Перейти к содержанию

Есть подозрение на майнер. Загрузка памяти 60% + 2 моментальные командные строки при включении ПК


Рекомендуемые сообщения

Добрый вечер!

Столкнулся с проблемой: слишком сильно загружается память в компьютере. После включение в моменте появляются 2 командные строки и тут же исчезают. Вдобавок ко всему, очень много процессов с scchost.exe. По моему мнению (далеко не экспертному) словил майнер(иногда куллеры слишком громко работают, в рандомное время) или троян.

Помогите, пожалуйста, проверить. Сам пользуюсь преимущественно Mac OS, поэтому далек немного от архитектуры винды и как-то даже не знаю, что делать в таких случаях.

 

Заранее спасибо!

CollectionLog-2021.12.21-00.54.zip

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте,

HiJackThis (из каталога autologger)профиксить
Важно: необходимо отметить и профиксить только то, что указано ниже.

O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{03896D04-23AB-4F74-A27D-B1B71EE41E2C} - \Microsoft\Windows\EnterpriseMgmt\MDMMaintenenceTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{03896D04-23AB-4F74-A27D-B1B71EE41E2C} (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{15ABD666-CFBA-4CAD-A5FE-775E58DBC937} - \WpsExternal_20161109044301 (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{1B6D1F4C-6227-453D-85AB-5EE6D2993E1F} - \NvDriverUpdateCheckDaily_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8} (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{1F15DB3B-F60E-406C-BAA0-2625F8B5333E} - \Microsoft\Windows\UpdateOrchestrator\Policy Install (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{28057C3E-DD4B-4751-84EE-D388CEC346D8} - \ASUS Battery Health Charging Notification (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{2A3387FC-3A12-4575-B4C3-5A3ED75A38BC} - \ASUSTek Computer Inc\ASUS GIFTBOX (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{2E7DD526-4E91-4895-A993-9DE963B617C2} - \ASUS Splendid ACMON (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{2F2FA34D-8E83-4DD0-87C8-A8384FFC238F} - \Microsoft\Windows\UpdateOrchestrator\USO_UxBroker_ReadyToReboot (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{44EC52A6-AC90-4956-926D-6126510C9C17} - \NvTmMon_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8} (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{44F8C256-C5B7-41F7-96CB-F1086E9FCF1C} - \ATK Package A22126881260 (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{4520E8A9-AF06-4122-859B-E4B655B29B36} - \Microsoft\Windows\AppID\SmartScreenSpecific (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{4547DA54-C217-4464-A991-11F8F17943A9} - \ASUS USB Charger Plus (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{53EED6E1-DE40-43E7-A187-692356E63261} - \NvTmRep_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8} (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{5D938D69-954F-471D-B537-835931416B84} - \Microsoft\Windows\ErrorDetails\EnableErrorDetailsUpdate (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{61F2BA5D-9484-4A61-A873-0020E37C8846} - \Microsoft\Windows\UpdateOrchestrator\USO_UxBroker_Display (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{635A185A-88AD-4B41-9344-B07C284A75E9} - \Microsoft\Windows\WindowsUpdate\sih (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{6E7BF475-DB5E-4B67-A84B-8E330709D439} - \Microsoft\XblGameSave\XblGameSaveTaskLogon (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{78F64FF0-01D7-4794-AC94-453EC312258E} - \NvTmRepOnLogon_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8} (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7C5DC051-68ED-4DCE-B9BF-4497791B9590} - \NvProfileUpdaterOnLogon_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8} (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{8C69C317-B723-4E68-A332-7CA2F2AD4377} - \Intel PTT EK Recertification (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{8D84A120-6D8D-4605-B8C6-556770230F69} - \ASUS\ASUS Product Register Service (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{9FA22C1A-972F-4AEE-8CF1-2423ACC189B9} - \Microsoft\Windows\UpdateOrchestrator\Maintenance Install (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{A6DF1CFA-2909-4F53-BDEB-DE70AF2211C3} - \ATK Package 36D18D69AFC3 (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{BA0CB74D-DEC9-4BE1-901E-BED7836E5622} - \NvProfileUpdaterDaily_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8} (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{C7D4E10F-A557-4D12-BDA4-B38A96AD1426} - \Microsoft\Windows\ErrorDetails\ErrorDetailsUpdate (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{C9ACBFD2-20AA-4A3F-BE1A-A3D5279BB1BB} - \Microsoft\Windows\Plug and Play\Plug and Play Cleanup (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{D394BE25-2E16-45D4-AAB2-3E8861A09351} - \Microsoft\Windows\Shell\FamilySafetyMonitorToastTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{D42F331E-6BFC-4F99-A75D-D90D9937A998} - \NvNodeLauncher_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8} (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{F200B6AE-7AD3-4DF7-B3EB-F1356CA5D011} - \Microsoft\Windows\UpdateOrchestrator\Reboot (no xml)

 

 

  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению.

 

Ссылка на сообщение
Поделиться на другие сайты

Уважаемый SQ!

Спасибо большое, что так быстро откликнулся. Все сделал по твоей инструкции. Прикладываю отчет к письму:

 

Спасибо!

 

AdwCleaner[S00].txt

Ссылка на сообщение
Поделиться на другие сайты

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  2. Убедитесь, что под окном Optional Scan отмечены "List BCD" , "SigCheckExt" и "90 Days Files".

FRST.png

  1. Нажмите кнопку Scan.
  2. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  3. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Ссылка на сообщение
Поделиться на другие сайты

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    SystemRestore: On
    CreateRestorePoint:
    HKU\S-1-5-21-1156406588-1324841200-3999135450-1001\...\MountPoints2: {99250c7d-42fd-11ec-99db-88d7f6a160b1} - "E:\SISetup.exe" 
    HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
    Task: {F200B6AE-7AD3-4DF7-B3EB-F1356CA5D011} - \Microsoft\Windows\UpdateOrchestrator\Reboot -> No File <==== ATTENTION
    FirewallRules: [{CE8A72EC-EB3E-4C03-A30D-5EA23118B019}] => (Allow) C:\Program Files\CyberLink\PowerDirector12\PDR10.EXE => No File
    FirewallRules: [{8D3424FF-C7AC-404F-8F3C-ABA533B72369}] => (Allow) C:\Program Files\Common Files\McAfee\Platform\McSvcHost\McSvHost.exe => No File
    EmptyTemp:
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты
11 часов назад, CrazyRabbit09 сказал:

После включение в моменте появляются 2 командные строки и тут же исчезают

Это по-прежнему наблюдаете?

Ссылка на сообщение
Поделиться на другие сайты

По сути, мы почистили мусор.

 

11 часов назад, CrazyRabbit09 сказал:

иногда куллеры слишком громко работают, в рандомное время

Я бы сказал - нормальное поведение.

 

Проделайте завершающие шаги:

 

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Ссылка на сообщение
Поделиться на другие сайты
13 минут назад, Sandor сказал:

По сути, мы почистили мусор.

Это так сложно, оказывается ...?

 

То есть по сути, вируса нет и не было?

 

Вот, получившийся лог: 

 

SecurityCheck.txt

Ссылка на сообщение
Поделиться на другие сайты
18 минут назад, CrazyRabbit09 сказал:

То есть по сути, вируса нет и не было?

Верно.

 

--------------------------- [ OtherUtilities ] ----------------------------
NVIDIA GeForce Experience 3.4.0.70 v.3.4.0.70 Warning! Download Update
TeamViewer 11 v.11.0.59518 Warning! Download Update
ASUS Live Update v.3.6.8 Warning! Your Windows may have been compromised. Please download diagnostic tool.
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9002 Warning! Download Update
 

Читайте Рекомендации после удаления вредоносного ПО

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Baki
      От Baki
      Угонщик браузера d.abcweathercast.xyz и m.nearbyme.io не дает покоя что делать?? Пытался удалить даже ваш антивирус не помогает. Пишет что в безопасности но как открываешь браузер сразу выскакивает поисковая система m.nearbyme.io с результатами. Помогите пжст!
    • NoEndOutcry
      От NoEndOutcry
      Добрый день. История началась тут 
       Проблему с основным ПК мне помогли решить, и эта история навела меня на мысль что нужно проверить и ноутбук, который стал подозрительно быстро садиться, стал иногда работать в закрытом состоянии и иногда подтупливать, не смотря на конфигурацию. 
      Проверки касперским и дрвебом - нашли пару-тройку опасных файлов и удалили их. После удаления прогнал скрипт сбора логов - результат прикладываю. 
       
      CollectionLog-2022.01.19-11.05.zip
    • PULEGLOT007
      От PULEGLOT007
      Провёл несколько полных сканирований компьютера с помощью Kasperksy Virus Removal Tool, первые разы он находил вирусы, но теперь не находит, а нагрузка на ЦП остается около 100%, права админа отсутствуют и не получается установить Kaspersky Security Cloud Free, выдаёт ошибку во время установки. 
      CollectionLog-2022.01.14-00.39.zip
    • stalker3972
      От stalker3972
      Здравствуйте, сегодня решил почистить компьютер, после загрузки компьютера и входа на рабочий стол сразу же прилетает уведомление об антивирусе что обнаружена угроза, мне стало интересно я захожу в подробности в угрозе и вижу что затронуто сразу несколько элементов, file: C:\ProgramData\FingerPrint\FingerPrint.exe, file: C:\Windows\System32\Tasks\fpShow_W5->(UTF-16LE), regkey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{87E85DD6-D7B9-490E-90D3-38009DED5F19}, regkey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\fpShow_W5, taskscheduler: C:\Windows\System32\Tasks\fpShow_W5, прочитав что такое fingerprint более известен как CSGOcalc 
      я перешел по пути где хранится вирус и удалил папку и перезагрузил компьютер, после перезагрузки компьютера меня ждал сюрприз - вирус не удаляется, он восстанавливается раз за разом, антивирус ничего сделать не смог. Пожалуйста помогите.
    • Константин141414
      От Константин141414
      CollectionLog-2022.01.10-13.18.zipВирусы появились после установки на ПК стороннего софта. Ранее защитник Windows находил и не мог удалить данные файлы. Сейчас после того как я почистил папки Temp, защитник не находит их, но все же я не могу быть уверен что проблема решена, поэтому надеюсь что мне кто-нибудь подскажет решение.
×
×
  • Создать...