Что делает Yandex.ps1 на ноутбуке ASUS и как удалить?

Question

Что делает скрипт Yandex.ps1, найденный в папке C:\Windows\ASUS на новом ноутбуке ASUS, и как безопасно удалить его?

Я купил новый ноутбук ASUS в DNS и обнаружил в системе файл Yandex.ps1 в папке C:\Windows\ASUS. Скрипт выглядит как PowerShell‑скрипт, создающий задачу планировщика для запуска Yandex Browser. Ниже приведён сам скрипт:

powershell

spoiler[CmdletBinding()]
param (
    [Parameter(Mandatory = $true)]
    [string] $_Arg = ""
)

$MethodDefinition = @"
[DllImport("kernel32")]
public extern static bool OOBEComplete(ref bool isOOBEComplete);

[DllImport("wininet")]
public extern static bool InternetGetConnectedState(ref UInt32 lpdwFlags, UInt32 dwReserved);
"@

$Kernel32 = Add-Type -MemberDefinition $MethodDefinition -Name 'Kernel32' -Namespace 'Win32' -PassThru

$_TaskName     = "Yandex Browser"
$_PS1File      = "Yandex.ps1"
$_TargetFolder = "C:\\Windows\\ASUS"

if ($_Arg -ieq "/Add")
{
    # Copy ps1 file
    if (-not (Test-Path $_TargetFolder))
    {
        New-Item -ItemType "directory" -Path "$$_TargetFolder"
    }
    Copy-Item "$((Split-Path $PSCommandPath))\$_PS1File" -Destination "$$_TargetFolder"
    Copy-Item "$((Split-Path $PSCommandPath))\AsusLauncher.exe" -Destination "$$_TargetFolder"

    # Create task
    $_Trigger       = New-ScheduledTaskTrigger -AtLogOn
    $_PPrincipal    = New-ScheduledTaskPrincipal -GroupId "S-1-5-32-544" -RunLevel Highest 
    $_Settings      = New-ScheduledTaskSettingsSet -Compatibility Win8 -DontStopIfGoingOnBatteries -AllowStartIfOnBatteries -DontStopOnIdleEnd -RestartCount 3 -RestartInterval (New-TimeSpan -Minutes 10)
    $_Description   = $_TaskName
    $_Action        = New-ScheduledTaskAction -Execute "$$_TargetFolder\AsusLauncher.exe" -Argument "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe -WindowStyle Hidden -ExecutionPolicy Unrestricted $$_TargetFolder\$$_PS1File '/Run'"

    $_Task = New-ScheduledTask -Description $_Description -Action $_Action -Principal $_PPrincipal -Trigger $_Trigger -Settings $_Settings

    Register-ScheduledTask -Force $_TaskName -InputObject $_Task

    [xml]$_TaskXML = Export-ScheduledTask -TaskName $_TaskName

    # Modify task attribute
    $_Author = $_TaskXML.CreateElement("Author", $_TaskXML.Task.RegistrationInfo.NamespaceURI)
    $_Author.InnerXml = "ASUSTeK COMPUTER INC."
    $_TaskXML.Task.RegistrationInfo.AppendChild($_Author)

    Unregister-ScheduledTask -Confirm:$false -TaskName $_TaskName
    Register-ScheduledTask -Force $_TaskName -Xml $_TaskXML.OuterXml
    
    Disable-ScheduledTask -TaskName $_TaskName
}
elseif ($_Arg -ieq "/Run")
{
    [Bool] $IsOOBEComplete = $false

    while ($Kernel32::OOBEComplete([ref]$IsOOBEComplete))
    {
        if ($IsOOBEComplete -eq $true)
        {
            Start-Sleep -Seconds 3600
            
            [UInt32] $lpdwFlags = 0
            [UInt32] $dwReserved = 0
            
            while (-not ($Kernel32::InternetGetConnectedState([ref]$lpdwFlags, $dwReserved)))
            {
                Start-Sleep -Seconds 300
            }
            
            if ((Get-ScheduledTaskInfo -TaskName "Обновление Браузера Яндекс").TaskName -eq "Обновление Браузера Яндекс")
            {

            }
            else
            {
                # Execute Yandex Win32 App
                & 'C:\\Program Files (x86)\\Yandex\\YandexBrowser\\Application\\browser.exe'
            }
            
            # Remove task
            Unregister-ScheduledTask -Confirm:$false -TaskName $_TaskName

            # Delete files
            Remove-Item -Path "$$_TargetFolder\$$_PS1File"
            Remove-Item -Path "$$_TargetFolder\AsusLauncher.exe"
            
            break;
        }
        else
        {
            Start-Sleep -Seconds 300
        }
    }
}

Вопросы

Что именно делает этот скрипт?
- Какие действия он выполняет при запуске с параметром /Add и /Run?
- Зачем он создаёт задачу планировщика и какие программы запускает?
Нужно ли удалять его?
- Есть ли риск, что скрипт будет автоматически запускаться и обновлять браузер?
- Как безопасно удалить все связанные файлы и задачи планировщика?
Как проверить, что ноутбук не содержит других подобных скриптов?
- Какие инструменты можно использовать для сканирования системы на наличие скрытых задач и автозагрузки?
Что делать, если ноутбук подключён к интернету и скрипт пытается подключиться?
- Как предотвратить нежелательные сетевые соединения?

Я не подключал ноут к интернету, но скрипт пытается подключиться. Что это за риск и как удалить его без повреждения системы?

Шаг	Что происходит	Как это выглядит
/Add	1. Создаёт каталог `C:\Windows\ASUS` (если его нет). 2. Копирует сам скрипт и `AsusLauncher.exe` в этот каталог. 3. Создаёт задачу планировщика «Yandex Browser», которую запускает при входе пользователя. 4. В задаче запускается скрытый PowerShell‑скрипт с аргументом `/Run`.	`New-ScheduledTaskTrigger -AtLogOn` + `New-ScheduledTaskAction`
/Run	1. Ожидает завершения OOBE (проверяет `Kernel32::OOBEComplete`). 2. Ждёт подключения к Интернету (`InternetGetConnectedState`). 3. Если задача «Обновление Браузера Яндекс» не найдена, запускает `browser.exe` из каталога Yandex. 4. Удаляет задачу планировщика, а затем сам удаляет собственные файлы.	`Start-Sleep`, `Get-ScheduledTaskInfo`, `& 'C:\Program Files (x86)\Yandex\YandexBrowser\Application\browser.exe'`

Инструмент	Что ищет	Как использовать
Autoruns (Sysinternals)	Все автозагрузки, службы, реестровые ключи, планировщик задач	Скачайте с официального сайта Microsoft и запустите от имени администратора. Отключите ненужные запуски.
PowerShell Get‑ScheduledTask	Все задачи планировщика	`Get-ScheduledTask
Windows Defender/Microsoft Defender Antivirus	Обычные и скрытые угрозы	Полный системный скан.
Process Explorer	Запущенные процессы и их родительские процессы	Позволяет увидеть, откуда запускается `browser.exe` или `AsusLauncher.exe`.
Файл журналов	`C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp`	Проверка наличия ярлыков.

Что делает Yandex.ps1 на ноутбуке ASUS и как удалить?

Что делает скрипт Yandex.ps1, найденный в папке C:\Windows\ASUS на новом ноутбуке ASUS, и как безопасно удалить его?

Вопросы

Содержание

Что делает скрипт?

Нужно ли удалять его?

Как безопасно удалить скрипт и связанные файлы

Проверка на наличие подобных скриптов и авто‑загрузок

Как предотвратить нежелательные сетевые соединения

Заключение

Источники