Майнер svchost.exe.exe

Printable View

09.10.2017, 19:13
TakahasiSame

Вложений: 1

Майнер svchost.exe.exe

[COLOR=#333333]Здравствуйте. Недавно начал замечать подлагивание работы ноута. После визуального осмотра процессов был замечен svchost.exe.exe, который стабильно "ел" 45-50% мощности процессора. Живет эта гадость в закрытой папке Microsoft, которую удалось расковырять и даже удалить сам заклятый svchost.exe.exe. Но после ребута системы все снова вернулось на свои места. Прошу помощи в борьбе с этой гидрой.[/COLOR]
09.10.2017, 19:15
Info_bot

Уважаемый(ая) [B]TakahasiSame[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
11.10.2017, 22:40
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('C:\Program Files\UBar\ubar.exe');
TerminateProcessByName('c:\windows\microsoft\svchost.exe');
TerminateProcessByName('C:\Windows\Microsoft\svchost.exe.exe');
TerminateProcessByName('C:\Windows\System32\Ea3Host.exe');
StopService('Ea3Host');
StopService('SvcHost Service Host');
QuarantineFile('C:\Program Files\UBar\ubar.exe', '');
QuarantineFile('C:\Program Files\UBar\UbarDriver.sys', '');
QuarantineFile('C:\Users\Same\AppData\Local\Amigo\Application\amigo.exe', '');
QuarantineFile('C:\Users\Same\AppData\Local\Mail.Ru\GameCenter\[email protected]', '');
QuarantineFile('C:\Users\Same\AppData\Local\Mail.Ru\MailRuUpdater.exe', '');
QuarantineFile('C:\Users\Same\AppData\Roaming\curl\curl.exe', '');
QuarantineFile('C:\Users\Same\AppData\Roaming\curl\curl_7_54.exe', '');
QuarantineFile('C:\Users\Same\AppData\Roaming\lidnkghmpmbmkjalooojbaefceoolghb\ml.py', '');
QuarantineFile('C:\Users\Same\AppData\Roaming\lidnkghmpmbmkjalooojbaefceoolghb\python\pythonw.exe', '');
QuarantineFile('C:\Users\Same\AppData\Roaming\SETUPS~1\ml.py', '');
QuarantineFile('C:\Users\Same\AppData\Roaming\SETUPS~1\python\pythonw.exe', '');
QuarantineFile('C:\Users\Same\AppData\Roaming\setupsk\ml.py', '');
QuarantineFile('C:\Users\Same\AppData\Roaming\setupsk\python\pythonw.exe', '');
QuarantineFile('c:\windows\microsoft\svchost.exe', '');
QuarantineFile('C:\Windows\Microsoft\svchost.exe.exe', '');
QuarantineFile('C:\Windows\System32\Ea3Host.exe', '');
DeleteFile('C:\Program Files\UBar\ubar.exe', '32');
DeleteFile('C:\Program Files\UBar\UbarDriver.sys', '32');
DeleteFile('C:\Users\Same\AppData\Local\Amigo\Application\amigo.exe', '32');
DeleteFile('C:\Users\Same\AppData\Local\Mail.Ru\GameCenter\[email protected]', '32');
DeleteFile('C:\Users\Same\AppData\Local\Mail.Ru\MailRuUpdater.exe', '32');
DeleteFile('C:\Users\Same\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk');
DeleteFile('C:\Users\Same\AppData\Local\yc\Application\yc.exe', '32');
DeleteFile('C:\Users\Same\AppData\Roaming\curl\curl.exe', '32');
DeleteFile('C:\Users\Same\AppData\Roaming\curl\curl_7_54.exe', '32');
DeleteFile('C:\Users\Same\AppData\Roaming\lidnkghmpmbmkjalooojbaefceoolghb\ml.py', '32');
DeleteFile('C:\Users\Same\AppData\Roaming\lidnkghmpmbmkjalooojbaefceoolghb\python\pythonw.exe', '32');
DeleteFile('C:\Users\Same\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk');
DeleteFile('C:\Users\Same\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Вoйти в Интeрнeт.lnk');
DeleteFile('C:\Users\Same\AppData\Roaming\SETUPS~1\ml.py', '32');
DeleteFile('C:\Users\Same\AppData\Roaming\SETUPS~1\python\pythonw.exe', '32');
DeleteFile('C:\Users\Same\AppData\Roaming\setupsk\ml.py', '32');
DeleteFile('C:\Users\Same\AppData\Roaming\setupsk\python\pythonw.exe', '32');
DeleteFile('C:\Users\Same\Favorites\Links\Интернет.url');
DeleteFile('c:\windows\microsoft\svchost.exe', '32');
DeleteFile('C:\Windows\Microsoft\svchost.exe.exe', '32');
DeleteFile('C:\Windows\System32\Ea3Host.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "curl" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "curls" /F', 0, 15000, true);
DeleteService('Ea3Host');
DeleteService('SvcHost Service Host');
DeleteService('UbarCalloutDriver');
DeleteFileMask('c:\program files\ubar', '*', true);
DeleteFileMask('c:\users\same\appdata\local\amigo', '*', true);
DeleteFileMask('c:\users\same\appdata\local\mail.ru', '*', true);
DeleteFileMask('c:\users\same\appdata\local\yc', '*', true);
DeleteFileMask('c:\users\same\appdata\roaming\curl', '*', true);
DeleteFileMask('c:\users\same\appdata\roaming\lidnkghmpmbmkjalooojbaefceoolghb', '*', true);
DeleteFileMask('c:\users\same\appdata\roaming\setups~1', '*', true);
DeleteFileMask('c:\users\same\appdata\roaming\setupsk', '*', true);
DeleteDirectory('c:\program files\ubar');
DeleteDirectory('c:\users\same\appdata\local\amigo');
DeleteDirectory('c:\users\same\appdata\local\mail.ru');
DeleteDirectory('c:\users\same\appdata\local\yc');
DeleteDirectory('c:\users\same\appdata\roaming\curl');
DeleteDirectory('c:\users\same\appdata\roaming\lidnkghmpmbmkjalooojbaefceoolghb');
DeleteDirectory('c:\users\same\appdata\roaming\setups~1');
DeleteDirectory('c:\users\same\appdata\roaming\setupsk');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\GameCenterMailRu', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\gxshlmrxax', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\lidnkghmpmbmkjalooojbaefceoolghb', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MailRuUpdater', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\setupsk', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\setupsk_upd', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ubidugbnjv', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\xivihsjxbo', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ycAutoLaunch_29136A8B22622C55B08230F521C13279', 'command');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Рекомендую удалить SpyHanter 4, в том, что он бесполезен, думаю, уже убедились.
Сделайте новый лог Autologger.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]Malwarebytes AdwCleaner[/URL].
11.10.2017, 23:22
TakahasiSame

Вложений: 2

Архив карантина не удается загрузить,т.к. он превышает предельно допустимый размер.
11.10.2017, 23:27
mike 1

[QUOTE]Архив карантина не удается загрузить,т.к. он превышает предельно допустимый размер.[/QUOTE]
Просто читать нужно внимательней что Вам пишут и тогда все загрузится.
[QUOTE=Vvvyg]В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.[/QUOTE]
12.10.2017, 06:59
Vvvyg

Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/url] (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]O4 - MSConfig\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Zaxar Games Browser.lnk - C:\Program Files (x86)\Zaxar\ZaxarLoader.exe /verysilent (2017/07/30) (file missing)
O4 - MSConfig\startupreg: [GameCenterMailRu] (no file) (HKCU) (2017/07/30)
O4 - MSConfig\startupreg: [MailRuUpdater] (no file) (HKCU) (2017/07/30)
O4 - MSConfig\startupreg: [amigo] (no file) (HKCU) (2017/09/08)
O4 - MSConfig\startupreg: [gxshlmrxax] C:\Windows\explorer.exe "http://yabrecher.ru/?utm_source=uoua03&utm_content=591dc289831cf9a8eb8f31244d26db5d&utm_term=6FCCA5AA453F770BA9B0FB92F5B19597&utm_d=20170730" (HKCU) (2017/07/31)
O4 - MSConfig\startupreg: [lidnkghmpmbmkjalooojbaefceoolghb] (no file) (HKCU) (2017/08/12)
O4 - MSConfig\startupreg: [setupsk] (no file) (HKCU) (2017/07/31)
O4 - MSConfig\startupreg: [setupsk_upd] (no file) (HKCU) (2017/08/14)
O4 - MSConfig\startupreg: [ubidugbnjv] C:\Windows\explorer.exe "http://granena.ru/?utm_source=uoua03n&utm_content=e739009bccd5f1e6d71a91bff5994529&utm_term=6FCCA5AA453F770BA9B0FB92F5B19597&utm_d=20170730" (HKCU) (2017/08/14)
O4 - MSConfig\startupreg: [xivihsjxbo] C:\Windows\explorer.exe "http://gacraw.ru/?utm_source=uoua03&utm_content=bebcbcefdf7465f11565718ba452044c&utm_term=6FCCA5AA453F770BA9B0FB92F5B19597&utm_d=20170730" (HKCU) (2017/07/30)
O4 - MSConfig\startupreg: [ycAutoLaunch_29136A8B22622C55B08230F521C13279] (no file) (HKCU) (2017/07/30)
O17 - HKLM\System\CSS\Services\Tcpip\..\{D944F75A-98C0-46BB-BBFF-C3FC4FCAB096}: NameServer = 81.171.10.42
O17 - HKLM\System\CSS\Services\Tcpip\..\{D944F75A-98C0-46BB-BBFF-C3FC4FCAB096}: NameServer = 82.202.226.203
O17 - HKLM\System\CSS\Services\Tcpip\..\{D944F75A-98C0-46BB-BBFF-C3FC4FCAB096}: NameServer = 94.130.44.229
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{D944F75A-98C0-46BB-BBFF-C3FC4FCAB096}: NameServer = 81.171.10.42
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{D944F75A-98C0-46BB-BBFF-C3FC4FCAB096}: NameServer = 82.202.226.203
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{D944F75A-98C0-46BB-BBFF-C3FC4FCAB096}: NameServer = 94.130.44.229
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{D944F75A-98C0-46BB-BBFF-C3FC4FCAB096}: NameServer = 81.171.10.42
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{D944F75A-98C0-46BB-BBFF-C3FC4FCAB096}: NameServer = 82.202.226.203
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{D944F75A-98C0-46BB-BBFF-C3FC4FCAB096}: NameServer = 94.130.44.229
O22 - Task (Ready): SpyHunter4Startup - C:\Program Files\SpyHunter\SpyHunter4.exe (file missing)[/code]
Запустите повторно [B]Malwarebytes AdwCleaner [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Сканировать[/B] (Scan).
Установите в пункте меню "Настройки" (Settings) дополнительно к установленным по умолчанию галочку "[B]Сброс политик Chrome[/B]".
Затем нажмите [B]Очистить[/B] ([B]Cleaning[/B]) и по окончании удаления перезагрузите систему по требованию программы.

После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.