Перейти к содержанию

Рекомендуемые сообщения

Здравствуйте, несколько месяцев назад процессор начал загружаться на 20%, при открытии диспетчера задач нагрузка моментально пропадала. С помощью программы AnVir я выяснил, какой процесс нагружает систему(Точно не уверен, но он назывался "Notepad.exe"). Я попытался сам найти решение проблемы, но ничего не вышло. Однако процесс на протяжении месяца данный процесс не проявлял активности и я забыл про него. Но сегодня уже появился скрытый процесс с названием "calc.exe" и нагружал процессор на 25% в течении 30 минут и пока не проявляет активности. И теперь я не знаю, это тот же самый вирус, или их у меня теперь два.

CollectionLog-2022.04.07-03.10.zip

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\Амир\AppData\Roaming\Microsoft\DrfragSvc\Patch0829\DefragSvc.dll', '');
 QuarantineFileF('C:\Users\Амир\AppData\Roaming\Microsoft\DrfragSvc\Patch0829\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteSchedulerTask('Windows11Build_22489');
 DeleteFile('C:\Users\Амир\AppData\Roaming\Microsoft\DrfragSvc\Patch0829\DefragSvc.dll', '64');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Полученный архив quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

 

Для повторной диагностики запустите снова AutoLogger. Прикрепите новый CollectionLog.

Ссылка на сообщение
Поделиться на другие сайты

Это не страшно.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

Ссылка на сообщение
Поделиться на другие сайты

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Цитата

Web Companion

 

Далее:

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    SystemRestore: On
    CreateRestorePoint:
    HKU\S-1-5-21-1618160610-1171444990-2581520023-1001\...\Run: [Web Companion] => C:\Program Files (x86)\Lavasoft\Web Companion\Application\WebCompanion.exe [8442464 2020-12-15] (LAVASOFT SOFTWARE CANADA INC -> Lavasoft)
    GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
    GroupPolicy-Firefox: Ограничение <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
    IE trusted site: HKU\.DEFAULT\...\webcompanion.com -> hxxp://webcompanion.com
    IE trusted site: HKU\S-1-5-21-1618160610-1171444990-2581520023-1001\...\webcompanion.com -> hxxp://webcompanion.com
    FirewallRules: [{4C5D78D6-CEDF-4700-8FA4-31A51E2CB0F0}] => (Allow) LPort=32682
    FirewallRules: [{C71A4F9B-026B-44A7-BF38-3DA79B41927E}] => (Allow) LPort=32682
    FirewallRules: [{323C001E-6AA2-4B82-9A21-8949AA07BE3D}] => (Allow) LPort=26822
    C:\Windows\Temp\*.*
    C:\WINDOWS\system32\*.tmp
    C:\WINDOWS\syswow64\*.tmp
    EmptyTemp:
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты

Хорошо. Сделаем проверку уязвимых мест и устаревшего критического ПО:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.


 
Ссылка на сообщение
Поделиться на другие сайты

------------------------------- [ Windows ] -------------------------------
Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Kaspersky Endpoint Security для Windows v.11.5.0.590 Внимание! Скачать обновления
--------------------------- [ OtherUtilities ] ----------------------------
NVIDIA GeForce Experience 3.24.0.126 v.3.24.0.126 Внимание! Скачать обновления
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 6.00 (64-разрядная) v.6.00.0 Внимание! Скачать обновления
WinRAR 6.02 (32-bit) v.6.02.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.0.0.310 Внимание! Скачать обновления
Zoom v.5.6.7 (1016) Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45852 Внимание! Клиент сети P2P с рекламным модулем!.
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 271 (64-bit) v.8.0.2710.9 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u321-windows-x64.exe)^
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Creative Cloud v.3.9.0.327 Внимание! Скачать обновления
---------------------------- [ UnwantedApps ] -----------------------------
CCleaner v.5.91 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
 

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте, проблема не исчезла, снова появился процесс calc.exe, грузит на 25%

 

UPD: Я сделал логи и решил посмотреть их. Там было помечено жёлтым "regsvr32.exe /s C:\Users\Амир\AppData\Roaming\Microsoft\win64\userbin64\u64.dll". Когда я нашел путь к указанному файлу "u64.dll" и просто клацнул по нему, процесс calc.exe внезапно исчез. Такое ощущение, что этот вирус перемещается от файла к файлу.

 

UPD2: Спустя некоторое время файл u64.dll исчез вовсе, я его не удалял, и антивирус тоже не трогал его. Может быть это бред, но как будто бы моим компьютером удалённо завладели и пытаются модифицировать и прятать этот майнер-вирус.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • SigmaKlim
      От SigmaKlim
      Здравствуйте. При запуске инженерного ПО вылетала ошибка (см. картинку). Поиски решения привели меня к такому ответу:
      ***
      Короче говоря, все свелось к тому, что был запущен .bat файл из корневой папки ПО, который выдал в консоли сообщение:
      ****ASSERTION****: Unknown error occured iterating C:\Windows\Fonts\Mysql
      Прошерстил темы на форумах по данному вопросу, но везде понял, что подход индивидуальный. Помогите, пожалуйста. Вот мой лог.

    • Predator21
      От Predator21
      Скрытно нагружает видеокарту на 100%, это наблюдается в MSI Afterburner, но не наблюдается в диспетчере задач. Пытался почистить при помощи UnHackMe, помогает только до первой перезагрузки, после майнер устанавливается заново.
      CollectionLog-2022.05.01-01.22 (1).zip
    • Айдос
      От Айдос
      ПК домашний, для просмотора ютуба, игр со стима и учёбы, начал очень сильно тормозить, при загрузке и отключении, выходит надпись подождите, скорее всего заражен руткитами, вылетает с игр, память и цп бывают загружены очень сильно.
      Майнер RobotDemo.exe находится по адресу: C:\ProgramData\RobotDemo . Приходится его удалять при каждом запуске винды.
      Разрешённые угрозы каждый раз появляются снова. 
      Стоит служба удаленного рабочего стола не знаю как отключить.  
      Также в диспетчере задач Runtime broker и другие подозрительные по, после их снятия снова появляются, а некоторые невозможно снять, т.к. недостаточно прав.
      Ccleaner не может исправить ошибку реестера, скрин прилагается, возможно поможет в решении вопроса.
      Заранее благодарю за помощь.



      CollectionLog-2022.04.14-15.33.zip
    • Garansd
      От Garansd
      Возможно поймал майнера. При работе компьютер не шумит вообще, но после того как я завершаю сеанс по win+l и на экран выводится заставка с просьбой ввести пароль к windows, через какое-то время начинают шуметь кулеры, как будто что-то тяжелое запускается в системе. Посмотрите пожалуйста логи. 
      CollectionLog-2022.03.29-00.41.zip
    • uropek
      От uropek
      Здравствуйте, нашCollectionLog-2022.03.10-08.23.zipли зараженный компьютер
      Проверил с KVRT
×
×
  • Создать...