lsass.exe

[ska79]

Вчера и сегодня lsass.exe пытался выйти в сеть. Посмотрите, нет ли чего вредоносного на пк

 

в логах смущает запись mctadmin надеюсь это не страшно )

CollectionLog-2018.10.07-19.05.zip

Изменено 7 октября, 2018 пользователем ska79

[mike 1]

Скачайте Farbar Recovery Scan Tool  и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[ska79]

FRST

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION

HKU\S-1-5-21-1638308856-1659712468-2349138935-1000\...\MountPoints2: {2a0c9cd0-0183-11e6-9490-806e6f6e6963} - E:\DVDSetup.exe

HKU\S-1-5-21-1638308856-1659712468-2349138935-1000\...\MountPoints2: {b21ad8f6-a791-11e8-bd28-fcaa1415362c} - F:\AutoRun.exe

GroupPolicy: Restriction ? <==== ATTENTION

Toolbar: HKU\S-1-5-21-1638308856-1659712468-2349138935-1000 -> No Name - {3507FA00-ADA2-4A02-99B9-51AD26CA9120} -  No File

Toolbar: HKU\S-1-5-21-1638308856-1659712468-2349138935-1000 -> No Name - {093F479D-712E-46CD-9E06-62E734A05F68} -  No File

Toolbar: HKU\S-1-5-21-1638308856-1659712468-2349138935-1000 -> No Name - {4853DF44-7D6B-48E9-9258-D800EEE54AF6} -  No File

2018-07-21 19:19 - 2018-07-21 19:19 - 000000000 ____D C:\Users\Все пользователи\s528

2018-07-21 19:19 - 2018-07-21 19:19 - 000000000 ____D C:\ProgramData\s528

2018-07-21 19:15 - 2018-07-21 19:15 - 000000000 ____D C:\Users\Все пользователи\s36g

2018-07-21 19:15 - 2018-07-21 19:15 - 000000000 ____D C:\Users\Все пользователи\s258

2018-07-21 19:15 - 2018-07-21 19:15 - 000000000 ____D C:\ProgramData\s36g

2018-07-21 19:15 - 2018-07-21 19:15 - 000000000 ____D C:\ProgramData\s258

2018-07-21 19:12 - 2018-07-21 19:12 - 000000000 ____D C:\Users\Все пользователи\sms

2018-07-21 19:12 - 2018-07-21 19:12 - 000000000 ____D C:\Users\Все пользователи\s4io

2018-07-21 19:12 - 2018-07-21 19:12 - 000000000 ____D C:\Users\Все пользователи\s3s4

2018-07-21 19:12 - 2018-07-21 19:12 - 000000000 ____D C:\ProgramData\sms

2018-07-21 19:12 - 2018-07-21 19:12 - 000000000 ____D C:\ProgramData\s4io

2018-07-21 19:12 - 2018-07-21 19:12 - 000000000 ____D C:\ProgramData\s3s4

2018-07-20 15:03 - 2018-07-20 15:03 - 000000000 ____D C:\Users\Все пользователи\s67o

2018-07-20 15:03 - 2018-07-20 15:03 - 000000000 ____D C:\ProgramData\s67o

2018-07-20 14:59 - 2018-07-20 14:59 - 000000000 ____D C:\Users\Все пользователи\s8c4

2018-07-20 14:59 - 2018-07-20 14:59 - 000000000 ____D C:\Users\Все пользователи\s65g

2018-07-20 14:59 - 2018-07-20 14:59 - 000000000 ____D C:\ProgramData\s8c4

2018-07-20 14:59 - 2018-07-20 14:59 - 000000000 ____D C:\ProgramData\s65g

2018-07-20 14:58 - 2018-07-20 14:58 - 000000000 ____D C:\Users\Все пользователи\s864

2018-07-20 14:58 - 2018-07-20 14:58 - 000000000 ____D C:\Users\Все пользователи\s7co

2018-07-20 14:58 - 2018-07-20 14:58 - 000000000 ____D C:\Users\Все пользователи\s594

2018-07-20 14:58 - 2018-07-20 14:58 - 000000000 ____D C:\ProgramData\s864

2018-07-20 14:58 - 2018-07-20 14:58 - 000000000 ____D C:\ProgramData\s7co

2018-07-20 14:58 - 2018-07-20 14:58 - 000000000 ____D C:\ProgramData\s594

2018-07-20 12:20 - 2018-07-20 12:20 - 000000000 ____D C:\Users\Все пользователи\s8as

2018-07-20 12:20 - 2018-07-20 12:20 - 000000000 ____D C:\ProgramData\s8as

2018-07-20 12:17 - 2018-07-20 12:17 - 000000000 ____D C:\Users\Все пользователи\s4ro

2018-07-20 12:17 - 2018-07-20 12:17 - 000000000 ____D C:\Users\Все пользователи\s4ko

2018-07-20 12:17 - 2018-07-20 12:17 - 000000000 ____D C:\ProgramData\s4ro

2018-07-20 12:17 - 2018-07-20 12:17 - 000000000 ____D C:\ProgramData\s4ko

2018-07-20 12:14 - 2018-07-20 12:14 - 000000000 ____D C:\Users\Все пользователи\s5ts

2018-07-20 12:14 - 2018-07-20 12:14 - 000000000 ____D C:\Users\Все пользователи\s5dg

2018-07-20 12:14 - 2018-07-20 12:14 - 000000000 ____D C:\Users\Все пользователи\s53g

2018-07-20 12:14 - 2018-07-20 12:14 - 000000000 ____D C:\ProgramData\s5ts

2018-07-20 12:14 - 2018-07-20 12:14 - 000000000 ____D C:\ProgramData\s5dg

2018-07-20 12:14 - 2018-07-20 12:14 - 000000000 ____D C:\ProgramData\s53g

Task: {18D71BF1-60BA-4D3D-8AE9-A8FFC8A390CD} - \Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser -> No File <==== ATTENTION

Task: {1D95AE5A-9D3E-450C-BE94-D19C5421D363} - \Microsoft\Windows\Application Experience\AitAgent -> No File <==== ATTENTION

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
  

 

 

[ska79]

Групп политики сам автозапуск отключал в них.

Задания телеметрии также я отключал. Может сократим скрипт?

[mike 1]

 

 

Групп политики сам автозапуск отключал в них.

Там групповая политика на Хроме и Windows Defender стоит. Если хотите оставить, то уберите строки:

HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
GroupPolicy: Restriction ? <==== ATTENTION

Если хотите оставить отключенные задания телеметрии, то уберите эти 2 строки:

Task: {18D71BF1-60BA-4D3D-8AE9-A8FFC8A390CD} - \Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser -> No File <==== ATTENTION
Task: {1D95AE5A-9D3E-450C-BE94-D19C5421D363} - \Microsoft\Windows\Application Experience\AitAgent -> No File <==== ATTENTION

Остальное можно оставить. 

[ska79]

 

 

Там групповая политика на Хроме

Хрома нет. Vivaldi пользуюсь

-

Fixlog.txt

[mike 1]

Больше плохого не видно