csrss_tc

[shmalex]

Добрый день.
Появился в процессах (csrss_tc.exe), убить не получается, полная проверка антивирусами ничего не обнаружила. Помимо этого есть подозрения на наличие разного рода кейлогеров.

С уважением, Александр.

[Nikkollo]

Здравствуйте.

Отключите интернет.
Выгрузите/отключите антивирус/файрволл.

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('\\server\public\Hardwar_Reports\login_ip\disk_w.bat','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\netmonz.sys','');
 QuarantineFile('C:\WINDOWS\system32\HideAgent.dll','');
 QuarantineFile('c:\windows\system32\csrss_tc.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end.

Запустите/включите антивирус/файрволл.
Подключите интернет.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

[shmalex]

файл загрузил, disk_w.bat файл для монтирования сетевого диска с сервера, насколько я помню.

[Bratez]

У вас не установлена случайно какая-нибудь программка с названием вроде Time Control?

[shmalex]

нет, ничего подобного не устанавливали.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\HideAgent.dll');
 DeleteFile('C:\WINDOWS\system32\csrss_tc.exe');
BC_ImportDeletedList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[shmalex]

выполнил, логи собрал

[Bratez]

В логах все нормально.

Поскольку у меня были некоторые сомнения, я не включил в скрипт команды для зачистки реестра от следов удаляемых файлов. Если после удаления проблем не возникло, то выполните еще такой скрипт, где эти команды добавлены, и на этом лечение будет закончено:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\HideAgent.dll');
 DeleteFile('C:\WINDOWS\system32\csrss_tc.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Time Control Service');
BC_Activate;
RebootWindows(true);
end.

(Компьютер перезагрузится. Логи можно не повторять).

[shmalex]

выполнено, левых процессов не обнаружено.
спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 11
• В ходе лечения вредоносные программы в карантинах не обнаружены