20 ответов в этой теме

[sanes_sas]

он его типо вылечил но на самом деле нет он его все время обнаруживает и не может вылечить но пишет что вылечил https://disk.yandex.ru/d/kMa8DpGRRTgy4wвот логи

[Dr.Robot]

1. Если Вы подозреваете у себя на компьютере вирусную активность и хотите получить помощь в этом разделе,

Вам необходимо кроме описания проблемы приложить к письму логи работы двух программ - сканера Dr. Web (или CureIt!, если антивирус Dr. Web не установлен на Вашем ПК), DrWeb SysInfo. Дождитесь окончания работы сканера Dr. Web или CureIt!, прежде, чем запускать DrWeb SysInfo. Без логов помочь Вам не сможет даже самый квалифицированный специалист. Так как логи могут иметь большой объём, превышающий ограничения форума, то рекомендуем закачать их на какой-нибудь файлообменник, а на форуме указать ссылку.

2. Если у Вас зашифрованы файлы,

Внимание! Услуга по расшифровке файлов предоставляется только лицензионным пользователям продуктов Dr.Web, у которых на момент заражения была установлена актуальная коммерческая лицензия Dr.Web Security Space или Dr.Web Enterprise Security Suite.

Что НЕ нужно делать:
- лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
- переустанавливать операционную систему;
- менять расширение у зашифрованных файлов;
- очищать папки с временными файлами, а также историю браузера;
- использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из "Аптечки сисадмина" Dr. Web;
- использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.

Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web https://support.drweb.com/new/free_unlocker/?keyno=&for_decode=1 несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба - это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];

[Alexander007]

Добрый вечер , подготовьтесь логи дополнительно FRST .

[sanes_sas]

Добрый вечер , подготовьтесь логи дополнительно FRST .

https://disk.yandex.ru/d/0M4dbfCX9y8-Aw

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\Run: [GameCenter] => "C:\Users\acer\AppData\Local\GameCenter\GameCenter.exe" -autostart (Нет файла)
HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\Run: [AF_uuid_2167580] => [X]
HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\Run: [AF_counter_2167580] => 3 (Нет файла)
Task: {0D560F04-4B0C-45AD-B115-2A123B961128} - System32\Tasks\ChromiumModeUpdate => C:\Windows\System32\wscript.exe [204800 2024-07-14] (Microsoft Windows -> Microsoft Corporation) -> C:\Users\acer\Documents\task.vbs <==== ВНИМАНИЕ
Task: {740DC7E9-CFAD-4887-BC08-7FBAF55826F8} - System32\Tasks\provision-promptly => C:\ProgramData\premier-poetry\bin.exe  /H (Нет файла)
CHR HomePage: Default -> hxxps://find-it.pro/?utm_source=distr_m
CHR StartupUrls: Default -> "hxxps://find-it.pro/?utm_source=distr_m"
CHR HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
CHR HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [kbbidhfplpegemhlbcfboalcjdmgebap]
CHR HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ljglajjnnkapghbckkcmodicjhacbfhk]
C:\Users\acer\Documents\task.vbs
C:\Users\acer\Documents\task.xml
2023-07-12 01:16 C:\Program Files\RDP Wrapper
2023-07-12 01:16 C:\Program Files (x86)\360
2023-07-12 01:16 C:\ProgramData\RDP Wrapper
2023-07-12 01:16 C:\ProgramData\ReaItekHD
2023-07-12 01:16 C:\ProgramData\Setup
2023-07-12 01:16 C:\ProgramData\Windows Tasks Service
2023-07-12 01:16 C:\ProgramData\WindowsTask
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{07CA83F0-DF06-4E67-89DD-E80924A49512}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{1F80F4F0-5D28-40D3-A252-4D3662D5E4BA}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{23B3E3D8-C162-4A8B-AB0C-0905DCB1DF19}\InprocServer32 -> C:\Users\acer\AppData\Local\Packages\Microsoft.PowerAutomateDesktop_8wekyb3d8bbwe\TempState\RDP\DVCPlugin\x64\Microsoft.Flow.RPA.Desktop.UIAutomation.RDP.DVC.Plugin.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{3A308EFE-656D-46BB-9963-0A41C0D6BCA2}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{544c4c52-de0b-4d14-9510-21745381d5ca}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{7AE67172-9863-42B1-8750-2B85084FD8E8}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{9e5c42d2-a6e2-1e77-c887-28f8786559bc}\localserver32 -> "C:\Users\acer\Downloads\Voicemod Desktop\VoicemodDesktop.exe" -ToastActivated => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{F37369D9-1C22-40A0-A997-0B4D5F7B6637}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
IE trusted site: HKU\.DEFAULT\...\localhost -> localhost
IE trusted site: HKU\.DEFAULT\...\webcompanion.com -> hxxp://webcompanion.com
IE trusted site: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\localhost -> localhost
IE trusted site: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\webcompanion.com -> hxxp://webcompanion.com
FirewallRules: [{01CA2A0B-0BD0-442C-AC12-B92348DC6242}] => (Block) c:\program files\voicemod desktop\voicemoddesktop.exe => Нет файла

AdBlock Shield 1.0.0.0 (HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\{80433429-169f-44ba-afef-44c064e25b07}) (Version: 1.0.0.0 - ivanovsasha224) Hidden
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions

Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt), прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен.

 

Удалите расширение AdBlock – блокировка рекламы в Интернете. в Google Chrome, а также в Yandex браузере следующие:

Fnet - Доступ к сайтам!

Snet: Сохрани свою анонимность!

Adblocker

 

Деинсталлируйте программы:

AdBlock Shield 1.0.0.0

gt-launcher 5.3.1

Если нет возможности удалить стандартным способом - сделайте принудительно, с помощью Geek Uninstaller Free.

 

Деинсталлируйте также программу Bonjour.

 

Сообщите, что с проблемой.

[Alexander007]

После выполнение рекомендации выполненной работы скрипта от Vvvyg , вышлите С:\FRST - запакуйте файлы и отправь мне ЛС .

[sanes_sas]

 

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\Run: [GameCenter] => "C:\Users\acer\AppData\Local\GameCenter\GameCenter.exe" -autostart (Нет файла)
HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\Run: [AF_uuid_2167580] => [X]
HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\Run: [AF_counter_2167580] => 3 (Нет файла)
Task: {0D560F04-4B0C-45AD-B115-2A123B961128} - System32\Tasks\ChromiumModeUpdate => C:\Windows\System32\wscript.exe [204800 2024-07-14] (Microsoft Windows -> Microsoft Corporation) -> C:\Users\acer\Documents\task.vbs <==== ВНИМАНИЕ
Task: {740DC7E9-CFAD-4887-BC08-7FBAF55826F8} - System32\Tasks\provision-promptly => C:\ProgramData\premier-poetry\bin.exe  /H (Нет файла)
CHR HomePage: Default -> hxxps://find-it.pro/?utm_source=distr_m
CHR StartupUrls: Default -> "hxxps://find-it.pro/?utm_source=distr_m"
CHR HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
CHR HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [kbbidhfplpegemhlbcfboalcjdmgebap]
CHR HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ljglajjnnkapghbckkcmodicjhacbfhk]
C:\Users\acer\Documents\task.vbs
C:\Users\acer\Documents\task.xml
2023-07-12 01:16 C:\Program Files\RDP Wrapper
2023-07-12 01:16 C:\Program Files (x86)\360
2023-07-12 01:16 C:\ProgramData\RDP Wrapper
2023-07-12 01:16 C:\ProgramData\ReaItekHD
2023-07-12 01:16 C:\ProgramData\Setup
2023-07-12 01:16 C:\ProgramData\Windows Tasks Service
2023-07-12 01:16 C:\ProgramData\WindowsTask
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{07CA83F0-DF06-4E67-89DD-E80924A49512}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{1F80F4F0-5D28-40D3-A252-4D3662D5E4BA}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{23B3E3D8-C162-4A8B-AB0C-0905DCB1DF19}\InprocServer32 -> C:\Users\acer\AppData\Local\Packages\Microsoft.PowerAutomateDesktop_8wekyb3d8bbwe\TempState\RDP\DVCPlugin\x64\Microsoft.Flow.RPA.Desktop.UIAutomation.RDP.DVC.Plugin.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{3A308EFE-656D-46BB-9963-0A41C0D6BCA2}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{544c4c52-de0b-4d14-9510-21745381d5ca}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{7AE67172-9863-42B1-8750-2B85084FD8E8}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{9e5c42d2-a6e2-1e77-c887-28f8786559bc}\localserver32 -> "C:\Users\acer\Downloads\Voicemod Desktop\VoicemodDesktop.exe" -ToastActivated => Нет файла
CustomCLSID: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001_Classes\CLSID\{F37369D9-1C22-40A0-A997-0B4D5F7B6637}\localserver32 -> "C:\Users\acer\AppData\Local\Microsoft\OneDrive\24.141.0714.0003\FileCoAuth.exe" => Нет файла
IE trusted site: HKU\.DEFAULT\...\localhost -> localhost
IE trusted site: HKU\.DEFAULT\...\webcompanion.com -> hxxp://webcompanion.com
IE trusted site: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\localhost -> localhost
IE trusted site: HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\webcompanion.com -> hxxp://webcompanion.com
FirewallRules: [{01CA2A0B-0BD0-442C-AC12-B92348DC6242}] => (Block) c:\program files\voicemod desktop\voicemoddesktop.exe => Нет файла

AdBlock Shield 1.0.0.0 (HKU\S-1-5-21-1766049163-3643558939-1786308133-1001\...\{80433429-169f-44ba-afef-44c064e25b07}) (Version: 1.0.0.0 - ivanovsasha224) Hidden
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions

Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt), прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен.

 

Удалите расширение AdBlock – блокировка рекламы в Интернете. в Google Chrome, а также в Yandex браузере следующие:

Fnet - Доступ к сайтам!

Snet: Сохрани свою анонимность!

Adblocker

 

Деинсталлируйте программы:

AdBlock Shield 1.0.0.0

gt-launcher 5.3.1

Если нет возможности удалить стандартным способом - сделайте принудительно, с помощью Geek Uninstaller Free.

 

Деинсталлируйте также программу Bonjour.

 

Сообщите, что с проблемой.

 

https://disk.yandex.ru/d/3Dzv-6JZdK_tDQя не смог удалить расширение яндекса как так удалил его еще 3 месяца назад

[Alexander007]

Там, всякое обычные - посмотрел логи , нету опасных .

[Vvvyg]

Не нужно полностью цитировать сообщения, просто пишите в окне ответа.

 

Проблема решена?

 

Завершающий штрих. Выделите и скопируйте в буфер обмена следующий код:

Start::
StartPowerShell:
Remove-MpPreference -ExclusionPath "C:\Program Files (x86)\a87d3ceeecff11edab71806e6f6e69631fafb49d0510b71e777743a9b4e9b2b6"
EndPowerShell:
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
End:: 

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Новый Fixlog.txt прикрепите (Полный редактор - "скрепка" под окном сообщения, не нужно каждый раз файлы в облако грузить.

[sanes_sas]

Не нужно полностью цитировать сообщения, просто пишите в окне ответа.

 

Проблема решена?

 

Завершающий штрих. Выделите и скопируйте в буфер обмена следующий код:

Start::
StartPowerShell:
Remove-MpPreference -ExclusionPath "C:\Program Files (x86)\a87d3ceeecff11edab71806e6f6e69631fafb49d0510b71e777743a9b4e9b2b6"
EndPowerShell:
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
End:: 

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Новый Fixlog.txt прикрепите (Полный редактор - "скрепка" под окном сообщения, не нужно каждый раз файлы в облако грузить.

Прикрепленные файлы:

•  Fixlog.txt   2,45К   2 Скачано раз

[Vvvyg]

Удалите вручную исключение Защитника на папку C:\Program Files (x86)\a87d3ceeecff11edab71806e6f6e69631fafb49d0510b71e777743a9b4e9b2b6

Параметры> обновления и безопасности > защита от вирусов.

Выберите"Управление настройками".

Выберите "Добавить или удалить исключения".

В списке текущих исключений выберите упомянутые и - "Удалить".

 

Я прошу не цитировать полностью сообщения - Вы игнорируете. 2-й раз спрашива, решена ли проблема - нет ответа...

[sanes_sas]

 

Удалите вручную исключение Защитника на папку C:\Program Files (x86)\a87d3ceeecff11edab71806e6f6e69631fafb49d0510b71e777743a9b4e9b2b6

Параметры> обновления и безопасности > защита от вирусов.

Выберите"Управление настройками".

Выберите "Добавить или удалить исключения".

В списке текущих исключений выберите упомянутые и - "Удалить".

 

Я прошу не цитировать полностью сообщения - Вы игнорируете. 2-й раз спрашива, решена ли проблема - нет ответа...

 

ну вроде все нормально но до сих пор антивирус dr web обнаруживает этот типо вирус но он перестал часто обнаруживать а так очень много раз обнаруживал этот вирус типо

Сообщение было изменено sanes_sas: 08 Октябрь 2024 - 15:10

[Vvvyg]

но до сих пор антивирус dr web обнаруживает этот типо вирус

Именно после исправлений в Farbar Recovery Scan Tool обнаруживает? Если да - покажите детект антивируса.

[AndreyKa]

В файле настроек Chrome:

C:\Users\acer\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences

прописан адрес

https://find-it.pro/

Для стартовой страницы и новой вкладки.
Возможно, его Chrome восстанавливает при синхронизации с другим компьютером или мобильником.

[sanes_sas]

 

но до сих пор антивирус dr web обнаруживает этот типо вирус

Именно после исправлений в Farbar Recovery Scan Tool обнаруживает? Если да - покажите детект антивируса.

 

у меня он до исправления часто очень часто обнаруживал а после исправление у меня он очень редко стал обнаруживать

Прикрепленные файлы:

•  Снимок экрана 2024-10-08 202001.png   57,78К   0 Скачано раз

[Vvvyg]

а после исправление у меня он очень редко стал обнаруживать

Синхронизация аккаунта Google включена? Обратите внимание на это сообщение.

[sanes_sas]

 

а после исправление у меня он очень редко стал обнаруживать

Синхронизация аккаунта Google включена? Обратите внимание на это сообщение.

 

включена но вот это табличка выскакивает

Прикрепленные файлы:

•  Снимок экрана 2024-10-09 212354.png   99,95К   0 Скачано раз

Сообщение было изменено sanes_sas: 09 Октябрь 2024 - 18:27

[AndreyKa]

вот это табличка выскакивает

Chrome заботится, чтобы вам не было скучно. Восстанавливает, то что троян в настройки прописал.

[sanes_sas]

 

вот это табличка выскакивает

Chrome заботится, чтобы вам не было скучно. Восстанавливает, то что троян в настройки прописал.

 

а как убрать это из настроек и вообще сделать так чтобы он не восстанавливал

[AndreyKa]

как убрать это из настроек и вообще сделать так чтобы он не восстанавливал

Не знаю, Chrome не использую.