CSRSS.EXE грузит систему при подключении к интернету, без подключения всё работает нормально.
CSRSS.EXE грузит систему при подключении к интернету, без подключения всё работает нормально.
Уважаемый(ая) msvuser, спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.
Информация
Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Выполните скрипт в AVZ:Компьютер перезагрузится.Код:begin TerminateProcessByName('c:\program files (x86)\askpartnernetwork\toolbar\apnmcp.exe'); TerminateProcessByName('C:\Windows\csrss.exe'); TerminateProcessByName('c:\users\sergey-adm\appdata\roaming\nssm.exe'); TerminateProcessByName('C:\Windows\svchost.exe'); TerminateProcessByName('c:\program files (x86)\askpartnernetwork\toolbar\updater\tbnotifier.exe'); StopService('APNMCP'); StopService('Windows'); QuarantineFile('c:\program files (x86)\askpartnernetwork\toolbar\apnmcp.exe', ''); QuarantineFile('C:\Windows\csrss.exe', ''); QuarantineFile('c:\users\sergey-adm\appdata\roaming\nssm.exe', ''); QuarantineFile('C:\Windows\svchost.exe', ''); QuarantineFile('c:\program files (x86)\askpartnernetwork\toolbar\updater\tbnotifier.exe', ''); QuarantineFile('"C:\Program Files (x86)\AskPartnerNetwork\Toolbar\KMPV7\Passport.dll"', ''); QuarantineFile('C:\Windows\loader.exe', ''); QuarantineFile('C:\Users\Sergey-ADM\appdata\roaming\svchost.exe', ''); DeleteFile('c:\program files (x86)\askpartnernetwork\toolbar\apnmcp.exe', '32'); DeleteFile('C:\Windows\csrss.exe', '32'); DeleteFile('c:\users\sergey-adm\appdata\roaming\nssm.exe', '32'); DeleteFile('C:\Windows\svchost.exe', '32'); DeleteFile('c:\program files (x86)\askpartnernetwork\toolbar\updater\tbnotifier.exe', '32'); DeleteFile('"C:\Program Files (x86)\AskPartnerNetwork\Toolbar\KMPV7\Passport.dll"', '32'); DeleteFile('C:\Windows\loader.exe', '32'); DeleteFile('C:\Users\Sergey-ADM\appdata\roaming\svchost.exe', '32'); DeleteFile('C:\Users\Sergey-ADM\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk'); DeleteService('clr_optimization_v1.02'); DeleteService('APNMCP'); DeleteService('Windows'); DeleteFileMask('c:\program files (x86)\askpartnernetwork', '*', true); DeleteFileMask('"c:\program files (x86)\askpartnernetwork', '*', true); DeleteDirectory('c:\program files (x86)\askpartnernetwork'); DeleteDirectory('"c:\program files (x86)\askpartnernetwork'); DelBHO('{4B4D5056-3700-A76A-76A7-7A786E7484D7}'); RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'ApnTBMon'); RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ApnTBMon', 'command'); ExecuteSysClean; ExecuteWizard('SCU', 2, 2, true); RebootWindows(true); end.
Выполните в AVZ скрипт:
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.Код:begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end.
Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
Сделайте лог AdwCleaner (by Xplode).
WBR,
Vadim
Файл карантина прислал, ниже прилагаю логи.
Запустите повторно AdwCleaner (by Xplode) (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши от имени администратора)), нажмите кнопку Сканировать (Scan), по окончании сканирования, только если используете программы от этого портала, уберите галочки на вкладках Папки (Folders) и Реестр (Registry) со всех пунктов, где упоминается Mail.Ru.
Установите в пункте меню "Настройки" (Settings) дополнительно к установленным по умолчанию галочку "Сброс политик Chrome".
Затем нажмите Очистка (Cleaning) и по окончании удаления перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.
WBR,
Vadim
лог сделал , вроде всё работает, только при загрузке или запуске некоторых программ (браузеров и других, но не всех) появляется вот такое окно...www.jpg
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
WBR,
Vadim
готово
Деинсталлируйте McAfee Security Scan Plus.
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.Код:CMD:powershell -command enable-computerrestore -drive \"C:\\\" CreateRestorePoint: ShellIconOverlayIdentifiers: [Offline Files] -> {4E77131D-3629-431c-9818-C5679DC83E81} => No File BHO: KMP Media Toolbar -> {4B4D5056-3700-A76A-76A7-7A786E7484D7} -> "C:\Program Files (x86)\AskPartnerNetwork\Toolbar\KMPV7\Passport_x64.dll" => No File Toolbar: HKLM - KMP Media Toolbar - {4B4D5056-3700-A76A-76A7-7A786E7484D7} - "C:\Program Files (x86)\AskPartnerNetwork\Toolbar\KMPV7\Passport_x64.dll" No File FF Extension: uToolbar - C:\Users\Sergey-ADM\AppData\Roaming\Mozilla\Firefox\Profiles\j4yowdyt.default\extensions\[email protected] [2014-07-04] [not signed] CHR HKLM-x32\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx CHR HKLM-x32\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx CustomCLSID: HKU\S-1-5-21-1986755015-242896574-1009822369-1000_Classes\CLSID\{69AE1BF7-D892-7381-A856-1057959D5A8C}\InprocServer32 -> no filepath 2016-03-29 12:13 - 2016-03-29 12:13 - 00000000 ____D C:\Users\Sergey-ADM\AppData\Roaming\Savinger 2016-03-29 12:13 - 2016-03-29 12:13 - 00000000 ____D C:\ProgramData\VideoFetcher 2016-03-29 12:13 - 2016-03-29 18:41 - 00000000 ____D C:\Program Files (x86)\HomePageDefender Task: {DD9C2BD0-81B8-4B36-BD0B-5B000FCF59AC} - System32\Tasks\Microsoft\Windows\Media Center\VideoFetcher => C:\ProgramData\VideoFetcher\VideoFetcher.exe [2016-03-24] () <==== ATTENTION AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [274] AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [274] CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\4F6D5E84-5826-4394-9F40-3A9A19165651_is1" /f /reg:32 CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{4B4D5056-3700-A76A-76A7-A758B70C2600}" /f /reg:32 EmptyTemp: Reboot:
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Сообщите, что с проблемой.
WBR,
Vadim
проблема так и осталась
Странно. csrss.exe ещё скриптом для AVZ удалили.
Сделайте ещё раз логи FRST.
WBR,
Vadim
новые логи
Майнера нет, смотрите, какой именно процесс даёт нагрузку.
Проверьте файл file_12345.exe из папки загрузок на VirusTotal и дайте ссылку на результат.
WBR,
Vadim
csrss нагрузки больше не даёт, я имел ввиду про странности с запуском того же браузера (на картинке из поста №6), выскакивает непонятное окошко, а файлик, да, странный , вот ссылка на вирустотал https://www.virustotal.com/ru/file/0...ba61/analysis/
Удалите этот файл, с ним, похоже, майнер и подцепили.
А с запуском программ когда примерно проблемы начались?
WBR,
Vadim
Посмотрите, есть точки восстановления системы, созданные перед 29.03? Может, проще откатить будет?
WBR,
Vadim
точек нет, смотрел заранее , это никак не искоренить? только что попробовал в опере и хроме - тоже самое сообщение...
Попробуйте твик реестра GenericRepairReg.reg с последующей перезагрузкой.
WBR,
Vadim
не помогло, это окошко вылезает при запуске любого браузера... даже вылезло при запуске твика реестра...
Уважаемый(ая) msvuser, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.