Bitcoin miner - wirus

[K95n 1]

Witam,

Mam problem z Bitcoin minerem, zauważyłem go przez zwiększone zużycie karty graficznej w spoczynku, co potwierdził skan Malwarebytes, którym to też usunąłem (przynajmniej tak mi się wydawało) tego wirusa. Problem jednak powraca po każdym włączeniu komputera, Malwarebytes po paru minutach od startu systemu znajduje tego wirusa, wygląda  na to, że instaluje się samoczynnie przy każdym uruchomieniu systemu.

Skany z FRST w załączeniu. Jeżeli jest ktoś obeznany z tematem będę mega wdzięczny za plik naprawczy.

Logi FRST.zip

Edytowane 21 Listopada 2021 przez K95n

[Gość]

Uruchom FRST a następnie (poprzez skrót klawiszowy CTRL + Y) otwórz notatnik systemowy. Wklej w nim poniższą zawartość:

Cytat

CloseProcesses:
Unlock: C:\Users\Kamil\AppData\Roaming\.dllbackups\dllruntime.exe
AlternateDataStreams: C:\ProgramData\TEMP:A1454082 [312]
AlternateDataStreams: C:\ProgramData\TEMP:E25BED53 [330]
FirewallRules: [TCP Query User{27AA7D64-F999-4D53-97BC-380045FF64B9}C:\users\kamil\appdata\local\programs\opera gx\75.0.3969.279\opera.exe] => (Allow) C:\users\kamil\appdata\local\programs\opera gx\75.0.3969.279\opera.exe => Brak pliku
FirewallRules: [UDP Query User{15615B2C-4116-4FAE-AD07-80E7D4C482F0}C:\users\kamil\appdata\local\programs\opera gx\75.0.3969.279\opera.exe] => (Allow) C:\users\kamil\appdata\local\programs\opera gx\75.0.3969.279\opera.exe => Brak pliku
FirewallRules: [TCP Query User{5E56D1B9-A3A9-4CBF-908B-5446427BD410}C:\users\kamil\appdata\local\programs\opera gx\75.0.3969.282\opera.exe] => (Allow) C:\users\kamil\appdata\local\programs\opera gx\75.0.3969.282\opera.exe => Brak pliku
FirewallRules: [UDP Query User{E19D2E52-DE14-4866-B106-AB4AD09706DE}C:\users\kamil\appdata\local\programs\opera gx\75.0.3969.282\opera.exe] => (Allow) C:\users\kamil\appdata\local\programs\opera gx\75.0.3969.282\opera.exe => Brak pliku
FirewallRules: [{1967EC2D-595A-4F7A-9D70-E3D12767DF2B}] => (Allow) C:\Program Files (x86)\Sigillum Sign\sigillumCli.exe => Brak pliku
FirewallRules: [{8F1F7170-78D8-4767-8387-413BD3B60E03}] => (Allow) C:\Program Files (x86)\Sigillum Sign\sigillumCli.exe => Brak pliku
() [Brak podpisu cyfrowego] C:\Users\Kamil\AppData\Roaming\.dllbackups\data\modules\dll-host\downloads\phoenix-gpu\PhoenixMiner.exe
(www.xmrig.com) [Brak podpisu cyfrowego] C:\Users\Kamil\AppData\Roaming\.dllbackups\data\modules\dll-host\downloads\xmrig-cpu\xmrig.exe
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ograniczenia <==== UWAGA
HKU\S-1-5-21-260152305-2019054588-1029039530-1002\...\Run: [electron.app.dllservices] => C:\Users\Kamil\AppData\Roaming\.dllbackups\dllruntime.exe [63924368 2021-11-14] (Microsoft Corporation) [Brak podpisu cyfrowego] [Plik w użyciu]
RemoveDirectory: C:\Users\Kamil\AppData\Roaming\.dllbackups
GroupPolicy: Ograniczenia ? <==== UWAGA
Policies: C:\ProgramData\NTUSER.pol: Ograniczenia <==== UWAGA
2021-11-14 15:17 - 2021-11-21 17:19 - 000000000 ____D C:\Users\Kamil\AppData\Roaming\dllservices
2021-11-14 15:23 - 2021-11-14 15:23 - 000456339 _____ C:\Users\Kamil\Downloads\dControl.zip
2021-11-14 15:23 - 2021-11-14 15:23 - 000456339 _____ C:\Users\Kamil\Downloads\dControl (2).zip
EmptyTemp:

Poprzez skrót klawiszowy CTRL + S (albo przez Plik -> Zapisz) zapisz zmiany w notatniku a następnie w FRST kliknij na Napraw. Na zakończenie naprawy FRST poprosi o restart systemu. Po restarcie powinno być już ok.

Edytowane 21 Listopada 2021 przez Gość