Сервер начал тормозить после установки KSWS 11

[Вадим666]

Стоял Symantec  был снесен Clean wipe (после того как перестал обновляться) После установлен Kaspersky Security Server 11 после установки и перезагрузки он перестал запускаться при его удалении через панель управления он устанавливается заново KAV remover не видит приложение. При установке KES 12 ругается на установленный Microsoft security essential. Симптомы сервера тормозит неимоверно процессор и память не нагружены нагрузки на винты и сеть тоже не наблюдаю. Подозрение на зловред или косую установку приложений касперского. Удаление  Microsoft security essential также невозможно не стандартными средствами не Revo Uninstaller. При попытки установки Microsoft security essential выдает ошибку 0x800106ba и не дает сохранить настройки.  Задача снести все защиты установить KES 12.8 избавится от тормозов сервера. Как будут готовы логи по KVRT и Auto loger приложу. 

 

[safety]

Цитата

Подозрение на зловред или косую установку приложений касперского.

При таком скоплении установленных антивирусных программ ни один вирус не выживет

+

добавьте образ автозапуска системы в uVS посмотреть как они все вместе уживаются.

 

 

Создайте в uVS дополнительно образ автозапуска.

 

1. Скачайте архив с актуальной версией утилиты uVS c зеркала программы отсюда (1) (здесь дополнительно встроен архиватор 7zip), распакуйте данный архив с программой в отдельный каталог.

2. запустите из каталога с модулями uVS файл Start.exe
(для Vista, W7- W11 выберите запуск от имени Администратора)
3. В стартовом окне программы - нажать "запустить под текущим пользователем". (если текущий пользователь с правами локального администратора)

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. Дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время*.txt) автоматически добавится в архив 7z. (если используется uVS из зеркала со встроенным архиватором 7z)
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме.

Изменено 13 марта пользователем safety

[Вадим666]

KVRT.7z SERVERBOARD_2025-03-13_12-50-07_v4.99.10v x64.7z

[safety]

Судя по образу, активного заражения на текущий момент нет, но следы былых вирусов в автозапуске остались, т.е. заражение точно было на какой то момент времени

Пока только почистим систему.

 

По очистке системы:

Выполните скрипт очистки в uVS

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню uVS выбираем: "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу c перезагрузкой системы.

;uVS v4.99.10v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.3
v400c
OFFSGNSAVE
;---------command-block---------
delall %SystemDrive%\PROGRAMDATA\MCAFEE\WINDOWS\EXPLORER.EXE
delall %SystemDrive%\PROGRAMDATA\MCAFEE\WINDOWS\SVCHOST.EXE
delall %SystemDrive%\PROGRAMDATA\SYSTEM32\LOGS\TASKOWN.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\TEMP\UNKIS.VBS
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPBCGCPEIFKDJIJDJAMBAAKMHHPKFGOEC%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEFAIDNBMNNNIBPCAJPCGLCLEFINDMKAJ%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIIFCHHFNNMPDBIBIFMLJNFJHPIFIFFOG%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://EXTENSION-UPDATES.OPERA.COM/API/OMAHA/UPDATE/?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEPEBFCEHMDEDOGNDHLCACAFJAACKNBCM%26INSTALLSOURCE%3DONDEMAND%26UC

;------------------------autoscript---------------------------

regt 27
deltmp
delref %SystemDrive%\PROGRAM FILES (X86)\MONITORSOFTWARE\..\MONITORSOFTWARE\JRE\BIN\JAVAW.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\DESKTOP\RESTART.BAT
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {19916E01-B44E-4E31-94A4-4696DF46157B}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {6BF52A52-394A-11D3-B153-00C04F79FAA6}\[CLSID]
delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref {D27CDB6E-AE6D-11CF-96B8-444553540000}\[CLSID]
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\INSTALLER\CHRMSTP.EXE
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref {0F8604A5-4ECE-4DE1-BA7D-CF10F8AA4F48}\[CLSID]
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref %Sys32%\BLANK.HTM
delref {8BEEE74D-455E-4616-A97A-F6E86C317F32}\[CLSID]
delref %Sys32%\DRIVERS\CCSETTINGS_{8202E439-AA3C-4806-9A19-70DFE08E678C}.SYS
delref %Sys32%\DRIVERS\CCSETTINGS_{B45B5A02-0DD7-4633-93B0-7088F15C1E54}.SYS
delref %SystemDrive%\PROGRAM FILES\WIN\SERVICE.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\WEB_STORE\ИНТЕРНЕТ-МАГАЗИН CHROME
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\BOOKMARK_MANAGER\BOOKMARK MANAGER
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\FEEDBACK\FEEDBACK
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.121\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\CLOUD_PRINT\CLOUD PRINT
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\PDF\CHROME PDF VIEWER
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\NETWORK_SPEECH_SYNTHESIS\GOOGLE NETWORK SPEECH
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\90.0.4430.85\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\WEB_STORE\ИНТЕРНЕТ-МАГАЗИН CHROME
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\FEEDBACK\FEEDBACK
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\CLOUD_PRINT\CLOUD PRINT
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\PDF\CHROME PDF VIEWER
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\72.0.3626.96\RESOURCES\NETWORK_SPEECH_SYNTHESIS\GOOGLE NETWORK SPEECH
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\WEB_STORE\ИНТЕРНЕТ-МАГАЗИН CHROME
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\FEEDBACK\ОТЗЫВ
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\CLOUD_PRINT\CLOUD PRINT
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\PDF\CHROME PDF VIEWER
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\86.0.4240.111\RESOURCES\NETWORK_SPEECH_SYNTHESIS\GOOGLE NETWORK SPEECH
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\89.0.4389.82\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\63.0.3239.84\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\60.0.3112.113\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\WEB_STORE\ИНТЕРНЕТ-МАГАЗИН CHROME
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\FEEDBACK\FEEDBACK
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\CLOUD_PRINT\CLOUD PRINT
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\PDF\CHROME PDF VIEWER
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\NETWORK_SPEECH_SYNTHESIS\GOOGLE NETWORK SPEECH
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\68.0.3440.106\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\73.0.3683.86\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\109.0.5414.75\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref E:\SETUP.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\COMODO\ICEDRAGON\UNINSTALL\HELPER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\COMODO\ICEDRAGON\ICEDRAGON.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\YANDEX\YANDEXDISK2\3.2.14.4431\YANDEXDISK2.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\YANDEX\YANDEXDISK2\3.2.7.4182\YANDEXDISK2.EXE
apply
restart

После перезагрузки системы:

Добавьте файл дата_времяlog.txt из папки откуда запускали uVS

Добавьте новый образ автозапуска  для контроля.

 

из установленных антивирусных продуктов активны:

C:\PROGRAM FILES (X86)\KASPERSKY LAB\NETWORKAGENT\*.*

и

C:\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY SECURITY FOR WINDOWS SERVER\*.*

Изменено 13 марта пользователем safety

[Вадим666]

сейчас сделаю а Microsoft security essential не видно нигде???

 

2025-03-13_15-29-14_log.7z После перезагрузки сервак ожил, забегал, появился Kaspersky Security Server 11 остается вопрос по сносу Microsoft security essential и замены Kaspersky Security Server 11 на KES 12.8 новый лог делает долго застрял на построении списка процессов пользователей.

 

frst64 и Addition.7z

так и крутит не может построить список

 

 

[safety]

28 минут назад, Вадим666 сказал:

остается вопрос по сносу Microsoft security essential

Не увидел в образе автозапуска MSE

 

28 минут назад, Вадим666 сказал:

замены Kaspersky Security Server 11 на KES 12.8

Имхо, серверная версия здесь будет актуальнее чем Endpoint Security, другое дело, если серверная версия есть поновее.

Этой версией можно управлять через KSC, т.е. через консоль управления.

https://support.kaspersky.ru/ksws11

Изменено 13 марта пользователем safety

[Вадим666]

1 минуту назад, safety сказал:

kes 12.8 он и для серверов а версия старая

12.8 тоже из консоли прекрасно рулится

скрин.7z

[safety]

Это еще можно зачистить в FRST

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM-x32\...\RunOnce: [UnKIS] => wscript.exe //b C:\Users\836D~1\AppData\Local\Temp\UnKIS.vbs [4402 2025-03-13] () [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-3322394560-2822495710-2527028193-1005\...\Run: [service] => C:\ProgramData\System32\Logs\taskown.exe (Нет файла)
HKU\S-1-5-21-3322394560-2822495710-2527028193-1005\...\MountPoints2: {41562951-9d1b-11e4-80e3-001e67c7f4ef} - "E:\setup.exe"
HKU\S-1-5-21-3322394560-2822495710-2527028193-1007\...\MountPoints2: {41562951-9d1b-11e4-80e3-001e67c7f4ef} - "E:\setup.exe"
HKU\S-1-5-21-3322394560-2822495710-2527028193-1010\...\MountPoints2: {41562951-9d1b-11e4-80e3-001e67c7f4ef} - "E:\setup.exe"
HKU\S-1-5-21-3322394560-2822495710-2527028193-1016\...\RunOnce: [ctfmon.exe] => ctfmon.exe /n (Нет файла)
HKU\S-1-5-21-3322394560-2822495710-2527028193-1017\...\RunOnce: [ctfmon.exe] => ctfmon.exe /n (Нет файла)
HKU\S-1-5-21-3322394560-2822495710-2527028193-1018\...\RunOnce: [ctfmon.exe] => ctfmon.exe /n (Нет файла)
HKU\S-1-5-21-3322394560-2822495710-2527028193-1019\...\RunOnce: [ctfmon.exe] => ctfmon.exe /n (Нет файла)
HKU\S-1-5-21-3322394560-2822495710-2527028193-1020\...\Run: [Windows Explorer] => C:\ProgramData\McAfee\Windows\explorer.exe (Нет файла) <==== ВНИМАНИЕ
HKU\S-1-5-21-3322394560-2822495710-2527028193-1020\...\Run: [Host Process for Windows Services] => C:\ProgramData\McAfee\Windows\svchost.exe (Нет файла) <==== ВНИМАНИЕ
Task: {E6D0B0D6-1E0B-404E-B6F1-628E314AB130} - System32\Tasks\Перезагрузка => C:\Users\Администратор\Desktop\restart.bat  (Нет файла)
CHR HKU\S-1-5-21-3322394560-2822495710-2527028193-1044\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKU\S-1-5-21-3322394560-2822495710-2527028193-500\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKLM-x32\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog]
CHR HKLM-x32\...\Chrome\Extension: [pbcgcpeifkdjijdjambaakmhhpkfgoec]
REboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Проверяем работоспособность системы.

 

4 минуты назад, Вадим666 сказал:

kes 12.8 он и для серверов а версия старая

12.8 тоже из консоли прекрасно рулится

Как вам будет удобнее, возможно лучше проконсультироваться в ТП какой выбрать продукт для защиты сервера.

Изменено 13 марта пользователем safety

[Вадим666]

 

Начались тормоза заново. сейчас скрипт прогоню посмотрим 

 

На сервере на котором проблема 2 диска  C и D. Диск E на моем ПК но его тоже прогоню на вирей KES 12.8

 

Fixlog.7z

 

какие-то пользователи левые присутствуют на сервере. После перезапуска вроде пока бегает.

[safety]

19 минут назад, Вадим666 сказал:

какие-то пользователи левые присутствуют на сервере

По пользователям вам решать: кого оставить, кому голову сечь вместе с профилем.

 

 

Изменено 13 марта пользователем safety

[Вадим666]

Это да посмотрю завтра 

тему аока не закрывайте понаблюдаю еще сутки и отпишусь 

Огромное спасибо !!!

По логам то все нормально ???

И да почему то uVS не может построить список процессов и модулей крутит долно оставлю на ночь посмотрю завтра отпишусь

[safety]

Вирусной активности нет, оставались только хвосты в автозапуске на файлы, которых не было.

Если второй образ uVS не получится создать по каким то причинам, тогда сделайте контрольные логи FRST.

Изменено 13 марта пользователем safety

[Вадим666]

щас запущу

 

тормоза вернулись 

 

uVS оставленный вчера отработал сейчас скину оба лога

 

 

SERVERBOARD_2025-03-14_08-58-59_v4.99.10v x64.7z

[safety]

Так понимаю, что вопрос перехода на Edpoint Security не решен. Возможно что тормоза связаны с текущей версией Касперского для сервера. Но здесь лучше в профильный раздел обратиться для корпоративных пользователей. Как правильно настроить продукт на сервере.

[Вадим666]

FRST.7z

я его настраивать не хочу хочу поменять на kes 12.8 а для этого нужно еще снести essentinal