<https://forum.kasperskyclub.ru/topic/78608-resheno-ne-zapuskaetsja-proverka-kvrt-ne-zapuskaetsja-ustanovshhik-kts/#comment-1063827>
<http://schema.org/text>
"Выполните скрипт в AVZ из папки Autologger  \n\n{ Перед использованием скрипта убедитесь, что в системе не установлены упомянутые в скрипте антивирусы. Автор скрипта: regist. Modification: thyrex}\nvar ProgramData, ProgramFiles, ProgramFiles86, fname, OSVer: string;\n    PD_folders, PF_folders, O_folders: TStringList;\n\nprocedure FillList;\nbegin\n PD_folders:= TStringList.Create;\n PD_folders.Add('360TotalSecurity');\n PD_folders.Add('360safe');\n PD_folders.Add('AVAST Software');\n PD_folders.Add('Avg');\n PD_folders.Add('Avira');\n PD_folders.Add('ESET');\n PD_folders.Add('Indus');\n PD_folders.Add('Kaspersky Lab Setup Files');\n PD_folders.Add('Kaspersky Lab');\n PD_folders.Add('MB3Install');\n PD_folders.Add('Malwarebytes');\n PD_folders.Add('McAfee');\n PD_folders.Add('Norton');\n PD_folders.Add('grizzly');\n PD_folders.Add('RealtekHD');\n PD_folders.Add('RunDLL');\n PD_folders.Add('Setup');\n PD_folders.Add('System32');\n PD_folders.Add('Windows');\n PD_folders.Add('WindowsTask');\n PD_folders.Add('install');\n PD_folders.Add('Doctor Web');\n PF_folders:= TStringList.Create;\n PF_folders.Add('360');\n PF_folders.Add('AVAST Software');\n PF_folders.Add('AVG');\n PF_folders.Add('ByteFence');\n PF_folders.Add('Zaxar');\n PF_folders.Add('COMODO');\n PF_folders.Add('Cezurity');\n PF_folders.Add('Common Files\\McAfee');\n PF_folders.Add('ESET');\n PF_folders.Add('Enigma Software Group');\n PF_folders.Add('GRIZZLY Antivirus');\n PF_folders.Add('Kaspersky Lab');\n PF_folders.Add('Malwarebytes');\n PF_folders.Add('Microsoft JDX');\n PF_folders.Add('Panda Security');\n PF_folders.Add('SpyHunter');\n PF_folders.Add('RDP Wrapper');\n O_folders:= TStringList.Create;\n O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\\AdwCleaner'));\n O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\\rdp'));\n O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\\KVRT_Data'));\n O_folders.Add(NormalDir('%windir%'+'\\NetworkDistribution'));\n O_folders.Add(NormalDir('%windir%'+'\\speechstracing'));\n O_folders.Add(NormalDir('%windir%'+'\\Fonts\\Mysql'));\nend;\n\nprocedure Del_folders(path: string; AFL: TStringList);\nvar i: integer;\n    A: integer; \n    s: string; \n    r: boolean;\nbegin\n for i:= 0 to AFL.Count - 1 do\n  begin\n   fname:= NormalDir(path + AFL[i]);\n   r:= False;\n   if DirectoryExists(fname)\n    then\n     begin\n      s:= 'Found ' + fname + ' (';\n      A:= GetAttr(fname);\n      if A and 4 = 4\n       then\n        begin\n         r:= True;\n         s:= s + 'S';  \n        end;\n      if A and 2 = 2\n       then\n        begin\n         r:= True;\n         s:= s + 'H';  \n        end;\n      s:= s + 'D)';\n      AddToLog(s);\n      QuarantineFileF(fname, '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);\n      DeleteFileMask(fname, '*', true);\n      if r then FSResetSecurity(fname);\n      DeleteDirectory(fname);\n     end;\n end;\nend;\n\nprocedure swprv;\nbegin\n ExecuteFile('sc.exe', 'create \"swprv\" binpath= \"%SystemRoot%\\System32\\svchost.exe -k swprv\" type= own start= demand depend= RPCSS', 0, 15000, true);\n RegKeyParamDel ('HKLM', 'SYSTEM\\CurrentControlSet\\Services\\swprv', 'wow64');\n RegKeyStrParamWrite ('HKLM', 'SYSTEM\\CurrentControlSet\\Services\\swprv', 'Description', '@%SystemRoot%\\System32\\swprv.dll,-102');\n RegKeyStrParamWrite ('HKLM', 'SYSTEM\\CurrentControlSet\\Services\\swprv', 'DisplayName', '@%SystemRoot%\\System32\\swprv.dll,-103');\n RegKeyIntParamWrite ('HKLM', 'SYSTEM\\CurrentControlSet\\Services\\swprv', 'ServiceSidType', '1');\n RegKeyParamWrite('HKLM', 'SYSTEM\\CurrentControlSet\\Services\\swprv\\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%Systemroot%\\System32\\swprv.dll');\n OSVer := RegKeyStrParamRead('HKLM','SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion','CurrentVersion');\n if OSVer &gt; '6.1' then RegKeyIntParamWrite ('HKLM', 'SYSTEM\\CurrentControlSet\\Services\\swprv\\Parameters', 'ServiceDllUnloadOnStop', '1');;\n ExecuteFile('sc.exe', 'privs \"swprv\" SeBackupPrivilege/SeChangeNotifyPrivilege/SeCreateGlobalPrivilege/SeCreatePermanentPrivilege/SeImpersonatePrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeIncreaseBasePriorityPrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeTcbPrivilege', 0, 15000, true);\n ExecuteFile('net.exe', 'start \"swprv\"', 0, 15000, true);\nend;\n\nprocedure  AV_block_remove;\nbegin\n Clearlog;\n FillList;\n ProgramData:= GetEnvironmentVariable('ProgramData') + '\\';\n ProgramFiles:= NormalDir('%PF%');\n ProgramFiles86:= NormalDir('%PF% (x86)');\n Del_folders(ProgramData, PD_folders);\n Del_folders(ProgramFiles, PF_folders);\n Del_folders(ProgramFiles86, PF_folders);\n Del_folders('', O_folders);\n if RegKeyParamExists('HKCU', 'Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer', 'DisallowRun')\n  then RegKeyParamDel('HKCU', 'Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer', 'DisallowRun');\n if RegKeyExists('HKCU', 'Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\DisallowRun')\n  then\n   begin\n    ExpRegKey('HKCU','Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\DisallowRun','DisallowRun_backup.reg');\n    RegKeyDel('HKCU', 'Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\DisallowRun');\n   end;\n RegKeyParamWrite('HKLM', 'SYSTEM\\CurrentControlSet\\services\\TermService\\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%SystemRoot%\\System32\\termsrv.dll');\n swprv;\n if MessageDLG('Удалить пользователя \"John\" ?'+ #13#10 + 'Если пользователь с таким именем вам не знаком, то нажмите \"Да\".', mtConfirmation, mbYes+mbNo, 0) = 6\n  then ExecuteFile('net.exe', 'user john /delete', 0, 15000, true);\n PD_folders.Free;\n PF_folders.Free;\n O_folders.Free;\nend;\n\nbegin\n AV_block_remove;\n fname:= ProgramData + 'RDPWinst.exe';\n if FileExists(fname) then DeleteFile(fname);\n ExecuteSysClean; \n SaveLog(GetAVZDirectory +'AV_block_remove.log');\n RebootWindows(false);\nend. Обратите внимание: будет выполнена перезагрузка компьютера. \n \n\n\n\tВыполните скрипт в AVZ  begin\nCreateQurantineArchive('c:\\quarantine.zip');\nend.c:\\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678  \n\tПолученный после загрузки ответ сообщите здесь.\n\n\n\n\t \n \n\n\n\tПожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи. \n \n\n\n\t \n\t \n "
<https://forum.kasperskyclub.ru/topic/78608-resheno-ne-zapuskaetsja-proverka-kvrt-ne-zapuskaetsja-ustanovshhik-kts/?tab=comments#comment-1063751>