Перейти к содержанию
Правила раздела

Vmware tools core service грузит ЦП

Fatinik

Автор Fatinik
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Fatinik

Fatinik

Опубликовано
Опубликовано

Добрый день. Обнаружил, что после включения компьютера в диспетчере задач появляется процесс Vmware tools core service, который грузит ЦП на 99%. Расположен в папке  C:\ProgramData\VMware\VMware Tools\vm3dservice.exe  . Несмотря на удаление папки после перезагрузки компьютера появляется снова. Проверку компьютера Kaspersky Virus Removal Tool 2015 и Dr.Web CureIt!  провел. 

 

CollectionLog-2020.08.15-21.14.zip

mike 1

mike 1

Опубликовано
Опубликовано (изменено)

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Удалите MBAM в безопасном режиме с помощью утилиты  https://www.comss.ru/page.php?id=2152

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт): 

begin
	RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
	RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
	RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
	RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
	RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
	RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
	SetServiceStart('MBAMSvc', 4);
	 DeleteService('FairplayKD');
	 DeleteService('MBAMSvc');
	 TerminateProcessByName('c:\programdata\vmware\vmware tools\vm3dservice.exe');
	 QuarantineFile('c:\programdata\vmware\vmware tools\vm3dservice.exe','');
	 TerminateProcessByName('c:\program files (x86)\malwarebytes\mbam.exe');
	 DeleteFile('c:\program files (x86)\malwarebytes\mbam.exe','32');
	 DeleteFile('c:\programdata\vmware\vmware tools\vm3dservice.exe','32');
	 DeleteFile('C:\ProgramData\NextRP\Common\temp\FairplayKD.sys','64');
	ExecuteSysClean;
	RebootWindows(true);
	end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ: 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.
1. В заголовке письма напишите "Карантин".
2. В письме напишите ссылку на Вашу тему.
3. Прикрепите файл карантина и нажмите "Отправить"

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).


  

O21 - HKLM\..\ShellIconOverlayIdentifiers\00asw: (no name) - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)

 

Сделайте новые логи Автологгером. 
 

Изменено пользователем mike 1
mike 1

mike 1

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  2. Убедитесь, что под окном Optional Scan отмечены "List BCD" и "90 Days Files".
  3. Нажмите кнопку Scan.
  4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
  • Like (+1) 1
mike 1

mike 1

Опубликовано
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в кодировке Юникод в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    CreateRestorePoint:
CloseProcesses:

virustotal: C:\Users\Миша\AppData\Local\Gaijin\Program Files (x86)\NetAgent\gjagent.exe

2020-08-14 16:14 - 2020-08-15 21:06 - 000000476 __RSH C:\Users\Все пользователи\ntuser.pol
2020-08-14 16:14 - 2020-08-15 21:06 - 000000476 __RSH C:\ProgramData\ntuser.pol

2020-08-12 22:43 - 2020-08-15 22:25 - 000000000 ____D C:\Program Files (x86)\Malwarebytes
2020-07-20 16:03 - 2020-07-20 16:03 - 000921160 _____ (Python Software Foundation) C:\Windows\pyw.exe
2020-07-20 16:03 - 2020-07-20 16:03 - 000920648 _____ (Python Software Foundation) C:\Windows\py.exe
2020-06-08 09:24 - 2020-07-09 15:19 - 000000000 ____D C:\Users\Все пользователи\Avast Software
2020-06-08 09:24 - 2020-07-09 15:19 - 000000000 ____D C:\ProgramData\Avast Software

AlternateDataStreams: C:\ProgramData:NT [40]
AlternateDataStreams: C:\ProgramData:NT2 [648]
AlternateDataStreams: C:\Users\All Users:NT [40]
AlternateDataStreams: C:\Users\All Users:NT2 [648]
AlternateDataStreams: C:\Users\Все пользователи:NT [40]
AlternateDataStreams: C:\Users\Все пользователи:NT2 [648]
AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
AlternateDataStreams: C:\ProgramData\Application Data:NT2 [648]
AlternateDataStreams: C:\Users\Все пользователи\Application Data:NT [40]
AlternateDataStreams: C:\Users\Все пользователи\Application Data:NT2 [648]
AlternateDataStreams: C:\Users\Миша\Application Data:NT [40]
AlternateDataStreams: C:\Users\Миша\Application Data:NT2 [648]
AlternateDataStreams: C:\Users\Миша\AppData\Roaming:NT [40]
AlternateDataStreams: C:\Users\Миша\AppData\Roaming:NT2 [648]

FirewallRules: [{B3B35A65-2708-406F-A78C-3AA307BCE9A8}] => (Allow) C:\Program Files (x86)\Malwarebytes\mbam.exe => No File
FirewallRules: [{2B39F01D-6512-4CE2-B9F3-FC0317A3DFCC}] => (Allow) C:\Program Files (x86)\Malwarebytes\mbam.exe => No File
  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Обратите внимание, что компьютер будет перезагружен.
  5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем
×
×
  • Создать...