[Rozwiązano] JS:miner-av [Trj] - AVAST okienko ostrzeżeń cyklicznie wyskakuje

Proszę o pomoc - siostrzenice (czytaj: bachory) coś kliknęły na komputerze syna i nie da się korzystać.
AVAST z różną częstotliwością wyświetla poniższe okienko. Trzy razy na minutę, potem przez pięć minut spokój i znowu dwa razy...

https://www.elektroda.pl/rtvforum/topic1044160.html

Zamiesc w zalaczniku logi z FRST, ze skanowania.

Skany Dr.Web, Malwarebytes i Adwcleaner nic nie pokazały.
Poniżej pliki z FRST

To zapewne falszywy alarm. Avast jest aktualny? W tym bazy?

Wykonaj Fixlist.txt dla FRST:
CloseProcesses:
HKU\S-1-5-21-2604708785-219604507-3376133149-1002\...\Policies\Explorer: []
HKU\S-1-5-18\...\RunOnce: [SPReview] => C:\Windows\System32\SPReview\SPReview.exe [301568 2017-03-20] (Microsoft Windows -> Microsoft Corporation)
FF HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ograniczenia <==== UWAGA
Task: {4C8D3EFF-D157-4BE8-98BE-79C392BCECDA} - System32\Tasks\{14CBAD91-B4FB-47AD-89A2-AF47E9AB8C32} => C:\Windows\system32\pcalua.exe -a C:\Users\Olek\Downloads\LeagueofLegends_EUNE_Installer_2016_11_10.exe -d C:\Windows\SysWOW64 -c /groupsextract:100; /out:"C:\Users\Olek\AppData\Roaming\Riot Games\League of Legends\prerequisites" /callbackid:4772
Task: {56968258-3243-4CAC-8758-9D9AC1C7A699} - System32\Tasks\Opera scheduled Autoupdate 1531940427 => C:\Program Files\Opera\launcher.exe [1519640 2019-07-24] (Opera Software AS -> Opera Software)
Task: {6FFDC313-68FE-4C6D-995D-A8F080ED7D1D} - System32\Tasks\{98A5DABE-ECB4-4133-AD4F-F4EA0AC172E3} => C:\Users\Olek\AppData\Local\TeamSpeak 3 Client\ts3client_win64.exe [14916888 2017-08-16] (TeamSpeak Systems GmbH -> TeamSpeak Systems GmbH)
Task: {8B680DBD-E6C6-4D30-9FBF-20DE6823EF18} - System32\Tasks\{2301B9AF-1CB1-4BCC-AFD8-24FA1F5BAC0A} => C:\Users\Olek\AppData\Local\TeamSpeak 3 Client\ts3client_win64.exe [14916888 2017-08-16] (TeamSpeak Systems GmbH -> TeamSpeak Systems GmbH)
Task: {8B763FAC-2A43-4CB8-A052-67EDB69F4123} - System32\Tasks\{3BDDF241-FC22-4F72-86C3-AE0A94E319F0} => C:\Users\Olek\AppData\Local\TeamSpeak 3 Client\ts3client_win64.exe [14916888 2017-08-16] (TeamSpeak Systems GmbH -> TeamSpeak Systems GmbH)
Task: {AC53FCA8-E3C1-4FEA-A1CB-699EC28FF371} - System32\Tasks\{2FEE1DB6-E316-4C29-AED1-9AE3A79AD672} => C:\Windows\system32\pcalua.exe -a C:\Users\Rafał\Downloads\0009-64bit_Win7_Win8_Win81_Win10_R282.exe -d C:\Users\Rafał\Downloads
Task: {B566C918-ACB8-41AF-A94A-DB3C91C37C2A} - System32\Tasks\{1F08A2E9-5643-4893-9678-1A17A4A8A57B} => C:\Users\Olek\AppData\Local\TeamSpeak 3 Client\ts3client_win64.exe [14916888 2017-08-16] (TeamSpeak Systems GmbH -> TeamSpeak Systems GmbH)
Task: {B98E51EB-D679-45E0-A8E1-B60526E0FA38} - System32\Tasks\{E6D3E382-9348-4C24-B384-BD3C895AD4F1} => C:\Windows\system32\pcalua.exe -a C:\Users\Rafał\Downloads\MSSQLServer2012Express.exe -d C:\Users\Rafał\Downloads
Task: {EC0ED865-EBC3-4E80-930E-4A27172FCA5D} - System32\Tasks\{58A03C98-F1D0-4EB7-AE2D-E482CDFAB7B8} => C:\Windows\system32\pcalua.exe -a C:\Users\TEMP\Downloads\LeagueofLegends_EUNE_Installer_2016_11_10.exe -d C:\Windows\SysWOW64 -c /groupsextract:100;101;102; /out:"C:\Users\TEMP\AppData\Roaming\Riot Games\League of Legends\prerequisites" /callbackid:4572 <==== UWAGAe przeniesiony, o ile nie zostanie załączony z osobna.)
HKLM\SYSTEM\CurrentControlSet\Services\45821A9B1206193B <==== UWAGA (Rootkit!)
S3 gdrv; \??\C:\Windows\gdrv.sys [X]
R4 IOMap; \??\C:\Windows\system32\drivers\IOMap64.sys [X]
S3 massfilter; system32\drivers\massfilter.sys [X]
S3 Synth3dVsc; System32\drivers\synth3dvsc.sys [X]
S3 tsusbhub; system32\drivers\tsusbhub.sys [X]
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
S3 xhunter1; \??\C:\Windows\xhunter1.sys [X]
S3 ZTEusbmdm6k; system32\DRIVERS\ZTEusbmdm6k.sys [X]
S3 ZTEusbnmea; system32\DRIVERS\ZTEusbnmea.sys [X]
S3 ZTEusbser6k; system32\DRIVERS\ZTEusbser6k.sys [X]
2019-08-04 18:41 - 2019-08-04 18:41 - 002096640 _____ (Farbar) C:\Users\Rafał\Downloads\FRST64(1).exe
2019-08-04 11:27 - 2019-08-04 11:28 - 000000000 ____D C:\AdwCleaner
2019-08-03 15:23 - 2018-07-18 21:00 - 000003886 _____ C:\Windows\System32\Tasks\Opera scheduled Autoupdate 1531940427
2019-08-03 15:23 - 2018-06-29 18:40 - 000003036 _____ C:\Windows\System32\Tasks\{DC4C9378-C4B8-42C4-83A7-61782B896662}
2019-08-03 15:23 - 2017-08-10 22:31 - 000003192 _____ C:\Windows\System32\Tasks\{2FEE1DB6-E316-4C29-AED1-9AE3A79AD672}
2019-08-03 15:23 - 2017-04-28 17:46 - 000003006 _____ C:\Windows\System32\Tasks\{98A5DABE-ECB4-4133-AD4F-F4EA0AC172E3}
2019-08-03 15:23 - 2017-04-28 17:46 - 000003006 _____ C:\Windows\System32\Tasks\{3BDDF241-FC22-4F72-86C3-AE0A94E319F0}
2019-08-03 15:23 - 2017-04-28 17:46 - 000003006 _____ C:\Windows\System32\Tasks\{2301B9AF-1CB1-4BCC-AFD8-24FA1F5BAC0A}
2019-08-03 15:23 - 2017-04-28 17:45 - 000003006 _____ C:\Windows\System32\Tasks\{1F08A2E9-5643-4893-9678-1A17A4A8A57B}
2019-08-03 15:23 - 2017-03-09 20:06 - 000003426 _____ C:\Windows\System32\Tasks\{14CBAD91-B4FB-47AD-89A2-AF47E9AB8C32}
2019-08-03 15:23 - 2017-02-27 20:33 - 000003162 _____ C:\Windows\System32\Tasks\{E6D3E382-9348-4C24-B384-BD3C895AD4F1}
2019-08-03 15:23 - 2017-02-19 11:54 - 000003442 _____ C:\Windows\System32\Tasks\{58A03C98-F1D0-4EB7-AE2D-E482CDFAB7B8}
2018-08-15 13:30 - 2018-08-15 13:30 - 000000275 _____ () C:\Users\Rafał\AppData\Roaming\uninstall.bat
EmptyTemp:

Okienko wyskakuje jeszcze częściej a przy próbie naprawy wyskoczyło mi okienko z załącznika

i zmienił się adres blokowanej strony przez AVASTA

Wykonaj po kawalku, az trafisz na wpis na ktorym sie zawiesza. Ewentualnie usun EmtpyTemp:, zgaduje, ze na tym sie wiesza.

Przy uruchamianiu FRST wyskakuje okno z załącznika

Trudno, nie ma to znaczenia.

Przy okazji zmien dnsy na: 8.8.8.8 oraz 8.8.4.4

Fixlist zmieniłem - usunąłem wskazaną przez Ciebie linijkę i dostałem komunikat

następnie po restarcie od razu ujrzałem komunikaty z AWASTA, oto jeden z nich

Zmieniles dnsy tak jak napisalem?

Wyglada to na falszywe alarmy, tym bardziej, ze wykrywa to na stronie avast.com i microsoft.com.

Tak, zmieniłem.
Poniżej załączam pliki FRST po skanowaniu
oprócz tego zanim usiadłem do kompa syn skanował ADWcleanerem i coś naprawiał, załączam jego raport

Otwórz notatnik i wklej zawartość:

Cytat:

HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ograniczenia <==== UWAGA
FF HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ograniczenia <==== UWAGA
Task: {A2417AC1-2304-4189-A7C4-0620C2DD582C} - \{DC4C9378-C4B8-42C4-83A7-61782B896662} -> Brak pliku <==== UWAGA
HKU\S-1-5-21-2604708785-219604507-3376133149-1002\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = hxxp://www.msn.com/pl-pl/?ocid=iehp
SearchScopes: HKU\S-1-5-21-2604708785-219604507-3376133149-1002 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [480]
FirewallRules: [TCP Query User{2ADDF9D8-6D61-4EB6-A5F4-9DE395C31F90}C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_gpu_v2\nsgpucnminer.gh] => (Allow) C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_gpu_v2\nsgpucnminer.gh () [Brak podpisu cyfrowego]
FirewallRules: [UDP Query User{B9E45F7F-AE60-431F-82A4-BA136820D325}C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_gpu_v2\nsgpucnminer.gh] => (Allow) C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_gpu_v2\nsgpucnminer.gh () [Brak podpisu cyfrowego]
FirewallRules: [TCP Query User{2293E27E-5674-4E4C-8134-D47EA5CD688C}C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_cpu_v2\nscpucnminer64.gh] => (Allow) C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_cpu_v2\nscpucnminer64.gh () [Brak podpisu cyfrowego]
FirewallRules: [UDP Query User{9AB90DD0-1459-4F24-9917-B3E3276426E2}C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_cpu_v2\nscpucnminer64.gh] => (Allow) C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_cpu_v2\nscpucnminer64.gh () [Brak podpisu cyfrowego]
FirewallRules: [TCP Query User{6E7F19B2-1DFE-49EC-A61D-E13178D869D3}C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_cpu_v2\nscpucnminer64.gh] => (Block) C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_cpu_v2\nscpucnminer64.gh () [Brak podpisu cyfrowego]
FirewallRules: [UDP Query User{E862E98F-00E9-43AC-8ECB-850BDA659750}C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_cpu_v2\nscpucnminer64.gh] => (Block) C:\users\olek\appdata\local\gamerhash\miners\claymore_cryptonote_cpu_v2\nscpucnminer64.gh () [Brak podpisu cyfrowego]

Plik zapisz pod nazwą fixlist.txt i umieść w folderze gdzie masz FRST.exe.
Uruchom FRST i kliknij w Fix/Napraw.

Widze, ze to nadal jest na dysku:
C:\users\olek\appdata\local\gamerhash\

Tez do kasacji.

Dalej to samo.
Poniżej kolejne raporty.

Usunales C:\users\olek\appdata\local\gamerhash\?

Wykonaj Fixlist.txt:
C:\users\olek\appdata\local\gamerhash\

Niestety po usunięciu tego
C:\users\olek\appdata\local\gamerhash\
dalej bez zmian.
Masz jeszcze jakiś pomysł?

Zamiesc logi z TDSSKiller.

Zrob skan przy pomocy http://update.askad.net/Dr.Web/CureIt/launch.exe

Załączam raport z Dr.Web i TDSSKiller

Wykonaj czysty rozruch https://support.microsoft.com/pl-pl/help/929135/how-to-perform-a-clean-boot-in-windows i sprawdz czy tam bedzie ok, jezeli tak to wlaczaj programy po jednym i sprawdzaj.

Odinstalowałem AVASTa i problem zniknął.
Ale podczas instalacji ponownej wyskoczył następujący komunikat:



a po zakończeniu instalacji wróciły wyskakujące okienka.
Chyba daruje sobie AVASTa i użyję czegoś innego, bo ręce już mi opadają

Komunikat wyswietlil AR, a nie Avast.
Zainstaluj https://www.microsoft.com/pl-PL/download/details.aspx?id=49093 a najlepiej wszystkie aktualizacje z Windows Update.

Sprawdz https://www.kaspersky.pl/kaspersky-free

Zgłupiałem.
Włączyłem teraz drugi komputer w tej samej sieci i wyskakują identyczne komunikaty.
Na nim też jest zainstalowany AWAST.
Rozumie coś ktoś?
Ten na pewno nie był używany od momentu kiedy wyskakujące okienka z AWASTA pojawiły się na pierwszym komputerze.

Falszywy alarm, pisze Ci to juz trzeci raz. Zmien program i sprawdz czy tez bedzie cos wykrywac.

Kolego Kolobos za pierwszym razem zrozumiałem, że antywirus wyświetla fałszywe alarmy, jednak chciałem rozwiązać problem wyskakujących okienek, które uniemożliwiają normalną pracę na komputerze.
Rozwiązałem go idąc za jedną z Twoich kolejnych rad - zmieniając program antywirusowy. Okienka na Kaspersky przestały wyskakiwać.
Zobaczę czy przy nim zostanę, bo pochodzenie wiadomo.... Może zmienię na coś jeszcze innego, chociaż żal mi rozstawać się z AWASTem - służył mi bardzo długo i bezproblemowo aż do teraz.
Dziękuję Ci bardzo za poświęcony czas oraz pomoc którą otrzymałem.
Pozdrawiam serdecznie.