Не могу найти и удалить вирус который грузит процессор на 100%

[Mirovoy]

Не могу найти и удалить вирус который грузит процессор на 100% в простое. Работает он довольно интересно - обычно у меня в простое температура процессора 35-40 градусов. Но я заметил, что температура стала подниматься до 75-80, при этом кулер стал работать на всю катушку, в общем гудит как следует.первое что на ум пришло - открыть диспетчер задач, найти этот процесс, отключить его, проверить ПК на вирусы. И вот самое интересное - при включение диспетчера задач этот процесс мгновенно закрывается и в общем отобразиться он не успевает, температура и загрузка процессора сразу приходит в норму, на все сторонние аналоги Диспетчера задач реагирует так же. У меня стоит бесплатная версия Каспера, сделал через него полную проверку - ничего не нашло, не помогло. Dr.Web CureIt! - тоже ничего не выявил, CCleaner - почистил все что можно было и все равно не проходит. В общем, что бы кулер не гудел и зря процессор не грузился, я держу диспетчер задач всегда свернутым. Скорее всего вирус каким-то образом я установил сам, при поиске одного платного софта бесплатно Каюсь.Файл Лог прикреплен. (во работы Автологгера, немного юзнул бразуер, надеюсь ничего страшного и на результаты не повлияет.) 

В общем прошу вашей помощи( Так же прикреплю скрин моего карантина, быть может по нему можно понять какой вирус установился у меня в системе. 

Думаю, что стоит добавить, что ПК после заражения выключаться стал не сразу, а через минуты 3 после нажатия на кнопку в пуске - Выкл. 

CollectionLog-2019.03.17-16.50.zip

Изменено 17 марта, 2019 пользователем Mirovoy

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);

RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);

 TerminateProcessByName('c:\users\user\appdata\roaming\microsoft\windows\helper.exe');

 QuarantineFile('c:\users\user\appdata\roaming\microsoft\windows\helper.exe','');

 DeleteFile('c:\users\user\appdata\roaming\microsoft\windows\helper.exe','32');

 DeleteSchedulerTask('System\SystemCheck');

ExecuteSysClean;

RebootWindows(true);

end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

end.

 

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Карантин".

2. В письме напишите ссылку на Вашу тему.

3. Прикрепите файл карантина и нажмите "Отправить"

4. Процитируйте ответ робота

 

Сделайте новые логи Автологгером. 

 

[Mirovoy]

Новый лог прикрепил. 

Вот ответ робота:

 

 

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы и ссылки были проверены в автоматическом режиме

В антивирусных базах информация по присланным вами файлам отсутствует:
helper.exe

В антивирусных базах информация по присланным вами ссылкам отсутствует:
https://forum.kasperskyclub.ru/index.php?showtopic=62278

Файлы и ссылки переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

"Ленинградское шоссе 39A/3, Москва, 125212, Russia
Телефон/Факс: + 7 (495) 797 8700 
http://www.kaspersky.com https://www.securelist.com"

--------------------------------------------------------------------------------
From: ******
Sent: 3/17/2019 6:53:00 PM
To: newvirus@kaspersky.com
Subject: Карантин

https://forum.kasperskyclub.ru/index.php?showtopic=62278

Еще один Лог, ибо тогда не помню, был ли запуск от имени администратора или нет) 

Кажется проблема ушла, возможно Автологгер все-таки нашел зараженный файл и закинул его в карантин. 

CollectionLog-2019.03.17-18.43.zip

CollectionLog-2019.03.17-19.09.zip

Изменено 17 марта, 2019 пользователем Mirovoy

[mike 1]

Скачайте Farbar Recovery Scan Tool  и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Mirovoy]

Выполнил. 

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

Folder: C:\Windows\System32\Tasks\System

2019-02-27 20:44 - 2019-02-27 20:44 - 000000000 ____H C:\Users\Все пользователи\DP45977C.lfl

2019-02-27 20:44 - 2019-02-27 20:44 - 000000000 ____H C:\ProgramData\DP45977C.lfl

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
  

 

 

[Mirovoy]

Сделал

Fixlog.txt

Изменено 17 марта, 2019 пользователем Mirovoy

[mike 1]

 

C:\Windows\System32\Tasks\System

Папку удалите вручную.

 

Что с проблемой?

[Mirovoy]

После манипуляций с AVZ проблема снова не возникала, так что даже не знаю, стоит ли удалять системную папку Винды уже или нет?)

Только что посмотрел, эта папка пустая) 0 байт в ней) Я думаю, что AVZ файлы от туда в карантин закинул)

[mike 1]

 

 

стоит ли удалять системную папку Винды уже или нет?)

Вы на путь к папке посмотрите внимательно. Эта папка пустая. Второй ответ от вирусной лаборатории не приходил касательно файла helper.exe?

[Mirovoy]

К сожалению не приходил второй ответ. Я удалил эту пустую папку, не думаю что что-то изменится. 

Эта проблема с загрузкой ЦП больше не возникало, думаю какие-то действия все-таки помогли)

[mike 1]

• Для профилактики и защиты от повторных заражений загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите отчет в вашей теме