[РЕШЕНО] Процесс dwm.exe загружает процессор на максимум, подозрение на майнер

[USER99999]

Здравствуйте, процесс dwm.exe загружает процессор на максимум при входе в систему, при запуске диспетчера задач нагрузка пропадает, видимо майнер. Пробовал KVRT но он не помог. Прикладываю логи и надеюсь на вашу помощь, спасибо.CollectionLog-2025.09.30-10.20.zip

[Sandor]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\Users\User\AppData\Local\driverpatch9t1ohxw8\di.exe', '');
 DeleteFile('C:\Users\User\AppData\Local\driverpatch9t1ohxw8\di.exe', '64');
 DeleteService('DrvSvc');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

 

begin
 DeleteFile(GetAVZDirectory+'quarantine.7z');
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Полученный архив quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

 

Файл Check_Browser_Lnk.log
 из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.
 

 

Для повторной диагностики запустите снова AutoLogger. Прикрепите новый CollectionLog.

 

[USER99999]

Спасибо за быстрый ответ.

1 час назад, Sandor сказал:

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Диспетчер задач тоже закрыть? Я так понимаю антивирус и т.д. нужно отключать чтобы сэкономить ресурсы системы а тут если диспетчер закрыть то процессор будет под сотку загружен.

[Sandor]

Только не ресурсы, а возможный конфликт с утилитами лечения. Да, Диспетчер тоже закройте.

[USER99999]

ClearLNK-2025.09.30_13.10.09.logCollectionLog-2025.09.30-13.14.zip Выполнил все процедуры, скинул сообщение на почту с архивом quarantine.7z

[Sandor]

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[USER99999]

FRST.txtAddition.txt Помогло, процессор больше не нагружается dwm.

[Sandor]

Хорошо. Ещё некоторую очистку сделаем.

Пересмотрите исключения Защитника и удалите там лишние.

 

Затем:

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  Task: {26A8F5E1-F0E6-43E8-963F-222B57B50901} - System32\Tasks\S-1-5-21-1896458317-3510957771-2295014265-1000\DataSenseLiveTileTask => %SystemRoot%\System32\DataUsageLiveTileTask.exe  (Нет файла)
  C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\kbjopffcocgcnkigpnnmpcoimhjbjmba
  C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\nlbejmccbhkncgokjcmghpfloaajcffj
  CHR HKU\S-1-5-21-1896458317-3510957771-2295014265-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fhkbfkkohcdgpckffakhbllifkakihmh]
  CHR HKU\S-1-5-21-1896458317-3510957771-2295014265-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh]
  CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
  AlternateDataStreams: C:\ProgramData\autobk.inc:8AC1BB86DF [4298]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer1.log:F107EE40EF [4298]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer1.log_backup1:2DD1EC5C91 [4298]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer2.log:CCB2353F35 [4298]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer2.log_backup1:0544EFE2DB [4298]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer3.log:8A1F56CED6 [4298]
  AlternateDataStreams: C:\ProgramData\mntemp:8EAD8B3507 [4298]
  AlternateDataStreams: C:\ProgramData\NvcDispCorePlugin.log:AAE9D2281E [4298]
  AlternateDataStreams: C:\ProgramData\NvcDispCorePlugin.log_backup1:E79F04DA79 [4298]
  AlternateDataStreams: C:\ProgramData\NVDisplay.ContainerLocalSystem.log:5ACBC90093 [4298]
  AlternateDataStreams: C:\ProgramData\NVDisplay.ContainerLocalSystem.log_backup1:A416BDA264 [4298]
  AlternateDataStreams: C:\ProgramData\NVDisplayContainerWatchdog.log:204739A7F2 [4298]
  AlternateDataStreams: C:\ProgramData\NVDisplayContainerWatchdog.log_backup1:C3CA1050CA [4298]
  AlternateDataStreams: C:\ProgramData\SoundToys_Problem_Log.txt:B993F13A5B [4298]
  AlternateDataStreams: C:\ProgramData\tfoqymwx.lqa:10068847C1 [4298]
  AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [3072]
  HKU\S-1-5-21-1896458317-3510957771-2295014265-1000\Software\Classes\regfile:  <==== ВНИМАНИЕ
  HKU\S-1-5-21-1896458317-3510957771-2295014265-1000\Software\Classes\.reg:  =>  <==== ВНИМАНИЕ
  HKU\S-1-5-21-1896458317-3510957771-2295014265-1000\Software\Classes\.bat:  =>  <==== ВНИМАНИЕ
  HKU\S-1-5-21-1896458317-3510957771-2295014265-1000\Software\Classes\.cmd:  =>  <==== ВНИМАНИЕ
  FirewallRules: [{F3EDB951-A9EC-4608-98A7-332564495CF5}] => (Block) F:\GAMES\FINAL FANTASY VII REBIRTH (2025)\FINAL FANTASY VII REBIRTH\ff7rebirth.exe => Нет файла
  FirewallRules: [{BA3D4667-1C24-4F88-864F-78DC62135FC6}] => (Block) F:\GAMES\FINAL FANTASY VII REBIRTH (2025)\FINAL FANTASY VII REBIRTH\ff7rebirth.exe => Нет файла
  FirewallRules: [{B86C7A2A-4657-409E-843D-C7620EA50800}] => (Block) F:\GAMES\Marvel's.Spider-Man.2.Digital.Deluxe.Edition-InsaneRamZes\Spider-Man2.exe => Нет файла
  FirewallRules: [{7A474BA8-DFBB-4539-AA3A-E314DFF1E6D5}] => (Block) F:\GAMES\Marvel's.Spider-Man.2.Digital.Deluxe.Edition-InsaneRamZes\Spider-Man2.exe => Нет файла
  FirewallRules: [{3822C745-9778-4F4A-A218-9047A5B11E34}] => (Block) C:\Program Files (x86)\AIDA64\aida64.exe (FinalWire Kft. -> FinalWire Ltd.)
  FirewallRules: [{70352C77-F082-496C-B58E-17D89E02E3D5}] => (Block) C:\Program Files (x86)\AIDA64\aida64.exe (FinalWire Kft. -> FinalWire Ltd.)
  FirewallRules: [{CBBBBFB3-08AC-4451-B8DA-69F0A5F12584}] => (Block) F:\GAMES\Split Fiction\Split\Binaries\Win64\SplitFiction.exe => Нет файла
  FirewallRules: [{1C8CC9EE-5CA0-4BF2-A2EF-1483615C8872}] => (Block) F:\GAMES\Split Fiction\Split\Binaries\Win64\SplitFiction.exe => Нет файла
  FirewallRules: [{EF28089D-CE02-49A6-9D8D-2DA19DD552BA}] => (Block) F:\GAMES\Detroit - Become Human\DetroitBecomeHuman.exe => Нет файла
  FirewallRules: [{ECC3E526-27E0-44DB-8447-1900EE68D9F4}] => (Block) F:\GAMES\Detroit - Become Human\DetroitBecomeHuman.exe => Нет файла
  FirewallRules: [{19024ABD-684F-4710-AD06-40C933AA3609}] => (Block) F:\GAMES\Visions of Mana\VisionsofMana.exe => Нет файла
  FirewallRules: [{90362F1A-213F-4E22-81F9-2F61F0DF751D}] => (Block) F:\GAMES\Visions of Mana\VisionsofMana.exe => Нет файла
  FirewallRules: [{79AFEC40-CFBF-4117-9E5F-2CB2E78ECA2A}] => (Block) E:\GAMES\ANTONBLAST\ANTONBLAST.exe => Нет файла
  FirewallRules: [{A141FF67-21A9-409B-86A1-10E9E6E5E504}] => (Block) E:\GAMES\ANTONBLAST\ANTONBLAST.exe => Нет файла
  FirewallRules: [{DD8955EB-75F1-4137-B40B-F63277A21643}] => (Block) F:\GAMES\Soul Reaver I-II\SRX.exe => Нет файла
  FirewallRules: [{C085B368-0778-4FFB-9BF4-DF42F4763FF3}] => (Block) F:\GAMES\Soul Reaver I-II\SRX.exe => Нет файла
  FirewallRules: [{0E8AA6E0-7AB4-4471-8F79-64FFE7DEBD85}] => (Allow) LPort=5432
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[USER99999]

Fixlog.txtЗабыл выключить антивирус виндоус и не запустил от имени администратора FRST 

[Sandor]

Скрипт выполнился успешно, т.к. пользователь User обладает правами администратора.

 

Напоминаю:

26 минут назад, Sandor сказал:

Пересмотрите исключения Защитника и удалите там лишние.

 

И в завершение, пожалуйста:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[USER99999]

SecurityCheck.txt

[Sandor]

Исправьте по возможности:

 

KeePass Password Safe 2.54 v.2.54 Внимание! Скачать обновления
HWiNFO® 64 v.8.22 Внимание! Скачать обновления
LibreOffice 7.0.2.2 v.7.0.2.2 Внимание! Скачать обновления
Microsoft Visual Studio Code (User) v.1.100.2 Внимание! Скачать обновления
TechPowerUp GPU-Z v.2.64.0 Внимание! Скачать обновления
Google Update Helper v.1.3.101.0 Данная программа больше не поддерживается разработчиком.
Recuva v.1.53 Внимание! Скачать обновления
WinRAR 5.80 (64-разрядная) v.5.80.0 Внимание! Скачать обновления
Discord v.1.0.9059 Внимание! Скачать обновления
Skype, версия 8.138 v.8.138 Данная программа больше не поддерживается разработчиком. Рекомендуется использовать Microsoft Teams.
µTorrent v.3.6.0.47162 Внимание! Клиент сети P2P с рекламным модулем!
qBittorrent v.5.0.1 Внимание! Скачать обновления
AIMP v.5.30.2563 Внимание! Скачать обновления
^Внимание! Данный установщик устанавливает сторонние программы. Снимайте галочки или нажимайте Отмена в соответствующих окнах установщика.^
Audacity 3.5.0 v.3.5.0 Внимание! Скачать обновления
Spotify v.1.1.84.716.gc5f8b819 Внимание! Скачать обновления
OBS Studio v.31.0.3 Внимание! Скачать обновления
Mozilla Firefox (x64 ru) v.142.0.1 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Firefox!^
 

Читайте Рекомендации после удаления вредоносного ПО

[USER99999]

Как будет время займусь, еще раз спасибо за лечение

[Sandor]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".