Странные процессы под именем jh1d.exe и pts5a.exe загружают ЦП до 100% - система &am p;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a

[3v3v2]

Win XP начинает тупить, загрузка процессора 100%, грузят систему процессы со странными именами jh1d.exe или pts5a.exe. Завершение этих процессов вручную помогает, но через некоторое время они снова появляются. Касперский, правда просроченный, молчит. Как вычистить эту заразу и чем обезопаситься? /Спасибо заранее.

[Info_bot]

Уважаемый(ая) 3v3v2, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 StopService('Mutual Monitor');
 DeleteService('Mutual Monitor');
 QuarantineFile('C:\Program Files\mutualpublic\Monitor.exe','');
 DeleteFile('C:\Program Files\mutualpublic\Monitor.exe','32');
DeleteFileMask('C:\Program Files\mutualpublic','*',true);
DeleteDirectory('C:\Program Files\mutualpublic');
ExecuteWizard('SCU',2,2,true);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(false);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте полный образ автозапуска uVS, только программу скачайте отсюда.

[3v3v2]

Сделал полный образ автозапуска uVS, прикрепляю.

[Vvvyg]

Касперский определяет эти файлы как not-a-virus:RiskTool.Win32.BitCoinMiner.jtl, так что если включить в нём защиту от потенциально нежелательных программ - будет и блокировать, и удалять.

Выполните скрипт в uVS:

;uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

delref D:\PROGRAM FILES\DESKTOPCAL\DESKTOPCAL.EXE
; C:\TEMP\JH1D.EXE
addsgn 1AAE319A5583E88CF42B254E3143FE84C9A2FFF68959EF8FC4C34CB1BC21304CAA022BA07F551454CF77C59FCF23A90D3CDF614F892DF12C4BFBB1273F472215 24 RiskTool.Win32.BitCoinMiner.jt

zoo %SystemDrive%\TEMP\JH1D.EXE
uidel C:\Program Files\mutualpublic\uninst.exe
; C:\TEMP\JH1C.EXE
chklst
delvir
czoo
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216017FF} /quiet
deltmp
restart

На вопросы об удалении программ рекомендую соглашаться.
Компьютер перезагрузится.

Уведомление

Данный скрипт удалит все устаревшие версии Java, т. к. в них имеются критические ошибки, позволяющие выполнить вредоносный код в целевой системе. Проще говоря - при заходе на сайт с вредоносным кодом внедрить в систему без ведома пользователя трояна.
Скачайте и установите Java 7 Update 45. Уязвимости Java являются частой причиной взлома и заражения системы и поэтому это потенциальная дыра в безопасности.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Проверьте проблему.

[3v3v2]

ZOO_* закинул, процессы jh1d.exe и pts5a.exe вроде не появляются теперь в списке процессов и не грузят систему, но в папке c:\Temp как были так и остались следующие файлы:
jh1.exe
jh1a.exe
libgcc_s_dw2-1.dll
libstdc++-6.dll
pts4.exe
pts5a.exe
Что с ними делать, вручную их прибить?

[Vvvyg]

Да, удалите их вручную.

Выполните рекомендации после лечения.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. \\jh1d.exe._ce77bc3b950ca5d1d28c6084b3ab483b62a0a9 d3 - not-a-virus:RiskTool.Win32.BitCoinMiner.jtl