Перейти к содержанию
Правила раздела
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

Вирусы, вызывающие перегрузку системы и сбои в работе [OК]

tomkiv

Автор tomkiv
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

tomkiv Новичок

tomkiv

Опубликовано
Опубликовано (изменено)

Такая же ситуация - возникла вчера. Внезапно запустился IE, хотя я тоже им не пользуюсь и начал открывать страницу с непонятными иероглифами. Не успела я еще ничего понять - страница загрузилась, а после этого в нижнем правом углу появилась панелька Face cook (или Cook Face) - как-то так и началась такая вот вещь с компом. Facecook удалила - теперь проблема с этими же (и некоторыми другими) процессами. Периодически система не дает работать Битторренту... Не дает установить ни НОД, ни Доктора Веба, не дает запускаться Касперскому 2010.

Изменено пользователем ТроПа
Ссылка на комментарий
Поделиться на другие сайты
snifer67 Ветеран

snifer67

Опубликовано
Опубликовано (изменено)

tomkiv создайте новую тему + выполните правила http://forum.kasperskyclub.ru/index.php?showtopic=1698

Изменено пользователем snifer67
Ссылка на комментарий
Поделиться на другие сайты
tomkiv Новичок

tomkiv

Опубликовано
  • Автор
Опубликовано (изменено)

Здравствуйте!

 

У меня возникла следующая проблема: вчера внезапно открылось окно IE и стало открывать страницу с непонятными иероглифами, хотя я IE не пользуюсь. Пока я опомнилась, у меня на компе появилась странная программа Face Cooker (или Cook Face - как-то так звучит). Появилась панелька этой программы в нижнем правом углу. Вместе с этим появились новые процессы, которых раньше никогда не было - H001.exe, J001.exe и многие другие. Пыталась удалить антивирусом, но Десятый Касперский не запускается, Доктор Веб не устанавливается (как и НОД32). CureIT находит вирусы, но после перезагрузки все как и было.

 

Новые процессы сильно грузят систему, что приводит к зависанию. При запуске запускается J001. exe, J002.exe, A019.exe, H001. exe, G001.exe, cmd.exe (который и грузит систему на 80-100%), ping.exe, NetworkLicenceServer.exe, AxCmd.exe, s.exe, Safety.exe, reader_sl.exe и другие - это из тех, которых раньше вроде не было. При запуске FIREFOX запускается klwtblfs.exe, потом исчезает.

 

Другие симптомы - после некоторого времени работы виснет Битторрент.

 

Кроме того, не отключается Восстановление Системы. (Уже достаточно давно)

 

Буду очень признательна, если поможете в устранении проблемы!

hijackthis.log

virusinfo_syscheck.zip

virusinfo_syscure.zip

Изменено пользователем tomkiv
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано (изменено)

Пофиксить в HiJack

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.9348.cn/?205449
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://toolbar.ask.com/toolbarv/askRedirect?o=101761&gct=&gc=1&q=
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.9348.cn/?205449
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://toolbar.ask.com/toolbarv/askRedirect?o=101761&gct=&gc=1&q=
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://toolbar.ask.com/toolbarv/askRedirect?o=101761&gct=&gc=1&q=%s
R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - (no file)
F2 - REG:system.ini: Shell=Explorer.exe	C:\WINDOWS\conime.exe	 asds
F3 - REG:win.ini: load=c:\windows\system32\sysDll.exe
F2 - REG:system.ini: UserInit=userinit.exe,
O2 - BHO: (no name) - {2F55A1E9-EE3D-4B19-8B5F-378DEB2F893C} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{4B8EAAA7-89FF-4C66-9EA9-63899DF0A0D0}: NameServer = 85.255.112.130,85.255.112.184
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.130,85.255.112.184
O17 - HKLM\System\CS2\Services\Tcpip\..\{4B8EAAA7-89FF-4C66-9EA9-63899DF0A0D0}: NameServer = 85.255.112.130,85.255.112.184
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.112.130,85.255.112.184
O17 - HKLM\System\CS3\Services\Tcpip\..\{4B8EAAA7-89FF-4C66-9EA9-63899DF0A0D0}: NameServer = 85.255.112.130,85.255.112.184
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.130,85.255.112.184

 

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\sysdll.dll','');
DeleteFile('c:\windows\system32\sysdll.dll');
QuarantineFile('C:\WINDOWS\system32\egqT.dll','');
QuarantineFile('c:\windows\system32\tymdtcd.dll','');
QuarantineFile('c:\windows\system32\rlmktxc.dll','');
QuarantineFile('C:\WINDOWS\SYSTEM32\blbrunsrv.dll','');
QuarantineFile('C:\WINDOWS\system32\5f31.exe','');
QuarantineFile('C:\WIN\DOWS\LAX.exe','');
QuarantineFile('c:\windows\system32\sysDll.exe','');
QuarantineFile('C:\WINDOWS\MICROSOFT\winsys.dll','');
QuarantineFile('C:\WINDOWS\TEMP\tempo-29177328.tmp','');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}');
QuarantineFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe','');
QuarantineFile('C:\WINDOWS\Fonts\EAC1E80C.DLL','');
QuarantineFile('C:\autorun.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\brywu.sys','');
SetServiceStart('gaouqje', 4);
DeleteService('gaouqje');
QuarantineFile('C:\WINDOWS\system32\dll.sys','');
SetServiceStart('dedede', 4);
DeleteService('dedede');
QuarantineFile('C:\WINDOWS\system32\windswe.exe','');
DeleteService('windswe');
QuarantineFile('C:\WINDOWS\system32\s.exe','');
DeleteService('OSEvent');
QuarantineFile('C:\WINDOWS\system32\ILWQBTO5AP\F001.exe','');
DeleteService('Nationallms');
QuarantineFile('C:\WINDOWS\Fonts\41EF2154.EXE','');
QuarantineFile('C:\WINDOWS\system32\i\G001.exe','');
QuarantineFile('C:\WINDOWS\system32\UP45WG057A\J002.exe','');
DeleteService('aw');
DeleteService('ad');
DeleteService('544753B4');
DeleteService('BackGround Switch');
QuarantineFile('c:\windows\system32\avwbunyocsu.dll','');
TerminateProcessByName('c:\windows\conime.exe');
QuarantineFile('c:\windows\conime.exe','');
DeleteFile('c:\windows\conime.exe');
DeleteFile('c:\windows\system32\avwbunyocsu.dll');
DeleteFile('C:\WINDOWS\system32\UP45WG057A\J002.exe');
DeleteFile('C:\WINDOWS\system32\i\G001.exe');
DeleteFile('C:\WINDOWS\Fonts\41EF2154.EXE');
DeleteFile('C:\WINDOWS\system32\ILWQBTO5AP\F001.exe');
DeleteFile('C:\WINDOWS\system32\s.exe');
DeleteFile('C:\WINDOWS\system32\windswe.exe');
DeleteFile('C:\WINDOWS\system32\dll.sys');
DeleteFile('C:\WINDOWS\system32\drivers\brywu.sys');
DeleteFile('C:\autorun.exe');
DeleteFile('C:\WINDOWS\Fonts\EAC1E80C.DLL');
DeleteFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe');
DeleteFile('C:\WINDOWS\TEMP\tempo-29177328.tmp');
DeleteFile('C:\WINDOWS\MICROSOFT\winsys.dll');
DeleteFile('c:\windows\system32\sysDll.exe');
DeleteFile('C:\WIN\DOWS\LAX.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','LUXLAX2');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\OSEvent','EventMessageFile');
DeleteFile('C:\WINDOWS\system32\5f31.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\svchose','EventMessageFile');
DeleteFile('C:\WINDOWS\SYSTEM32\blbrunsrv.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\BlbSrv\Parameters','ServiceDll');
DeleteFile('0.exe');
DeleteFile('C:\WINDOWS\system32\egqT.dll');
DeleteFile('C:\Windows\Tasks\{5B57CF47-0BFA-43c6-ACF9-3B3653DCADBA}.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.

 

Выполнить скрипт в AVZ.

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте на newvirus@kaspersky.com. Полученный ответ сообщите здесь.

 

Сделайте новые логи

Изменено пользователем thyrex
Ссылка на комментарий
Поделиться на другие сайты
tomkiv Новичок

tomkiv

Опубликовано
  • Автор
Опубликовано

Спасибо за инструкцию - после применения этого скрипта кое-какие проблемы отпали, смогла установить НОД - он в свою очередь удалил многие вирусы (96шт.) Большинство странных процессов ушли, однако некоторые файлы вирусов ни антивирус, ни скрипт удалить не могут - тот же beep.sys и некоторые другие. Выкладываю новые логи, как получу ответ из лаборатории, выложу и его.

 

Спасибо за Вашу помощь, надеюсь Вы поможете устранить проблему полностью! :D

hijackthis.log

virusinfo_syscheck.zip

virusinfo_syscure.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\msdt.exe','');
DeleteFile('C:\WINDOWS\msdt.exe');
DelBHO('{296AB1C7-FB22-4D17-8834-064E2BA0A6F0}');
QuarantineFile('C:\WINDOWS\MICROSOFT\winsys.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\brywu.sys','');
SetServiceStart('gaouqje', 4);
DeleteService('gaouqje');
QuarantineFile('C:\WINDOWS\system32\0XNUA6QRNP\J002.exe','');
DeleteService('fsdfs');
QuarantineFile('C:\WINDOWS\system32\regedit32.exe','');
DeleteService('BackGround Switch');
QuarantineFile('C:\WINDOWS\Fonts\41EF2154.EXE','');
DeleteService('544753B4');
QuarantineFile('C:\WINDOWS\system32\Safety.exe','');
QuarantineFile('c:\windows\system32\rwmrtkc.dll','');
QuarantineFile('C:\WINDOWS\system32\egqT.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\klif.sys','');
DeleteService('TSP');
DeleteFile('C:\WINDOWS\system32\Drivers\klif.sys');
DeleteFile('C:\WINDOWS\system32\egqT.dll');
DeleteFile('c:\windows\system32\rwmrtkc.dll');
DeleteFile('C:\WINDOWS\system32\Safety.exe');
DeleteFile('C:\WINDOWS\Fonts\41EF2154.EXE');
DeleteFile('C:\WINDOWS\system32\regedit32.exe');
DeleteFile('C:\WINDOWS\system32\0XNUA6QRNP\J002.exe');
DeleteFile('C:\WINDOWS\system32\drivers\brywu.sys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SefatyReg');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\BITS\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\MICROSOFT\winsys.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(3);
RebootWindows(true);
end.

Компьютер перезагрузится.

 

Выполнить скрипт в AVZ.

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте на newvirus@kaspersky.com. Полученный ответ сообщите здесь.

 

Файл beep.sys нужно заменить на чистыq из дистрибутива:

- Загрузитесь в консоли восстановления

- На приглашение введите строку:

expand X:\i386\beep.sy_ C:\WINDOWS\system32\drivers\beep.sys

Вместо Х подставьте букву драйва, где лежит дистрибутив.

Переписывание подтвердите.

 

- Выйдите из консоли восстановления командой exit + клавиша ВВОД.

- Загрузитесь нормально.

 

Альтернативная замена готовым файлом с аналогичной ОС может быть произведена при загрузке в консоли восстановления (см. выше), с Live CD (BartPE, Knoppix etc.) или с установкой диска в другой ПК.

 

Сделайте новые логи

Ссылка на комментарий
Поделиться на другие сайты
tomkiv Новичок

tomkiv

Опубликовано
  • Автор
Опубликовано

Спасибо огромное всем за помощь - решила действовать координально - переустановила систему с чистого листа. Еще раз благодарю! :rolleyes:

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Elly
      Вопросы к администрации по работе форума
      Автор Elly
      Вопросы по работе форума следует писать сюда. Вопросы по модерированию, согласно правилам, сюда писать не следует.
      Ответ можно получить только на вопрос, который грамотно сформулирован и не нарушает правил\устава форума.
    • asmonekus
      [РЕШЕНО] Подозрение на заражение системы
      Автор asmonekus
      В какой-то момент заметила, что в истории поиска Windows начали появляться запросы, иногда даже на английском, которых я не делала, даже если компьютер был выключен. В истории запросов аккаунта Microsoft, который я использую на ПК, ничего подобного нет, плюс я сменила пароль и на всякий случай сделала выход со всех устройств через управление аккаунтом.
       
      Проводила проверку ПК и Kaspersky Virus Removal Tool, и Dr.Web CureIt!, и Kaspersky Premium – ничего не обнаружено. Запускала Avbr – почистил кеш и тоже ничего не обнаружил. Единственное, узнала, что Windows активирован KMSAuto (ПК был куплен в сборке с уже установленным ПО), но, насколько я с ним сталкивалась, он проблем каких-либо не доставлял.

      Никакого другого подозрительного поведения не обнаружила, все сайты как были доступны, так и остались. Лишней нагрузки тоже нет. Но эти рандомные запросы уж очень меня смущают.
      CollectionLog-2025.05.16-22.38.zip
    • Pomka.
      Рейтинговая система мотивации участников клуба: обсуждение
      Автор Pomka.
      короче простым клубням тут не место ?
    • KL FC Bot
      Главные ошибки работы с CVSS | Блог Касперского
      Автор KL FC Bot
      При знакомстве с рейтингом CVSS (Common Vulnerability Scoring System) многим кажется, что он прекрасно подходит для сортировки уязвимостей и их приоритизации: если больше цифра рейтинга, значит уязвимость важнее. На практике этот подход не срабатывает. Уязвимостей с высоким рейтингом каждый год становится все больше, закрывать их все команды ИБ не успевают, при этом львиная доля этих дефектов никогда не эксплуатируется в реальных атаках. В то же время злоумышленники то и дело используют менее броские уязвимости с невысоким рейтингом. Есть и другие подводные камни — от чисто технических (конфликтующие оценки CVSS) до концептуальных (отсутствие бизнес-контекста).
      Считать это недостатками самого рейтинга CVSS нельзя, нужно просто применять этот инструмент правильно: в рамках более сложного и комплексного процесса управления уязвимостями.
      Разночтения CVSS
      Иногда одна и та же уязвимость получает разную оценку критичности в доступных источниках: у исследователя ИБ, который ее нашел; у производителя уязвимого ПО; в национальном реестре уязвимостей. Кроме банальных ошибок у этих разночтений может быть и более серьезная причина — разные эксперты могут расходиться в оценках контекста эксплуатации: например, о том, с какими привилегиями выполняется уязвимое приложение, доступно ли оно из Интернета, и так далее. Производитель может ориентироваться здесь на свои рекомендации лучших практик, а исследователь ИБ — на то, как приложения настроены в реальных организациях. Один исследователь может оценить сложность эксплуатации как высокую, а другой — как низкую. Все это далеко не редкость. В исследовании VulnCheck, проведенном в 2023 году, подсчитали, что 20% уязвимостей из NVD содержат два рейтинга CVSS3 из разных источников и 56% этих парных оценок конфликтуют между собой.
       
      View the full article
    • Victor_R
      Kaspersky plus и Adguard. Adguard не установлен в системе.
      Автор Victor_R
      Доброго дня всем! Версия Plus заканчивается пробный период. И вдруг Касперский начинает находить (раньше такого не видел в своей системе) и ругается на несовместимость с AdGuard. Предлагает настоятельно удалить его, но его НЕТ в системе! Смотрел и средствами Windows и есть Uninstall Tool. Но нигде нет Adguard.  Как реагировать на это? А точнее как исправить?
×
×
  • Создать...