Перейти к содержанию

Меняются DNS, возможно майнер


Рекомендуемые сообщения

Добрый день!

На виртуальной машине стали самопроизвольно меняться адреса DNS, большая нагрузка на процессор.

Kaspersky Security 11 для Windows Server находит вредоносные объекты, которые после удаления появляются опять. (во вложении)

Kaspersky Removal Tool ничего не нашёл.

Файл протоколов во вложении.

AK1205.txt CollectionLog-2021.05.12-09.59.zip

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте, временно выгрузите антивирус и прочее защитное ПО. 

 

Выполните скрипт в AVZ (используйте версию из папки Автологгера)

 

begin
 DeleteSchedulerTask('3hCWZXeqLD\sZe17zmr');
 DeleteSchedulerTask('87nVjGWEow');
 DeleteSchedulerTask('Microsoft\Windows\49L8bqskKCN\WRrc4EveXAj');
 DeleteSchedulerTask('Microsoft\Windows\ri2lex8N0HG\byG2cAmi3ZY');
 DeleteSchedulerTask('nsoeR3a64l');
 DeleteSchedulerTask('pf72N9KYm\aAw2XPp');
 DeleteSchedulerTask('TMVS6ynOY');
 DeleteSchedulerTask('YfjWq5C8psi');
 DeleteSchedulerTask('{31DDBD37-5DB7-4030-8064-10B0CAA806C3}');
ExecuteSysClean;
end.

 

Перезагрузите сервер. 

 

Сделайте новые логи Автологгером. 

Ссылка на комментарий
Поделиться на другие сайты

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  3. Нажмите кнопку Scan.
  4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png

Ссылка на комментарий
Поделиться на другие сайты

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    SystemRestore: ON
    CreateRestorePoint:
    Task: {1AB8D173-FB5A-486F-B0A6-684B2D9E371F} - System32\Tasks\t.qq8.ag => t.qq8.ag
    Task: {4659E8D5-5C37-4595-8813-47AED038CCC5} - System32\Tasks\Avira_Security_Installation => C:\Users\administrator.MSK\AppData\Local\Temp\1\.CR.5203\avira_ru_sptl1_179449426-1620718187__dwndws.exe <==== ATTENTION
    Task: {9C6FA32D-F5D1-4CBB-93C7-4954880FAF98} - System32\Tasks\t.ntele.net => t.ntele.net
    Task: {A2C5C9DB-AE31-4129-A2C2-5E9236A252DE} - System32\Tasks\blackball => blackball
    WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"c9P8uyiqk\"",Filter="__EventFilter.Name=\"f9P8uyiqk\"::
    WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"cTeF9byY3Wf\"",Filter="__EventFilter.Name=\"fTeF9byY3Wf\"::
    WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"cwCMQ8zAnGP\"",Filter="__EventFilter.Name=\"fwCMQ8zAnGP\"::
    WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"chlAOy2WZMk\"",Filter="__EventFilter.Name=\"fhlAOy2WZMk\"::
    WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"cNIAO1hKC4\"",Filter="__EventFilter.Name=\"fNIAO1hKC4\"::
    WMI:subscription\__EventFilter->blackball::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->fNIAO1hKC4::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->t.ntele.net::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->f9P8uyiqk::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->fTeF9byY3Wf::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->fhlAOy2WZMk::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->fwCMQ8zAnGP::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']
    WMI:subscription\__EventFilter->t.qq8.ag::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System']

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

 

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Kagore345
      Автор Kagore345
      Постоянно подкачивается файл по адресу C:\ProgramData\Google\Chrome\updater.exe. Хотя у меня даже гугла нет, после удаления этой папки также подкачка осталась. Также скорее всего изменены реестры + видеокарта начала сильнее греться. Помогите пожалуйста.

      Сканил и Dr.Web, Malwarebytes и KVRT. Какие-то вирусы они удалили, но проблема с реестрами так и осталось, возможно, также не все вирусы удалили.
    • FMEKLW
      Автор FMEKLW
      Как-то просто решил зайти в диспетчер задач и посмотреть процессы, и увидел 3 процесса Setup, которые ведут к папке 2xzjMMUGjeobOYtjoc0gOuMKKHC в Temp. Сам просто решил пока ничего не делать, а поискать информации об этой теме. И вот я здесь нашёл обсуждения с помощью по данной теме. Честно не знаю, что мог скачать, из-за чего это появилось: либо игры, либо русификаторы, либо что-то другое. Все скачивал по прямой ссылке, с облаков, с MediaGet и uTorrent. Никаких проблем я особо не увидел, как у других. Т.е. люди писали про проблемы с расширениями в Chrome, коих у себя я не обнаружил, ведь я пользуюсь из браузеров только Яндексом, в котором ничего странного тоже нету.CollectionLog-2025.07.11-23.07.zip
    • Vovkaproshka
      Автор Vovkaproshka
      После установки лоадера впнов появился процесс setup нагружает только оперативку.
      Doctor  web antivirus удаляет три трояна, после сетап пропадает из процессов, после перезагрузки процесс снова появляется, думаю прикрепился к какому-то приложению, через безопасный режим также после удаления и перезагрузки загружается,  находится по пути AppData\Local\Temp\2xzjMMUGjeobOYtjoc0gOuMKKHC
    • Milink
      Автор Milink
      скачал игру с торрента, после чего в браузере Chrome после каждого перезапуска пк начало устанавливаться левое расширение якобы Adblock. Так же в temp появляется папка 2xzjMMUGjeobOYtjoc0gOuMKKHC. Пробовал чистить антивирусами - не помогло.
      Нашел решение, avz скачал, Autologger я так понимаю тоже надо качать: 
      Актуально ли оно?
       
    • searing
      Автор searing
      скачал игру с торрента, после чего в браузере Chrome после каждого перезапуска пк начало устанавливаться левое расширение якобы Adblock, с обфусцированным js кодом. Так же в temp появляется папка 2xzjMMUGjeobOYtjoc0gOuMKKHC. Пробовал чистить антивирусами doctor web cureit и malwarebytes - не помогло. CollectionLog-2025.07.04-05.50.zip
×
×
  • Создать...