NsCpuCNMiner32.exe грузит процессор

Printable View

04.07.2017, 17:19
Pea/\ucT

Вложений: 1

NsCpuCNMiner32.exe грузит процессор

Добрый день.

На windows 2003 R2 SP2 появился процесс NsCpuCNMiner32.exe, который постоянно грузит процессор процентов на 80. Kaspersky Removal Tool его не обнаруживает. Ручное удаление файла там где его удалось найти проблему не решает, через какое-то время он появляется снова.
04.07.2017, 17:21
Info_bot

Уважаемый(ая) [B]Pea/\ucT[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
07.07.2017, 08:24
thyrex

Выполните скрипт в AVZ
[code]begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\xaa6.tmp','');
QuarantineFile('C:\WINDOWS\Fonts\start.bat','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Wasppacer','command');
DeleteFile('C:\WINDOWS\systems\WaspAce_3.10.4.0_full\Wasppacer.exe','32');
DeleteFile('C:\WINDOWS\Fonts\start.bat','32');
DeleteFile('C:\Documents and Settings\Марат\WINDOWS\Tasks\start.job','32');
DeleteFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\xaa6.tmp','32');
DeleteFileMask('C:\WINDOWS\systems\WaspAce_3.10.4.0_full', '*', true);
DeleteDirectory('C:\WINDOWS\systems\WaspAce_3.10.4.0_full');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/code]Перезагрузку компьютера выполните вручную.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
07.07.2017, 10:55
Pea/\ucT

Вложений: 1

После выполнения скрипта и перезагрузки вроде пока процесс NsCpuCNMiner32.exe не появляется. Спасибо.
07.07.2017, 15:50
thyrex

C:\WINDOWS\Fonts\start.bat удалите вручную.

На этом лечение закончено.
08.07.2017, 13:17
Pea/\ucT

Вложений: 1

В папке C:\WINDOWS\Fonts файла start.bat не обнаружил.

Процесс NsCpuCNMiner32.exe появился снова.
08.07.2017, 18:03
thyrex

Выполните скрипт в AVZ
[code]begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
ExecuteFile('schtasks.exe', '/delete /TN "start.job" /F', 0, 15000, true);
QuarantineFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\12\wsnA.tmp','');
TerminateProcessByName('c:\windows\fonts\nscpucnminer32.exe');
QuarantineFile('c:\windows\fonts\nscpucnminer32.exe','');
DeleteFile('c:\windows\fonts\nscpucnminer32.exe','32');
DeleteFile('C:\WINDOWS\Fonts\start.bat','32');
DeleteFile('C:\Documents and Settings\Марат\WINDOWS\Tasks\start.job','32');
DeleteFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\12\wsnA.tmp','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/code]Перезагрузку компьютера выполните вручную.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
10.07.2017, 19:36
Pea/\ucT

Вложений: 1

Выполнил скрипт, пока что процесса нет.
12.07.2017, 00:00
Vvvyg

Утраняйте уязвимость, ту самую, которую использует нашумевший WannaCry: [URL="https://support.microsoft.com/ru-ru/help/4012598/title"]MS17-010: Описание обновления безопасности для Windows SMB Server[/URL], причём на всех компьютерах в сети.

Выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
QuarantineFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\hqa1.tmp', '');
QuarantineFile('C:\WINDOWS\Fonts\start.bat', '');
DeleteFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\hqa1.tmp', '32');
DeleteFile('C:\WINDOWS\Fonts\start.bat', '32');
ExecuteFile('schtasks.exe', '/delete /TN "C:\Documents and Settings\Марат\WINDOWS\Tasks\start.job" /F', 0, 15000, true);
BC_ImportDeletedList;
ExecuteSysClean;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
end.[/CODE]Перезагрузку компьютера выполните вручную.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
15.07.2017, 10:49
Pea/\ucT

Вложений: 1

Заплатку поставил, скрипт выполнил.
15.07.2017, 21:14
Vvvyg

Запустите FRST/FRST64. Нажмите комбинацию Ctrl+Y - откроется Блокнот. Скопируйте в него следующий код:[CODE]IFEO\Sethc.exe: [Debugger] C:\windows\system32\NLS.bat
S2 BOINC; "C:\Program Files\BOINC\boinc.exe" -daemon [X]
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (10) Прочти!.txt => C:\WINDOWS\pss\Копия (10) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (11) Прочти!.txt => C:\WINDOWS\pss\Копия (11) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (12) Прочти!.txt => C:\WINDOWS\pss\Копия (12) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (13) Прочти!.txt => C:\WINDOWS\pss\Копия (13) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (14) Прочти!.txt => C:\WINDOWS\pss\Копия (14) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (15) Прочти!.txt => C:\WINDOWS\pss\Копия (15) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (16) Прочти!.txt => C:\WINDOWS\pss\Копия (16) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (17) Прочти!.txt => C:\WINDOWS\pss\Копия (17) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (18) Прочти!.txt => C:\WINDOWS\pss\Копия (18) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (19) Прочти!.txt => C:\WINDOWS\pss\Копия (19) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (2) Прочти!.txt => C:\WINDOWS\pss\Копия (2) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (20) Прочти!.txt => C:\WINDOWS\pss\Копия (20) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (21) Прочти!.txt => C:\WINDOWS\pss\Копия (21) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (22) Прочти!.txt => C:\WINDOWS\pss\Копия (22) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (23) Прочти!.txt => C:\WINDOWS\pss\Копия (23) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (24) Прочти!.txt => C:\WINDOWS\pss\Копия (24) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (25) Прочти!.txt => C:\WINDOWS\pss\Копия (25) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (26) Прочти!.txt => C:\WINDOWS\pss\Копия (26) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (27) Прочти!.txt => C:\WINDOWS\pss\Копия (27) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (28) Прочти!.txt => C:\WINDOWS\pss\Копия (28) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (29) Прочти!.txt => C:\WINDOWS\pss\Копия (29) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (3) Прочти!.txt => C:\WINDOWS\pss\Копия (3) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (30) Прочти!.txt => C:\WINDOWS\pss\Копия (30) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (31) Прочти!.txt => C:\WINDOWS\pss\Копия (31) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (32) Прочти!.txt => C:\WINDOWS\pss\Копия (32) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (33) Прочти!.txt => C:\WINDOWS\pss\Копия (33) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (4) Прочти!.txt => C:\WINDOWS\pss\Копия (4) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (5) Прочти!.txt => C:\WINDOWS\pss\Копия (5) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (6) Прочти!.txt => C:\WINDOWS\pss\Копия (6) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (7) Прочти!.txt => C:\WINDOWS\pss\Копия (7) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (8) Прочти!.txt => C:\WINDOWS\pss\Копия (8) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (9) Прочти!.txt => C:\WINDOWS\pss\Копия (9) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия Прочти!.txt => C:\WINDOWS\pss\Копия Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Прочти!.txt => C:\WINDOWS\pss\Прочти!.txtCommon Startup
MSCONFIG\startupreg: Wasppacer => [/CODE]
Сохраните (Ctrl+S) и закройте.
В FRST нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Перезагрузите систему.

Сообщите, что с проблемой.
15.07.2017, 21:24
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]