Перейти к содержанию

Сервер начал тормозить после установки KSWS 11


Вадим666

Рекомендуемые сообщения

Стоял Symantec  был снесен Clean wipe (после того как перестал обновляться) После установлен Kaspersky Security Server 11 после установки и перезагрузки он перестал запускаться при его удалении через панель управления он устанавливается заново KAV remover не видит приложение. При установке KES 12 ругается на установленный Microsoft security essential. Симптомы сервера тормозит неимоверно процессор и память не нагружены нагрузки на винты и сеть тоже не наблюдаю. Подозрение на зловред или косую установку приложений касперского. Удаление  Microsoft security essential также невозможно не стандартными средствами не Revo Uninstaller. При попытки установки Microsoft security essential выдает ошибку 0x800106ba и не дает сохранить настройки.  Задача снести все защиты установить KES 12.8 избавится от тормозов сервера. Как будут готовы логи по KVRT и Auto loger приложу. 

 

image.thumb.png.45f7d6509b4950c168f6325b4e41f9d4.png

Ссылка на комментарий
Поделиться на другие сайты

Цитата

Подозрение на зловред или косую установку приложений касперского.

При таком скоплении установленных антивирусных программ ни один вирус не выживет :)

+

добавьте образ автозапуска системы в uVS посмотреть как они все вместе уживаются.

 

 

Создайте в uVS дополнительно образ автозапуска.

 

1. Скачайте архив с актуальной версией утилиты uVS c зеркала программы отсюда (1) (здесь дополнительно встроен архиватор 7zip), распакуйте данный архив с программой в отдельный каталог.

2. запустите из каталога с модулями uVS файл Start.exe
(для Vista, W7- W11 выберите запуск от имени Администратора)
3. В стартовом окне программы - нажать "запустить под текущим пользователем". (если текущий пользователь с правами локального администратора)

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. Дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время*.txt) автоматически добавится в архив 7z. (если используется uVS из зеркала со встроенным архиватором 7z)
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

Судя по образу, активного заражения на текущий момент нет, но следы былых вирусов в автозапуске остались, т.е. заражение точно было на какой то момент времени

Пока только почистим систему.

 

По очистке системы:

Выполните скрипт очистки в uVS

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню uVS выбираем: "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу c перезагрузкой системы.

;uVS v4.99.10v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.3
v400c
OFFSGNSAVE
;---------command-block---------
delall %SystemDrive%\PROGRAMDATA\MCAFEE\WINDOWS\EXPLORER.EXE
delall %SystemDrive%\PROGRAMDATA\MCAFEE\WINDOWS\SVCHOST.EXE
delall %SystemDrive%\PROGRAMDATA\SYSTEM32\LOGS\TASKOWN.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\TEMP\UNKIS.VBS
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPBCGCPEIFKDJIJDJAMBAAKMHHPKFGOEC%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEFAIDNBMNNNIBPCAJPCGLCLEFINDMKAJ%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIIFCHHFNNMPDBIBIFMLJNFJHPIFIFFOG%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://EXTENSION-UPDATES.OPERA.COM/API/OMAHA/UPDATE/?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEPEBFCEHMDEDOGNDHLCACAFJAACKNBCM%26INSTALLSOURCE%3DONDEMAND%26UC

;------------------------autoscript---------------------------

regt 27
deltmp
delref %SystemDrive%\PROGRAM FILES (X86)\MONITORSOFTWARE\..\MONITORSOFTWARE\JRE\BIN\JAVAW.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\DESKTOP\RESTART.BAT
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {19916E01-B44E-4E31-94A4-4696DF46157B}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {6BF52A52-394A-11D3-B153-00C04F79FAA6}\[CLSID]
delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref {D27CDB6E-AE6D-11CF-96B8-444553540000}\[CLSID]
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\INSTALLER\CHRMSTP.EXE
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref {0F8604A5-4ECE-4DE1-BA7D-CF10F8AA4F48}\[CLSID]
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref %Sys32%\BLANK.HTM
delref {8BEEE74D-455E-4616-A97A-F6E86C317F32}\[CLSID]
delref %Sys32%\DRIVERS\CCSETTINGS_{8202E439-AA3C-4806-9A19-70DFE08E678C}.SYS
delref %Sys32%\DRIVERS\CCSETTINGS_{B45B5A02-0DD7-4633-93B0-7088F15C1E54}.SYS
delref %SystemDrive%\PROGRAM FILES\WIN\SERVICE.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\WEB_STORE\ИНТЕРНЕТ-МАГАЗИН CHROME
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\BOOKMARK_MANAGER\BOOKMARK MANAGER
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\FEEDBACK\FEEDBACK
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.121\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\CLOUD_PRINT\CLOUD PRINT
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\PDF\CHROME PDF VIEWER
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\NETWORK_SPEECH_SYNTHESIS\GOOGLE NETWORK SPEECH
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\90.0.4430.85\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\WEB_STORE\ИНТЕРНЕТ-МАГАЗИН CHROME
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\FEEDBACK\FEEDBACK
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\CLOUD_PRINT\CLOUD PRINT
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\PDF\CHROME PDF VIEWER
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\NETWORK_SPEECH_SYNTHESIS\GOOGLE NETWORK SPEECH
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\WEB_STORE\ИНТЕРНЕТ-МАГАЗИН CHROME
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\FEEDBACK\ОТЗЫВ
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\CLOUD_PRINT\CLOUD PRINT
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\PDF\CHROME PDF VIEWER
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\NETWORK_SPEECH_SYNTHESIS\GOOGLE NETWORK SPEECH
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\89.0.4389.82\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\63.0.3239.84\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\WEB_STORE\ИНТЕРНЕТ-МАГАЗИН CHROME
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\FEEDBACK\FEEDBACK
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\CLOUD_PRINT\CLOUD PRINT
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\PDF\CHROME PDF VIEWER
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\NETWORK_SPEECH_SYNTHESIS\GOOGLE NETWORK SPEECH
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\73.0.3683.86\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\109.0.5414.75\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref E:\SETUP.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\COMODO\ICEDRAGON\UNINSTALL\HELPER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\COMODO\ICEDRAGON\ICEDRAGON.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\YANDEX\YANDEXDISK2\3.2.14.4431\YANDEXDISK2.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\YANDEX\YANDEXDISK2\3.2.7.4182\YANDEXDISK2.EXE
apply
restart

После перезагрузки системы:

Добавьте файл дата_времяlog.txt из папки откуда запускали uVS

Добавьте новый образ автозапуска  для контроля.

 

из установленных антивирусных продуктов активны:

C:\PROGRAM FILES (X86)\KASPERSKY LAB\NETWORKAGENT\*.*

и

C:\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY SECURITY FOR WINDOWS SERVER\*.*

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

2025-03-13_15-29-14_log.7z После перезагрузки сервак ожил, забегал, появился Kaspersky Security Server 11 остается вопрос по сносу Microsoft security essential и замены Kaspersky Security Server 11 на KES 12.8 новый лог делает долго застрял на построении списка процессов пользователей.

Ссылка на комментарий
Поделиться на другие сайты

28 минут назад, Вадим666 сказал:

остается вопрос по сносу Microsoft security essential

Не увидел в образе автозапуска MSE

 

28 минут назад, Вадим666 сказал:

замены Kaspersky Security Server 11 на KES 12.8

Имхо, серверная версия здесь будет актуальнее чем Endpoint Security, другое дело, если серверная версия есть поновее.

Этой версией можно управлять через KSC, т.е. через консоль управления.

https://support.kaspersky.ru/ksws11

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

Это еще можно зачистить в FRST

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM-x32\...\RunOnce: [UnKIS] => wscript.exe //b C:\Users\836D~1\AppData\Local\Temp\UnKIS.vbs [4402 2025-03-13] () [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-3322394560-2822495710-2527028193-1005\...\Run: [service] => C:\ProgramData\System32\Logs\taskown.exe (Нет файла)
HKU\S-1-5-21-3322394560-2822495710-2527028193-1005\...\MountPoints2: {41562951-9d1b-11e4-80e3-001e67c7f4ef} - "E:\setup.exe"
HKU\S-1-5-21-3322394560-2822495710-2527028193-1007\...\MountPoints2: {41562951-9d1b-11e4-80e3-001e67c7f4ef} - "E:\setup.exe"
HKU\S-1-5-21-3322394560-2822495710-2527028193-1010\...\MountPoints2: {41562951-9d1b-11e4-80e3-001e67c7f4ef} - "E:\setup.exe"
HKU\S-1-5-21-3322394560-2822495710-2527028193-1016\...\RunOnce: [ctfmon.exe] => ctfmon.exe /n (Нет файла)
HKU\S-1-5-21-3322394560-2822495710-2527028193-1017\...\RunOnce: [ctfmon.exe] => ctfmon.exe /n (Нет файла)
HKU\S-1-5-21-3322394560-2822495710-2527028193-1018\...\RunOnce: [ctfmon.exe] => ctfmon.exe /n (Нет файла)
HKU\S-1-5-21-3322394560-2822495710-2527028193-1019\...\RunOnce: [ctfmon.exe] => ctfmon.exe /n (Нет файла)
HKU\S-1-5-21-3322394560-2822495710-2527028193-1020\...\Run: [Windows Explorer] => C:\ProgramData\McAfee\Windows\explorer.exe (Нет файла) <==== ВНИМАНИЕ
HKU\S-1-5-21-3322394560-2822495710-2527028193-1020\...\Run: [Host Process for Windows Services] => C:\ProgramData\McAfee\Windows\svchost.exe (Нет файла) <==== ВНИМАНИЕ
Task: {E6D0B0D6-1E0B-404E-B6F1-628E314AB130} - System32\Tasks\Перезагрузка => C:\Users\Администратор\Desktop\restart.bat  (Нет файла)
CHR HKU\S-1-5-21-3322394560-2822495710-2527028193-1044\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKU\S-1-5-21-3322394560-2822495710-2527028193-500\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKLM-x32\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog]
CHR HKLM-x32\...\Chrome\Extension: [pbcgcpeifkdjijdjambaakmhhpkfgoec]
REboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Проверяем работоспособность системы.

 

4 минуты назад, Вадим666 сказал:

kes 12.8 он и для серверов а версия старая

12.8 тоже из консоли прекрасно рулится

Как вам будет удобнее, возможно лучше проконсультироваться в ТП какой выбрать продукт для защиты сервера.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Maks666
      От Maks666
      Все началось с того что я решил обновить драйвера у встроенной графики, и другие за одно (т.к. на экране на рабочем столе появлялись артефакты) я их установил при помощи софта амд с официального сайта и после этого процессор начал греться сильнее обычного на 8-15 градусов в зависимости от нагрузки.
      Температура в простое обычно была в районе 38 градусов, а сейчас может быть все 45 и больше. Иногда все нормально и температура чипа в норме, но в основном она более высокая.
      В итоге я их снес все установленные дрова, при помощи того же софты, но это ситуацию не исправило, процессор как грелся сильно так и греется. 
      Дело здесь точно не в термопасте, т.к. на процессор нанесен жидкий метал, а ноутбуку чуть больше года.
    • Fly13
      От Fly13
      Не очень добрый день)
       
      Есть несколько серверов на Винде. Некоторые утром показывают то, что на скрине.  Далее текст со скрина:
       
      contact email ukrhq@proton.me or dhelp@mailfence.com 
      send id
       
      Фактически на системных дисках и дисках с данными нет разделов, живая винда предлагает их форматировать. Есть предположение, что плохиши подключались по rdp и шифровали диски программой dcrypt.
       
      Прошу помощи, готов к тратам
       

    • Хасан Абдурахман
      От Хасан Абдурахман
      Открываеш гугл. Кликаеш по ссылке на какой нибудь сайт . И ждешь, пока касперский решит его открыть. Иногда 3-5 минут ждешь. Аж вся душа выматывается.  
    • Golem555
    • Анди25
      От Анди25
      День добрый,
       
      Сменился сервер и имя, из бэкап восстановил, но все сертификаты естественно указывают на прежний.
      Подскажите как сертификат сменить непосредственно на Kaspersky Security Center (не для работы мобильных клиентов и web, они легко меняются через mmc)
       
      Нашел описание по утилите klsetsrvcert, но чего-то не хватает, не проходит создание.
      "C:\Program Files (x86)\Kaspersky Lab\Kaspersky Security Center\klsetsrvcert.exe" -t C -i C:\0\klserver.cer -p testpass -o NoCA
×
×
  • Создать...