Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 30.

Процессы WerFault.exe множатся и едят все ресурсы, вирус BAT.DownLoader.58 [Trojan.Win32.Vehidis.apd ] (заявка № 190894)

  1. #1
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    5

    Процессы WerFault.exe множатся и едят все ресурсы, вирус BAT.DownLoader.58 [Trojan.Win32.Vehidis.apd ]

    После загрузки ОС (Win2k8r2) начинало генерироваться много процессов WerFault.exe, которые пожирали все ресурсы - 100% загрузки CPU, памяти, диск заполнялся ... Перезагрузился в safe-режиме и проверился CureIT. Dr.Web CureIt! нашел кучу файлов с вирусом 56 или 58 штук) BAT.DownLoader.58 и WerFault.exe (и другие) и вылечил их. После перезагрузки в нормальном режиме вроде бы все нормально. Посмотрите остались ли какие-то намеки на вирусы и т.д.
    Вложения Вложения
    Последний раз редактировалось shaman480; 05.10.2015 в 23:57.

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,269
    Вес репутации
    326
    Уважаемый(ая) shaman480, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,625
    Вес репутации
    2917
    Выполните скрипт в AVZ
    Код:
    begin
     QuarantineFile('C:\Program Files (x86)\Windows NT\atiecllx.exe','');
    ExecuteREpair(9); 
    end.
    Перезагрузку компьютера выполните вручную.

    Выполните скрипт в AVZ
    Код:
    begin
    CreateQurantineArchive('c:\quarantine.zip');
    end.
    c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  5. thyrex получил(а) благодарность за это сообщение от


  6. #4
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    5
    Скрипт выполнил, перезагрузил.
    Файл карантина отправил.

  7. #5
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,625
    Вес репутации
    2917
    Выполните скрипт в AVZ
    Код:
    begin
     DeleteFile('C:\Program Files (x86)\Windows NT\atiecllx.exe','32');
    ExecuteSysClean;
    end.
    Перезагрузку компьютера выполните вручную.

    Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

    + Сделайте лог полного сканирования МВАМ
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  8. thyrex получил(а) благодарность за это сообщение от


  9. #6
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    5
    Скрипт выполнил и перезагрузился.
    Тесты провел, файлы прилагаю.
    А так же в автозагрузке были какие то непонятные программы, я их отключил. Файлик с программами автозагрузки так же прилагаю.
    Вложения Вложения

  10. #7
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,625
    Вес репутации
    2917
    Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.
    • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


    1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    3. Нажмите кнопку Scan.
    4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
    5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  11. thyrex получил(а) благодарность за это сообщение от


  12. #8
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    5
    Сканирование выполнил. Файл прикрепляю.
    Вложения Вложения

  13. #9
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,625
    Вес репутации
    2917
    C:\Program Files (x86)\Common Files\Shgnbvljhk.exe
    C:\Windows\system32\hexSB360.exe
    C:\Windows\system32\bootSB360.exe
    C:\Windows\system32\microsoft_word.exe
    C:\Windows\system32\hex1a.exe
    C:\Windows\system32\1a.exe
    C:\Windows\system32\boot1a.exe
    C:\Windows\system32\Tmp5E57.tmp
    C:\Windows\system32\zyKJ.pif
    C:\Windows\system32\KJ.pif
    C:\Windows\system32\p.exe
    C:\Windows\system32\cs.exe
    C:\Windows\system32\xpKJ.pif
    C:\Windows\system32\hexExplore.exe
    заархивируйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  14. thyrex получил(а) благодарность за это сообщение от


  15. #10
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    5
    Создал архив и отправил. Только при архивировании выдало вот такую ошибку.
    ! C:\Users\Admin\Desktop\send.zip: Невозможно открыть C:\Users\Admin\Desktop\send\KJ.pif
    Отказано в доступе.

  16. #11
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,625
    Вес репутации
    2917
    C:\Program Files (x86)\Common Files\Shgnbvljhk.exe
    C:\Windows\system32\hexSB360.exe
    C:\Windows\system32\bootSB360.exe
    C:\Windows\system32\hex1a.exe
    C:\Windows\system32\1a.exe
    C:\Windows\system32\boot1a.exe
    C:\Windows\system32\Tmp5E57.tmp
    C:\Windows\system32\zyKJ.pif
    C:\Windows\system32\KJ.pif
    C:\Windows\system32\xpKJ.pif
    C:\Windows\system32\hexExplore.exe
    можно удалить
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  17. thyrex получил(а) благодарность за это сообщение от


  18. #12
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    5
    Файлы удалил.
    Но в корне диска С появились неизвестные файлы.
    Заархивировал и отправил через "Прислать запрошенный карантин"

    - - - - -Добавлено - - - - -

    Выполнил логи по новой!
    И что делать с файлами в автозагрузке которые я отключил?

    - - - - -Добавлено - - - - -

    В диспетчере задач появились неопознанные процессы после перезагрузки
    Ссылки ведут в автозагрузку - C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup
    А само меню автозагрузки из Пуска ведет вот сюда - C:\Users\Администратор\AppData\Roaming\Microsoft\W indows\Start Menu\Programs
    Такое чувство что его подменили, так как появился еще один пункт в Пуске с наименованием - "Startupя" - и ссылка ведет вот сюда - C:\ProgramData\Microsoft\Windows\Start Menu\Programs
    123.jpg

    - - - - -Добавлено - - - - -

    Ошибся, не опознанных только 3, iusb3mon.exe - это драйвера интеловские на юсб 3.0

    - - - - -Добавлено - - - - -

    Эти процессы завершаешь, через некоторое время они опять появляются!
    Вложения Вложения

  19. #13
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,625
    Вес репутации
    2917
    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     TerminateProcessByName('c:\programdata\microsoft\windows\start menu\programs\startup\boottaskmgs.exe');
     QuarantineFile('c:\programdata\microsoft\windows\start menu\programs\startup\boottaskmgs.exe','');
     TerminateProcessByName('c:\programdata\microsoft\windows\start menu\programs\startup\hextaskmgs.exe');
     QuarantineFile('c:\programdata\microsoft\windows\start menu\programs\startup\hextaskmgs.exe','');
     TerminateProcessByName('c:\programdata\microsoft\windows\start menu\programs\startup\sttaskmgs.exe');
     QuarantineFile('c:\programdata\microsoft\windows\start menu\programs\startup\sttaskmgs.exe','');
     DeleteFile('c:\programdata\microsoft\windows\start menu\programs\startup\sttaskmgs.exe','32');
     DeleteFile('c:\programdata\microsoft\windows\start menu\programs\startup\hextaskmgs.exe','32');
     DeleteFile('c:\programdata\microsoft\windows\start menu\programs\startup\boottaskmgs.exe','32');
     BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    end.
    Перезагрузка компьютера выполните вручную.

    Выполните скрипт в AVZ
    Код:
    begin
    CreateQurantineArchive('c:\quarantine.zip');
    end.
    c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

    Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  20. #14
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    5
    Данные файлы я еще вчера их удалил. Папку переименованную вирусом "Startupя" - переименовал в "Startup", вернулось правильное меню в пуск с наименованием автозагрузка.
    Выполнил скрипт, но не могу загрузить файл карантина, выдает ошибку
    Результат загрузки

    Ошибка загрузки. Данный файл уже был загружен
    Прикрепляю логи.

    - - - - -Добавлено - - - - -

    Забыл уточнить, что после удаления этих файлов, вроде подозрительных файлов в процессах больше не появляется.
    Вложения Вложения
    Последний раз редактировалось shaman480; 09.10.2015 в 12:23.

  21. #15
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    5
    Опять появились эти файлы в процессах.
    Выполняю Ваши рекомендация по новой.


    - - - - -Добавлено - - - - -

    Файл карантина загрузил

    - - - - -Добавлено - - - - -

    В корне диска С опять появились файлы
    Эти файлы заархивировал и отправил через карантин
    1.jpg

    - - - - -Добавлено - - - - -

    Высылаю новые логи

    - - - - -Добавлено - - - - -

    Сделал еще логи FRST
    Вложения Вложения

  22. #16
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,625
    Вес репутации
    2917
    Это говорит только об одном - зараза лезет через уязвимости софта. Скорее всего через уязвимости Microsoft SQL Server 2008
    Без обновления бороться с этим бесполезно
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  23. #17
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    5
    Выполнил тест MBAM

    - - - - -Добавлено - - - - -

    Обновления все поставил.
    А так же полностью зарубал все доступы к MSSQL через kerio, теперь могут лезть только локальные компьютеры или VPN клиенты.
    Из вне доступы закрыл.

    - - - - -Добавлено - - - - -

    Backdoor.Bot, C:\Windows\System32\boottaskmgs.exe, , [b792a7ae5b302a0c550420a526db2fd1],
    Backdoor.Bot, C:\Windows\System32\hextaskmgs.exe, , [58f1015463289c9ae079a52040c159a7],
    Backdoor.Bot, C:\Windows\System32\sttaskmgs.exe, , [d9701342b0db2b0b1c3d11b409f829d7],
    Backdoor.Bot, C:\Windows\System32\taskmgs.exe, , [cb7ebb9a1576ff37194023a2c23f8f71],
    Вот это удалил через MBAM

    - - - - -Добавлено - - - - -

    Прогнал cureit
    1234.jpg
    Вложения Вложения
    • Тип файла: txt MBAM.txt (1.7 Кб, 1 просмотров)

  24. #18
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,625
    Вес репутации
    2917
    Удаляйте все найденное CureIt

    Пролечитесь http://support.kaspersky.ru/viruses/rescuedisk (скачивать и записывать образ на другой чистой от вирусов машине)
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  25. #19
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    5
    Цитата Сообщение от thyrex Посмотреть сообщение
    Удаляйте все найденное CureIt
    Все найденное удалил.
    Пролечитесь http://support.kaspersky.ru/viruses/rescuedisk (скачивать и записывать образ на другой чистой от вирусов машине)
    Это выполнить пока не могу. Так как сервер стоит в другом городе. Добраться к нему получится только через неделю.

  26. #20
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    5
    Пока тишина. Спустя 3 дня не чего не пролезло.

  • Уважаемый(ая) shaman480, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Страница 1 из 2 12 Последняя

    Похожие темы

    1. werfault.exe
      От serezhareq в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 31.01.2014, 21:30
    2. Ответов: 8
      Последнее сообщение: 19.11.2011, 23:40
    3. Ответов: 3
      Последнее сообщение: 19.04.2011, 08:45
    4. Ответов: 16
      Последнее сообщение: 20.06.2009, 00:15
    5. Множатся процессы cmd.exe и services.exe
      От PiJon в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 22.02.2009, 08:54

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01338 seconds with 21 queries