:03 - 2022-07-30 15:03 - 000000000 ____D C:\ProgramData\Avira
2022-07-30 15:02 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\WindowsTask
2022-07-30 15:02 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\Setup
2022-07-30 15:02 - 2022-07-30 15:03 - 000000000 __SHD C:\ProgramData\Install
2022-07-30 15:02 - 2022-07-30 15:02 - 000000000 __SHD C:\ProgramData\RunDLL
2022-07-30 15:02 - 2022-07-30 15:02 - 000000000 __SHD C:\ProgramData\RealtekHD
2022-07-30 15:02 - 2022-07-30 15:02 - 000000000 ___HD C:\Users\John
2022-07-30 15:02 - 2022-07-30 15:02 - 000000000 ____D C:\ProgramData\System32
Unlock: C:\MSOCache
Unlock: C:\WINDOWS\system32\config
Unlock: C:\WINDOWS\system32\Configuration
Unlock: C:\WINDOWS\system32\DriverState
Unlock: C:\WINDOWS\system32\FxsTmp
Unlock: C:\WINDOWS\system32\ias
Unlock: C:\WINDOWS\system32\MsDtc
Unlock: C:\WINDOWS\system32\networklist
Unlock: C:\WINDOWS\system32\SleepStudy
Unlock: C:\WINDOWS\system32\sru
Unlock: C:\WINDOWS\system32\Tasks
Unlock: C:\WINDOWS\system32\Tasks_Migrated
Unlock: C:\WINDOWS\system32\WDI
Folder: C:\WINDOWS\system32\Tasks_Migrated
Unlock: C:\WINDOWS\SysWOW64\config
Unlock: C:\WINDOWS\SysWOW64\Configuration
Unlock: C:\WINDOWS\SysWOW64\FxsTmp
Unlock: C:\WINDOWS\SysWOW64\Msdtc
Unlock: C:\WINDOWS\SysWOW64\networklist
Unlock: C:\WINDOWS\SysWOW64\sru
Unlock: C:\WINDOWS\SysWOW64\Tasks
Unlock: C:\WINDOWS\system32\Drivers\DriverData
AlternateDataStreams: C:\Users\AlbinoLull\AppData\Local\Temp:$DATA​ [16]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [10208]
Hosts:
HKLM\...\StartupApproved\StartupFolder: => "Visio.lnk"
HKLM\...\StartupApproved\StartupFolder: => "Gen.lnk"
FirewallRules: [{F8EA2582-4C27-49F7-A906-5A90D173C856}] => (Allow) C:\ProgramData\WindowsTask\AppModule.exe () [Файл не подписан]
FirewallRules: [{6644EFD4-ECF8-4CDE-940E-2D47054B203C}] => (Block) LPort=139
FirewallRules: [{D4F47310-2804-4AB8-BBFD-5E32F05E51CE}] => (Allow) C:\ProgramData\WindowsTask\AMD.exe () [Файл не подписан]
FirewallRules: [{1C514F74-2BE8-4480-A0BD-94F4384BF77E}] => (Block) LPort=445
FirewallRules: [{897AB8C1-8B11-4256-8AE3-6F678FF01CB2}] => (Block) LPort=445
FirewallRules: [{30400613-25DB-41BA-9AAB-F3928E11637F}] => (Block) LPort=139
FirewallRules: [{0F974288-3719-4181-9462-2AAC11E73BAA}] => (Allow) C:\ProgramData\Windows Tasks Service\winserv.exe (tox) [Файл не подписан]
FirewallRules: [{4A8B8E15-3D25-4951-BE83-A04DE0643877}] => (Allow) LPort=3389
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

Обратите внимание: будет выполнена перезагрузка компьютера.

@AlbinoLull · 13.08.2022, 13:29 **[ТС]**

А не возникнет проблем в запуске от администратора? И я думаю стоит удалить тот файл?

@thyrex · 13.08.2022, 13:39

Пробуем без прав админа и посмотрим, что выйдет

@AlbinoLull · 14.08.2022, 01:31 **[ТС]**

вот что получилось, ПК не перезагрузился, просто выбило лог, перезагрузил сам, вроде ничего не поменялось

@thyrex · 14.08.2022, 08:42

Теперь удалите старые логи FRST.txt и Addition.txt, сделайте новые логи Farbar

@AlbinoLull · 14.08.2022, 10:04 **[ТС]**

Новые логи

@Sandor · 14.08.2022, 15:23

Дополнительно, пожалуйста:
Подготовьте лог uVS.

@AlbinoLull · 15.08.2022, 01:17 **[ТС]**

а я не могу сделать логи с него, там требуются права администратора для запуска

@thyrex · 15.08.2022, 01:52

По ссылке предложено несколько способов, а не только прямо с проблемной системы

@AlbinoLull · 15.08.2022, 10:51 **[ТС]**

Ладно, спасибо вам огромное, вы лучшие, но видимо просто можно переустановить винду, будет проще мне

Надеюсь это исправится после

Новые блоги и статьи Все статьи Все блоги /
сукцессия 29. Переход от одних деревьев на другие делать более или менее вероятностным? anaschu 12.07.2026 Насколько смена типов микоризы — исключительное событие в двухвековой сукцессии? Оценка вероятности в пространстве параметров В текущей версии модели успешно реализован ключевой механизм. . .	сукцессия 27. Думаю, как переделывать уже написанную статью с планами на сукцессию. anaschu 12.07.2026 Анализ соответствия модели требованиям Реализованные компоненты: Механизм закисления почвы через протонную помпу Конкуренция между типами микориз pH как триггер сукцессии C/ P соотношение. . .	Сукцессия 26. Мат модель создана. anaschu 12.07.2026 Модель смены растительных сукцессий посредством управления грибами работает внутри небольшой ячейки почвы, восстанавливающейся после пожара, где ненадолго бывшее царство хвойных снова захватили. . .	Решил проблему с ошибкой пагинации сообщений с сервера на алгоритме обхода дерева "Эстафета хвоста". Hrethgir 12.07.2026 Проблема была в том, что удалялась именно новая кнопка, а не старая. Ни один ИИ не обнаружил это, а сам я смог только когда с работой стало попроще и когда заставил работать будущее автономное. . .
сукцессия 25. Хронология ошибок anaschu 12.07.2026 # От 50-тонного гриба до устойчивого леса: хроника ошибок при построении модели вековой сукцессии микоризы ## О чём эта статья В процессе построения ОДУ-модели (система дифференциальных. . .	сукцессия 24. Промежуточное общее описание модели anaschu 12.07.2026 Хендофф: модель АМ→ЭКМ сукцессии микоризы (ризосфера, 50 лет) Содержание проекта Симуляция вековой (50 лет) экологической сукцессии в почве леса Основные участники: АМ-гриб, ЭКМ-гриб,. . .	сукцессия 23. Более физиологичная физиология, более экологичная экология, более диффурные диффуры. anaschu 12.07.2026 Что реально нашли и починили за эти 5 часов Правило Линдемана (КПД конверсии сахара в тело, kEff) — раньше 100% полученного углерода шло прямо в биомассу гриба; теперь только kEff=0. 5 (после. . .	сукцессия 22. От артефактов к физиологии: калибровка агентной модели грибной сукцессии для воспроизведения сезонной динамики и pH-плато anaschu 11.07.2026 Аннотация В данной работе представлена калибровка агентной модели динамики грибных сообществ (fungal-succession), направленная на устранение нефизичных артефактов (коллапс биомассы, мгновенное. . .

@AlbinoLull 0 / 0 / 0 Регистрация: 10.08.2022 Сообщений: 25

	Заразился вирусом, закрывает диспетчер, браузер и не дает открывать и загружать некоторые программы 10.08.2022, 19:31. Показов 15330. Ответов 42 Метки нет (Все метки) Доброго времени суток. Поймал вирус, впервые Не сильно разбираюсь в этом, но он закрывает диспетчер задач, когда пытаюсь открыть расположение файла COM surrogate, находящийся в папке Realtek, так же заметил появившийся файл в автозагрузке realtek, который включается вновь при перезапуске. Закрывает все программы, которые могут помочь, autologger, AVbr и некоторые другие подобного типа. что бы сделать лог, пришлось создать новый профиль пользователя, не знаю как это повлияло на него(лог). Так же закрывает браузер(любой) при попытке входа на ваш сайт и другие, где есть решение проблем с этим файлом. Заранее спасибо 0

@thyrex 14455 / 7494 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	12.08.2022, 06:52
	Попробуйте выполнить фикс простым запуском HiJackThis 0

@AlbinoLull 0 / 0 / 0 Регистрация: 10.08.2022 Сообщений: 25
	12.08.2022, 09:45 [ТС]
	Выполнил, ничего не поменялось, но там небыло некоторых строк. Истешет я не могу запустить автологер 0

@AlbinoLull 0 / 0 / 0 Регистрация: 10.08.2022 Сообщений: 25
	12.08.2022, 12:50 [ТС]
	Не нашёл строчки 022, Майнингом не занимаюсь Добавлено через 1 минуту Но права администратора так и не вернулись, можно их как то вернуть и удалить удалённого пользователя? 0

@thyrex 14455 / 7494 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	12.08.2022, 12:52
	C:\ute\wtushelah-esa.exe - проверьте на virustotal.com и пришлите ссылку на результат анализа 0

@AlbinoLull 0 / 0 / 0 Регистрация: 10.08.2022 Сообщений: 25
	13.08.2022, 01:01 [ТС]
	а у меня нет этого файла Миниатюры 0

@AlbinoLull 0 / 0 / 0 Регистрация: 10.08.2022 Сообщений: 25
	13.08.2022, 01:06 [ТС]
	нашел это, удалить не могу Миниатюры 0

@thyrex 14455 / 7494 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	13.08.2022, 01:37
	FRST запускается без прав администратора? Если да, сделайте его логи еще раз. Может таки удастся что-то исправить. 0

@AlbinoLull 0 / 0 / 0 Регистрация: 10.08.2022 Сообщений: 25
	13.08.2022, 13:29 [ТС]
	А не возникнет проблем в запуске от администратора? И я думаю стоит удалить тот файл? 0

@thyrex 14455 / 7494 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	13.08.2022, 13:39
	Пробуем без прав админа и посмотрим, что выйдет 0

@Sandor 22540 / 15976 / 3100 Регистрация: 08.10.2012 Сообщений: 65,090
	14.08.2022, 15:23
	Дополнительно, пожалуйста: Подготовьте лог uVS. 1

@thyrex 14455 / 7494 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	14.08.2022, 08:42
	Теперь удалите старые логи FRST.txt и Addition.txt, сделайте новые логи Farbar 0

@AlbinoLull 0 / 0 / 0 Регистрация: 10.08.2022 Сообщений: 25
	15.08.2022, 01:17 [ТС]
	а я не могу сделать логи с него, там требуются права администратора для запуска 0

@thyrex 14455 / 7494 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	15.08.2022, 01:52
	По ссылке предложено несколько способов, а не только прямо с проблемной системы 1

@AlbinoLull 0 / 0 / 0 Регистрация: 10.08.2022 Сообщений: 25
	15.08.2022, 10:51 [ТС]
	Ладно, спасибо вам огромное, вы лучшие, но видимо просто можно переустановить винду, будет проще мне Надеюсь это исправится после 0