Перейти к содержанию

Меняются DNS, возможно майнер


Рекомендуемые сообщения

Добрый день!

На виртуальной машине стали самопроизвольно меняться адреса DNS, большая нагрузка на процессор.

Kaspersky Security 11 для Windows Server находит вредоносные объекты, которые после удаления появляются опять. (во вложении)

Kaspersky Removal Tool ничего не нашёл.

Файл протоколов во вложении.

AK1205.txt CollectionLog-2021.05.12-09.59.zip

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте, временно выгрузите антивирус и прочее защитное ПО. 

 

Выполните скрипт в AVZ (используйте версию из папки Автологгера)

 

begin
 DeleteSchedulerTask('3hCWZXeqLD\sZe17zmr');
 DeleteSchedulerTask('87nVjGWEow');
 DeleteSchedulerTask('Microsoft\Windows\49L8bqskKCN\WRrc4EveXAj');
 DeleteSchedulerTask('Microsoft\Windows\ri2lex8N0HG\byG2cAmi3ZY');
 DeleteSchedulerTask('nsoeR3a64l');
 DeleteSchedulerTask('pf72N9KYm\aAw2XPp');
 DeleteSchedulerTask('TMVS6ynOY');
 DeleteSchedulerTask('YfjWq5C8psi');
 DeleteSchedulerTask('{31DDBD37-5DB7-4030-8064-10B0CAA806C3}');
ExecuteSysClean;
end.

 

Перезагрузите сервер. 

 

Сделайте новые логи Автологгером. 

Ссылка на комментарий
Поделиться на другие сайты

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  3. Нажмите кнопку Scan.
  4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png

Ссылка на комментарий
Поделиться на другие сайты

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    SystemRestore: ON
    CreateRestorePoint:
    Task: {1AB8D173-FB5A-486F-B0A6-684B2D9E371F} - System32\Tasks\t.qq8.ag => t.qq8.ag
    Task: {4659E8D5-5C37-4595-8813-47AED038CCC5} - System32\Tasks\Avira_Security_Installation => C:\Users\administrator.MSK\AppData\Local\Temp\1\.CR.5203\avira_ru_sptl1_179449426-1620718187__dwndws.exe <==== ATTENTION
    Task: {9C6FA32D-F5D1-4CBB-93C7-4954880FAF98} - System32\Tasks\t.ntele.net => t.ntele.net
    Task: {A2C5C9DB-AE31-4129-A2C2-5E9236A252DE} - System32\Tasks\blackball => blackball
    WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"c9P8uyiqk\"",Filter="__EventFilter.Name=\"f9P8uyiqk\"::
    WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"cTeF9byY3Wf\"",Filter="__EventFilter.Name=\"fTeF9byY3Wf\"::
    WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"cwCMQ8zAnGP\"",Filter="__EventFilter.Name=\"fwCMQ8zAnGP\"::
    WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"chlAOy2WZMk\"",Filter="__EventFilter.Name=\"fhlAOy2WZMk\"::
    WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"cNIAO1hKC4\"",Filter="__EventFilter.Name=\"fNIAO1hKC4\"::
    WMI:subscription\__EventFilter->blackball::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->fNIAO1hKC4::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->t.ntele.net::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->f9P8uyiqk::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->fTeF9byY3Wf::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->fhlAOy2WZMk::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->fwCMQ8zAnGP::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->t.qq8.ag::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

 

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Kagore345
      Автор Kagore345
      Постоянно подкачивается файл по адресу C:\ProgramData\Google\Chrome\updater.exe. Хотя у меня даже гугла нет, после удаления этой папки также подкачка осталась. Также скорее всего изменены реестры + видеокарта начала сильнее греться. Помогите пожалуйста.

      Сканил и Dr.Web, Malwarebytes и KVRT. Какие-то вирусы они удалили, но проблема с реестрами так и осталось, возможно, также не все вирусы удалили.
    • GlibZabiv
      Автор GlibZabiv
      Здравствуйте, ЦП AMD Ryzen 5 3600 в простое греется до 65-75 градусов, ГП AMD Radeon RX 570 Series до 48-50 градусов. Насколько я знаю, в простое такая температура ненормальна. По диспетчеру задач нагрузка небольшая. Kaspersky Internet Security, Dr.Web CurIt! майнера не видят. Прошу вас сказать, заражен ли мой компьютер (данные брал из программы AIDA 64).
      CollectionLog-2025.05.31-12.01.zip
    • Slicked4
      Автор Slicked4
      в последнее время я заметил то что компьютер начал тормозить и проверило его доктор веб курейтом и там нашелся майнер tool.btc.mine2800 по инструкции проверил автологером вот логи
      CollectionLog-2025.05.13-21.57.zip
      после каждой перезагрузки хосты восстонавливаются и компьютер начинает грузится опять
       
    • Acteon_927
      Автор Acteon_927
      На форме подтвердения KP не меняется регистр, что приводит к заблуждению о реально выбранном языковом регистре.

    • Solnepek7
      Автор Solnepek7
      Помогите пожалуйста, никак не могу найти майнер на ноутбуке. Почему думаю что майнер, потому что при включении диспетчера задач или process exp, ноут сразу затихает и вентиляторы не крутятся, как только диспетчер закрою, сразу большая активность. Сижу битый час общаюсь с DeepSeek, он там что то рекомендует, но не видит(я скрины ему кидал). Скачал SystemInformer (process hacker тот же), тут уже интереснее, при закрытии диспетчера cmd.exe грузит CPU до 33% и жрет 2.4гб памяти, но в дереве процессов не могу найти этот искомый файл что так грузит и запускается через команду. При открытии диспетчера process hacker сразу показывает что cpu в норме, 99% простаивает и файл закрывается. То есть при открытии диспетчера майнер закрывается, с помощью  process hacker не получается найти, банально не понимаю куда тыкать, да же с помощью нейрухи, deepseek иногда говорит несуществующие вкладки. Пришёл к реальным людям)
      Логи прикрепил, в безопасном режиме включал, всё тихо, шума нет, 99% простой системы. 3 раза сделал полную проверку касперским, не видит
      CollectionLog-2025.06.11-19.09.zip

×
×
  • Создать...