Printable View
Недавно некий процесс начал сильно грузить систему. Открываю диспетчер задач - он куда-то девается, скачал сторонний, отследил. Это оказался какой-то AudioModule.exe, являющийся подпроцессом conhost.exe. При открытия диспетчера задач он пропадает, после закрытия - появляется. Пытался закрыть его через сторонний, но он сразу же открывался. На графике загрузки цп показывает, что именно этот процесс грузит на 40-70%
Уважаемый(ая) [B]Алексей1233212[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('C:\ProgramData\System32\Logs\svchost.exe');
TerminateProcessByName('C:\ProgramData\WindowsTask\AudioModule.exe');
StopService('RManService');
QuarantineFile('C:\MSOСache\svchоst.exe', '');
QuarantineFile('C:\ProgramData\System32\Logs\svchost.exe', '');
QuarantineFile('c:\Programdata\Windows\rutserv.exe', '');
QuarantineFile('C:\ProgramData\WindowsTask\AudioModule.exe', '');
QuarantineFile('C:\Users\сомр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\08f4dc96bbb7af09d1a37fe35c75a42f.exe', '');
DeleteFile('C:\MSOСache\svchоst.exe', '32');
DeleteFile('C:\ProgramData\System32\Logs\svchost.exe', '32');
DeleteFile('c:\Programdata\Windows\rutserv.exe', '32');
DeleteFile('C:\ProgramData\WindowsTask\AudioModule.exe', '32');
DeleteFile('C:\Users\сомр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\08f4dc96bbb7af09d1a37fe35c75a42f.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\WindowsUpdate\ScheduledUpdate" /F', 0, 15000, true);
DeleteService('RManService');
DeleteFileMask('c:\programdata\system32', '*', true);
DeleteFileMask('c:\Programdata\Windows', '*', true);
DeleteFileMask('c:\programdata\windowstask', '*', true);
DeleteDirectory('c:\programdata\system32');
DeleteDirectory('c:\Programdata\Windows');
DeleteDirectory('c:\programdata\windowstask');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Microsоft Оffiсe');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(13);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Сделайте новый лог такой версией [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]Autologger[/URL].
Безумно благодарен, процесс пропал, цп больше не грузится.
Ещё не всё. В папке[CODE]C:\Program Files\RDP Wrapper[/CODE]ваше? Это для работы нескольких терминальных сессий в несерверных Windows, но может и для взлома использоваться. Установлено 7-го числа.
Выполните скрипт в AVZ, загрузив систему в безопасном режиме:[CODE]begin
DeleteFile('C:\MSOСache\svchоst.exe', '32');
DeleteFile('C:\Users\сомр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\08f4dc96bbb7af09d1a37fe35c75a42f.exe', '32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsоft Оffiсe');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Компьютер перезагрузится.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Все сделал, в безопасном режиме удалил папку "RPD wrapper", что-то еще?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Теперь порылся в C:\Program Files\ И нашел несколько папок, созданных того же числа, что и "rdp wrapper", которые не в состоянии удалить, требуются права администратора, через свойства - безопасность не позволяет дать себе права
Да, поимели систему конкретно, нужно зачистить следы и устранить дыры в безопасности.
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
Closeprocesses:
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Run: [Oперационная система Microsoft Windоws] => C:\MSOСache\svсhost.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Run: [Microsоft Оffiсe] => C:\MSOСache\svchоst.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer: [DisallowRun] 1
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [1] adwcleaner_7.0.4.0.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [2] avast_free_antivirus_setup_online.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [3] eav_trial_rus.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [4] eis_trial_rus.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [5] essf_trial_rus.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [6] hitmanpro_x64.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [7] mb3-setup-consumer-3.3.1.2183.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [8] mkhowpc1.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [9] ESETOnlineScanner_UKR.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [10] ESETOnlineScanner_RUS.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [11] HitmanPro.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [12] HitmanPro.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [13] 360TS_Setup_Mini.exe
HKU\S-1-5-21-2321178605-3507661427-2818791782-1000\...\Policies\Explorer\DisallowRun: [14] Cezurity_Scanner_Pro_Free.exe
Startup: C:\Users\сомр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\08f4dc96bbb7af09d1a37fe35c75a42f.exe [2017-12-22] ()
C:\Users\сомр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\08f4dc96bbb7af09d1a37fe35c75a42f.exe
GroupPolicy: Restriction <==== ATTENTION
GroupPolicy\User: Restriction <==== ATTENTION
CHR HKLM-x32\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
S3 TermService; %ProgramFiles%\RDP Wrapper\rdpwrap.dll [X]
Folder: C:\Windows\SysWOW64\xmr64
Folder: C:\Windows\hhsm
Folder: C:\Users\сомр\AppData\Roaming\kryptex
Folder: C:\Users\сомр\AppData\Roaming\coretempapp
Folder: C:\ProgramData\Cefunpacked
2018-02-07 20:44 - 2018-02-07 20:44 - 000000000 __SHD C:\ProgramData\{CB28D9D3-6B5D-4AFA-BA37-B4AFAABF70B8}
2018-02-07 20:44 - 2018-02-07 20:44 - 000000000 ____D C:\ProgramData\Cefunpacked
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\ProgramData\Norton
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\ProgramData\grizzly
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\ProgramData\ESET
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\ProgramData\Doctor Web
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\ProgramData\Cezurity
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\ProgramData\Avira
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\ProgramData\Avg
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\ProgramData\AVAST Software
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\ProgramData\360TotalSecurity
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\ProgramData\360safe
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\Program Files\McAfee.com
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\Program Files\McAfee
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\Program Files\ESET
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\Program Files\Cezurity
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\Program Files (x86)\Cezurity
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 __SHD C:\AdwCleaner
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 ____D C:\Program Files\SpyHunter
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 ____D C:\Program Files\Malwarebytes
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 ____D C:\Program Files\Enigma Software Group
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 ____D C:\Program Files\COMODO
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 ____D C:\Program Files\AVAST Software
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 ____D C:\Program Files (x86)\SpyHunter
2018-02-07 20:43 - 2018-02-07 20:43 - 000000000 ____D C:\Program Files (x86)\360
2018-02-07 20:42 - 2018-02-07 20:42 - 000000000 __SHD C:\ProgramData\System32
2018-02-07 20:42 - 2018-02-07 20:42 - 000000000 ____D C:\ProgramData\Install
2018-02-07 20:42 - 2018-02-07 20:42 - 000000000 ____D C:\rdp
2018-02-06 22:03 - 2018-02-07 20:44 - 000000000 __SHD C:\temp
2017-12-21 20:51 - 2017-12-21 21:25 - 000000000 _____ () C:\Users\сомр\AppData\Roaming\BGWorker.exe
Task: {5BFD9CCC-D2AA-43E8-9A0F-D31B9DB39057} - \PowerMonitor -> No File <==== ATTENTION
Task: {A8866675-DA44-405C-9484-52D909F3194E} - \wupdate -> No File <==== ATTENTION
CMD: sc config MpsSvc start=auto
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], в FRST нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].
Приложите этот файл к своему следующему сообщению.
Весь тот мусор с диска С удалился. Что-то еще?
Да вот не весь, один бэкдор остался. Потому что не выполнили:[QUOTE]При сохранении выберите кодировку Юникод![/QUOTE]Русские буквы в результате сохранились как [I]�����������[/I] и файлы и реестр частично не зачищены. Примените такой fixlist.txt из вложения:[ATTACH=CONFIG]669333[/ATTACH]
И прикрепите новый Fixlog.txt к сообщению.
Устанавливайте критические обновления по ссылкам:[QUOTE]HotFix KB3115858 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-013.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3140735 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-026.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3138910 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-027.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3138962 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-027.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3145739 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-039.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3146963 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-040.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3156013 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-055.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3156016 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-055.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3156019 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-055.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3155178 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-056.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3153171 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-061.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3170455 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-087.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3178034 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-097.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3185911 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-106.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3184122 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-116.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3192391 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-122.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3197867 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB3197867]Скачать обновления[/url][/b][/color]
HotFix KB3205394 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB3205394]Скачать обновления[/url][/b][/color]
HotFix KB4012212 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212]Скачать обновления[/url][/b][/color]
HotFix KB4019263 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4019263]Скачать обновления[/url][/b][/color]
HotFix KB4022722 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4022722]Скачать обновления[/url][/b][/color]
HotFix KB4015546 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4015546]Скачать обновления[/url][/b][/color]
HotFix KB4025337 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4025337]Скачать обновления[/url][/b][/color]
HotFix KB4034679 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4034679]Скачать обновления[/url][/b][/color]
HotFix KB4041678 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4041678]Скачать обновления[/url][/b][/color]
HotFix KB4056894 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056894]Скачать обновления[/url][/b][/color]
HotFix KB4056897 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056897]Скачать обновления[/url][/b][/color][/QUOTE]
Обновляйте Adobe Flash, через его уязвимости сейчас часто взламывают, может и ваш компьютер тоже:[QUOTE]Adobe Flash Player 13 ActiveX v.13.0.0.206 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player_ax.exe]Скачать обновления[/url][/b][/color]
Adobe Flash Player 25 PPAPI v.25.0.0.127 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player_ppapi.exe]Скачать обновления[/url][/b][/color][/QUOTE]
Флеш плеер обновил. Это все?
HotFix KB4012212 хотя бы установите, без него майнер или шифровальщик подцепите легко. А лучше все, чего бояться?
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\system32\logs\svchost.exe - [B]Trojan.Win64.Miner.nk[/B][*] c:\programdata\windows\rutserv.exe - [B]Backdoor.Win32.RMS.pn[/B] ( BitDefender: Trojan.GenericKD.3007448 )[*] c:\programdata\windowstask\audiomodule.exe - [B]HEUR:Trojan.Win32.Miner.gen[/B][/LIST][/LIST]