Printable View
Вся проблема в общем то описана в заголовке темы.
localservice.exe грузит ЦП на 100%.
Винду только вчера поставил. Проверил в безопасном режиме утилитой CureIt, утилита нашла 1 объект и вылечила его, но проблема не исчезла. Процесс так и висит если загружать винду в обычном режиме.
У меня 64 битная винда, так что п.1 раздела "диагностика" я не выполнял следуя указаниям в инструкции, поэтому логов всего два.
Уважаемый(ая) [B]GODolubOFF[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Закройте все программы
Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('C:\Users\fantastic\AppData\Local\def64\localservice.exe');
QuarantineFile('C:\Users\fantastic\AppData\Local\localupdt.exe','');
QuarantineFile('C:\Users\fantastic\AppData\Local\def64\localservice.exe','');
DeleteFile('C:\Users\fantastic\AppData\Local\def64\localservice.exe','32');
DeleteFile('C:\Users\fantastic\AppData\Local\localupdt.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Local Update');
DeleteFileMask('C:\Users\fantastic\AppData\Local\def64', '*', true, ' ');
DeleteDirectory('C:\Users\fantastic\AppData\Local\def64');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
O4 - HKCU\..\Run: [Local Update] C:\Users\fantastic\AppData\Local\localupdt.exe
[/CODE]
Скачайте [url="http://malwarebytes.org/mbam-download-exe-random.php"]Malwarebytes' Anti-Malware[/url] или с [URL="http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe"]зеркала[/URL], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы, выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Malwarebytes Anti-Malware 1.75.0.1300
[url]www.malwarebytes.org[/url]
Версия базы данных: v2014.02.26.06
Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 11.0.9600.16518
fantastic :: FANTASTIC-ПК [администратор]
27.02.2014 0:55:15
MBAM-log-2014-02-27 (01-35-24).txt
Тип сканирования: Полное сканирование (C:\|D:\|)
Опции сканирования включены: Память | Запуск | Реестр | Файловая система | Эвристика/Дополнительно | Эвристика/Шурикен | PUP | PUM
Опции сканирования отключены: P2P
Просканированные объекты: 435387
Времени прошло: 38 минут , 51 секунд
Обнаруженные процессы в памяти: 1
C:\Windows\kmsem\KMService.exe (Trojan.FakeAlert) -> 1864 -> Действие не было предпринято.
Обнаруженные модули в памяти: 0
(Вредоносных программ не обнаружено)
Обнаруженные ключи в реестре: 0
(Вредоносных программ не обнаружено)
Обнаруженные параметры в реестре: 0
(Вредоносных программ не обнаружено)
Объекты реестра обнаружены: 0
(Вредоносных программ не обнаружено)
Обнаруженные папки: 0
(Вредоносных программ не обнаружено)
Обнаруженные файлы: 9
C:\Windows\kmsem\KMService.exe (Trojan.FakeAlert) -> Действие не было предпринято.
C:\Program Files (x86)\Microsoft Office\activator.exe (PUP.Hacktool) -> Действие не было предпринято.
C:\Users\fantastic\AppData\Local\def32\libcurl-4.dll (Trojan.Miner) -> Действие не было предпринято.
C:\Users\fantastic\AppData\Local\def32\localservice.exe (PUP.BitCoinMiner) -> Действие не было предпринято.
C:\Users\fantastic\Desktop\skype-.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\fantastic\Downloads\everest-home-2.20 (1).exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\fantastic\Downloads\everest-home-2.20.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Windows\System32\CPLDAPU\ProduKey.exe (PUP.PSWTool.ProductKey) -> Действие не было предпринято.
D:\avz4\Quarantine\2014-02-27\avz00002.dta (Riskware.BitcoinMiner) -> Действие не было предпринято.
(конец)
Закройте все программы
Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\fantastic\AppData\Local\def32\libcurl-4.dll','');
QuarantineFile('C:\Users\fantastic\AppData\Local\def32\localservice.exe','');
DeleteFile('C:\Users\fantastic\AppData\Local\def32\libcurl-4.dll','32');
DeleteFile('C:\Users\fantastic\AppData\Local\def32\localservice.exe','32');
DeleteFileMask('C:\Users\fantastic\AppData\Local\def32', '*', true, ' ');
DeleteDirectory('C:\Users\fantastic\AppData\Local\def32');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
Сделайте новый лог MBAM.
Malwarebytes Anti-Malware 1.75.0.1300
[url]www.malwarebytes.org[/url]
Версия базы данных: v2014.02.26.06
Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 11.0.9600.16518
fantastic :: FANTASTIC-ПК [администратор]
27.02.2014 19:39:47
MBAM-log-2014-02-27 (20-24-12).txt
Тип сканирования: Полное сканирование (C:\|)
Опции сканирования включены: Память | Запуск | Реестр | Файловая система | Эвристика/Дополнительно | Эвристика/Шурикен | PUP | PUM
Опции сканирования отключены: P2P
Просканированные объекты: 409923
Времени прошло: 41 минут , 35 секунд
Обнаруженные процессы в памяти: 1
C:\Windows\kmsem\KMService.exe (Trojan.FakeAlert) -> 1904 -> Действие не было предпринято.
Обнаруженные модули в памяти: 0
(Вредоносных программ не обнаружено)
Обнаруженные ключи в реестре: 0
(Вредоносных программ не обнаружено)
Обнаруженные параметры в реестре: 0
(Вредоносных программ не обнаружено)
Объекты реестра обнаружены: 0
(Вредоносных программ не обнаружено)
Обнаруженные папки: 0
(Вредоносных программ не обнаружено)
Обнаруженные файлы: 6
C:\Windows\kmsem\KMService.exe (Trojan.FakeAlert) -> Действие не было предпринято.
C:\Program Files (x86)\Microsoft Office\activator.exe (PUP.Hacktool) -> Действие не было предпринято.
C:\Users\fantastic\Desktop\skype-.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\fantastic\Downloads\everest-home-2.20 (1).exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\fantastic\Downloads\everest-home-2.20.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Windows\System32\CPLDAPU\ProduKey.exe (PUP.PSWTool.ProductKey) -> Действие не было предпринято.
(конец)
Что с проблемой?
Ну процесса этого больше нет.
Если вас в логах ничего не пугает, то тогда спасибо вам за помощь и хороших трудовых и выходных дней)
По последним отчетам плохого не видно.
Деинсталлируйте MBAM.
[LIST][*]Загрузите [B]SecurityCheck by glax24[/B] [URL="http://tools.safezone.cc/glax24/SecurityCheck/SecurityCheck.exe"]отсюда[/URL] и сохраните утилиту на [I]Рабочем столе[/I][*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7[/I])[*]Если увидите [U]предупреждение от вашего фаервола[/U] относительно программы SecurityCheck, не блокируйте ее работу.[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B];[*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*][/LIST]
Результат проверки:
Security Check by glax24 version 0.2.4.60 rc1
WebSite: [url]www.safezone.cc[/url]
DateLog: 28.02.2014 23:34:06
Run directory: C:\Users\fantastic\AppData\Local\Temp\SecurityCheck\
Log directory: C:\SecurityCheck\
IsAdmin: True
FileVersionInet: 7.0
__________________________________________________
Windows 7 (6.1.7601) Service Pack 1 (x64) Professional Lang: Russian(0419)
Дата установки ОС: 24.02.2014 12:57:15
Статус лицензии: Windows(R) 7, Professional edition Постоянная активация прошла успешно.
Системный диск: C:\ ФС: NTFS Емкость: [244 Гб] Занято: [87.2 Гб] Свободно: [156.8 Гб]
Браузер по умолчанию: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
-------------Windows------------------------------
Internet Explorer 11.0.9600.16518 [b][+][/b]
[color=red][b]Контроль учётных записей пользователя отключен[/b][/color]
[color=blue][b]^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^[/b][/color]
Запрос на повышение прав для администраторов [color=red][b]отключен[/b][/color]
Загружать автоматически обновления и устанавливать по заданному расписанию
Дата установки обновлений: 2014-02-28 09:32:01
Центр обновления Windows (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
-------------Antivirus_WMI------------------------
-------------Firewall_WMI-------------------------
-------------AntiSpyware_WMI----------------------
Windows Defender
-------------OtherUtilities-----------------------
Foxit Reader 6.1.2.1224 v.v 6.1.2.1224 [b][+][/b]
Malwarebytes Anti-Malware, версия 1.75.0.1300 v.1.75.0.1300
-------------Java---------------------------------
Java 7 Update 51 v.7.0.510
Java Auto Updater v.2.1.9.8
-------------AdobeProduction----------------------
Adobe Flash Player 12 ActiveX & Plugin 64-bit v.12.0.0.38 [color=red][b]Внимание! [url=http://download.macromedia.com/get/flashplayer/current/licensing/win/install_flash_player_12_active_x.exe]Скачать обновления[/url][/b][/color] -[color=red][b] [url=http://download.macromedia.com/get/flashplayer/current/licensing/win/install_flash_player_12_plugin.exe]Скачать обновления[/url][/b][/color]
[color=blue][b]^Удалите старую версию и установите новые Flash Player ActiveX и Flash Player Plugin^[/b][/color]
Adobe Shockwave Player + Authorware Web Player v.v12.0.7.148 [color=red][b]Внимание! [url=http://get.adobe.com/shockwave/]Скачать обновления[/url][/b][/color]
-------------Browser------------------------------
Google Chrome v.33.0.1750.117
Opera Stable 19.0.1326.63 v.19.0.1326.63
-------------RunningProcess-----------------------
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe v.33.0.1750.117
-------------EndLog-------------------------------
Включите UAC
[QUOTE][color=blue][b]^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^[/b][/color]
Запрос на повышение прав для администраторов [color=red][b]отключен[/b][/color][/QUOTE]
и обязательно обновите Flash Player
[QUOTE]Adobe Flash Player 12 ActiveX & Plugin 64-bit v.12.0.0.38 [color=red][b]Внимание! [url=http://download.macromedia.com/get/flashplayer/current/licensing/win/install_flash_player_12_active_x.exe]Скачать обновления[/url][/b][/color] -[color=red][b] [url=http://download.macromedia.com/get/flashplayer/current/licensing/win/install_flash_player_12_plugin.exe]Скачать обновления[/url][/b][/color]
[color=blue][b]^Удалите старую версию и установите новые Flash Player ActiveX и Flash Player Plugin^[/b][/color]
Adobe Shockwave Player + Authorware Web Player v.v12.0.7.148 [color=red][b]Внимание! [url=http://get.adobe.com/shockwave/]Скачать обновления[/url][/b][/color][/QUOTE]
+ [url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
Включил и флэш плеер обновил.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\fantastic\appdata\local\def32\localservice.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.lrc[/B] ( DrWEB: Tool.BtcMine.130, BitDefender: Application.BitCoinMiner.BK )[*] c:\users\fantastic\appdata\local\def64\localservice.exe - [B]not-a-virus:RiskTool.Win64.BitCoinMiner.a[/B] ( DrWEB: Tool.BtcMine.130, BitDefender: Application.BitCoinMiner.BM )[/LIST][/LIST]