Printable View
Доброго дня! Даже при простое система загружена на 95%(физическая память), процессор грузится от 50 до 80% сначала для проверки использовал утилиту CureIt, было найдено около 30-40 угроз. Затем был установлен Нод32 и обновлены свежие базы, количесво найденных угроз порядка 2000 (тысяч). После перезагрузки система все так же висит на 95% загрузки физической памяти. Очень прошу помощи
Уважаемый(ая) [B]McAlexT[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Файлы
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Ребят, кто нибудь мне может помочь?:? Может я что то не то прислал?
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\Program Files (x86)\Bench\Updater\updater.exe', '');
QuarantineFile('C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll', '');
QuarantineFile('C:\Program Files (x86)\Minibar\Minibar.dll', '');
QuarantineFile('C:\Users\Nastya\AppData\Local\DropinSavings\repair.js', '');
QuarantineFile('C:\Program Files (x86)\Ask.com\Updater\Updater.exe', '');
QuarantineFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe', '');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe', '32');
DeleteFile('C:\Program Files (x86)\Ask.com\Updater\Updater.exe', '32');
DeleteFile('C:\Program Files (x86)\Mail.Ru\Guard\GuardMailRu.exe', '32');
DeleteFile('C:\Users\Nastya\AppData\Local\DropinSavings\repair.js', '32');
DeleteFile('C:\Program Files (x86)\Minibar\Minibar.dll', '32');
DeleteFile('C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll', '32');
DeleteFile('C:\Program Files (x86)\Bench\Updater\updater.exe', '32');
DeleteFile('C:\Windows\Tasks\bench-S-1-5-21-2154045569-3281730381-3055794659-1000.job', '64');
DeleteFile('C:\Windows\Tasks\bench-sys.job', '64');
DeleteFile('C:\Windows\Tasks\RegClean Pro_DEFAULT.job', '64');
DeleteFile('C:\Windows\Tasks\RegClean Pro_UPDATES.job', '64');
DeleteFile('C:\Windows\Tasks\SaveSenseLiveUpdateTaskMachineCore.job', '64');
DeleteFile('C:\Windows\Tasks\SaveSenseLiveUpdateTaskMachineUA.job', '64');
DeleteFileMask('C:\Program Files (x86)\Bench', '*', true);
DeleteFileMask('C:\Program Files (x86)\Ask.com', '*', true);
DeleteFileMask('C:\Program Files (x86)\Minibar', '*', true);
DeleteFileMask('C:\Program Files (x86)\AnyProtectEx', '*', true);
DeleteFileMask('C:\Users\Nastya\AppData\Local\DropinSavings', '*', true);
DeleteDirectory('C:\Program Files (x86)\Bench');
DeleteDirectory('C:\Program Files (x86)\Ask.com');
DeleteDirectory('C:\Program Files (x86)\Minibar');
DeleteDirectory('C:\Program Files (x86)\AnyProtectEx');
DeleteDirectory('C:\Users\Nastya\AppData\Local\DropinSavings');
DelBHO('{00000000-6E41-4FD3-8538-502F5495E5FC}');
DelBHO('{AAA38851-3CFF-475F-B5E0-720D3645E4A5}');
DelBHO('{7558B7E5-7B26-4201-BEDB-00D5FF534523}');
DelBHO('{D4027C7F-154A-4066-A1AD-4243D8127440}');
DelBHO('{AA74D58F-ACD0-450D-A85E-6C04B171C044}');
ExecuteFile('schtasks.exe', '/delete /TN "AdobeFlashPlayerUpdate" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "AdobeFlashPlayerUpdate 2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "bench-S-1-5-21-2154045569-3281730381-3055794659-1000" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "bench-sys" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "DealPly" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "DealPlyUpdate" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Digital Sites" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Updater3491.exe" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "VuuPCUpdate" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "VuuPCUpdateLogin" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Yahoo! Search" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Yahoo! Search Updater" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Muzbaza', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AnyProtect Tray', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ApnUpdater', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SDP', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\80a691e7f5340faaa9df7211450d', 'command');
ExecuteSysClean;
ExecuteRepair(13);
ExecuteRepair(3);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
[B]Обновите базы AVZ[/B] ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
Для инофрмации. Проделал указанные действия, все так же. После 5 минут пользования ПК - физическая память 85-90%
PS карантин загрузил через кнопку сверху - система выдала сообщение что файл загружен, но в моей теме его нет((
Карантин получен, не беспокойтесь.
Запустите повторно [B]AdwCleaner (by Xplode) [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Сканировать[/B] (Scan), по окончании сканирования уберите галочки на вкладках [B]Папки[/B] (Folders) и [B]Реестр[/B] (Registry) со всех пунктов, где упоминаются Mail.Ru и MediaGet [B]если используете соответствующие программы[/B].
Затем нажмите [B]Очистка[/B] ([B]Cleaning[/B]) и по окончании удаления перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[S0].txt, прикрепите к своему следующему сообщению.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
Файлы.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Через диспетчер задач - мониторинг ресурсов, увидел что процесс svhost.exe netsvcs потребляет более 1,2 ГБ оперативки. По большому счету он и грузит систему. Поведение не однозначное. То сильно загружает, потом системная память освобождается...
Это после обновлений системы такое поведение наблюдается, пока надёжных решений нет. Ну и 2 Гб ОЗУ для 64-битной системы - это мало, рекомендуется 4 Гб и больше.
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
BHO-x32: MailRuBHO Class -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll No File
BHO-x32: AlterGeoBHO Class -> {9BFBA68E-E21B-458E-AE12-FE85E903D2C0} -> C:\ProgramData\AlterGeo\Update for Html5 geolocation provider\html5loc.dll No File
Toolbar: HKLM - No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
Toolbar: HKU\S-1-5-21-2154045569-3281730381-3055794659-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
FF DefaultSearchEngine: Yahoo! Search
FF SelectedSearchEngine: Yahoo! Search
FF Plugin HKU\S-1-5-21-2154045569-3281730381-3055794659-1000: @mail.ru/GameCenter -> C:\Users\Nastya\AppData\Local\Mail.Ru\GameCenter\NPDetector.dll No File
FF SearchPlugin: C:\Users\Nastya\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\dsrlte1.xml [2015-04-12]
FF Extension: Lyrmix - C:\Users\Nastya\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\126 [2013-08-14]
FF Extension: AlterGeo Addons - C:\Users\Nastya\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{B100D0FF-0001-8CE4-2790-AACE49B8AE35} [2012-03-18]
CHR Extension: (DropinSavings) - C:\Users\Nastya\AppData\Local\Google\Chrome\User Data\Default\Extensions\mbekfhpolalnahfbbojljmelgnbchaak [2014-08-05]
S4 TicnoIndexator; C:\Program Files (x86)\Ticno\Indexator\SearchService.exe [X]
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\80a691e7f5340faaa9df7211450d" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AlterGeoUpdater" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AnyProtect" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AnyProtect Tray" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ApnUpdater" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BService64" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Guard.Mail.ru.gu" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\PCSpeedUp" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\multibar.exe" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SDP" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\VideoDownloadToolbar" /f
FirewallRules: [TCP Query User{3D8A41E5-3AAA-4D20-960C-336FC36CA2FC}C:\program files (x86)\ticno\ticno player\ticnoplayer.exe] => (Allow) C:\program files (x86)\ticno\ticno player\ticnoplayer.exe
FirewallRules: [UDP Query User{2E7AE819-5B15-45E7-A04C-9F1B3FFEC1F1}C:\program files (x86)\ticno\ticno player\ticnoplayer.exe] => (Allow) C:\program files (x86)\ticno\ticno player\ticnoplayer.exe
FirewallRules: [{38E0A04A-2B9E-41E0-B9E0-3E496A8AFDE6}] => (Block) C:\program files (x86)\ticno\ticno player\ticnoplayer.exe
FirewallRules: [{55D749AD-E572-4D5D-85FF-5A332882EEEB}] => (Block) C:\program files (x86)\ticno\ticno player\ticnoplayer.exe
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Решил вопрос отключением службы "Центр обновления Windows" - именно эта служба очень грузила проц и ела оперативку...Благодарю за помощь!!!
Fixlog.txt покажите всё-таки.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]