Notepad.exe грузит процессор, не виден через task manager [UDS:DangerousObject.Multi.Generic]

Добрый день!

Программа notepad.exe грузит процессор на 50%. Когда включаешь стандартный task manager, она перестаёт работать и нагрузка пропадает. Но через другие менеджеры она видна.

[ATTACH=CONFIG]678632[/ATTACH]

На скриншоте видно дерево программ. Их параметры:
C:\Windows\11513323\sysskck.exe (папка пуста, она сама невидима).
C:\Users\Qiao\AppData\Local\Temp\12628.exe (вместо неё уже с другими цифарми)
"C:\Windows\notepad.exe" -c "C:\ProgramData\IlKTmhStyg\cfg" ([URL="https://olsf.ru/tmp/190722/IlKTmhStyg.7z"]содержание папки IlKTmhStyg[/URL] (1.5 mb))

На скриншотах содержание папок.
[ATTACH=CONFIG]678633[/ATTACH]
[ATTACH=CONFIG]678634[/ATTACH]

В автозагурзку добавляется программа (скриншот). Путь file:///C:\ProgramData\IlKTmhStyg\sysdrv32.exe (выше она в архиве)
[ATTACH=CONFIG]678635[/ATTACH]

Удаление всего не помогает - после включения системы всё возвращается.

Заразился, скорее всего, через флешку. Принесли проблемную, я её вставил, там все данные были в какой-то странной папке, я туда зашёл, скопировал, отформатировал флешку и скопировал назад. И тут же начались эти проблемы у меня на компе.

Логи делал после отключения этих программ. Система китайская, кое где иероглифы, в т.ч. поломанные.

Благодарен за возможную помощь!

Уважаемый(ая) [B]Qiao[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:

[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Windows\260164977\syssejc.exe', '');
DeleteFile('C:\Windows\260164977\syssejc.exe', '32');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Microsoft Windows Driver');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Microsoft Windows Driver');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

Компьютер [U]перезагрузится[/U].



Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.




Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL]. ([COLOR="RoyalBlue"]CollectionLog[/COLOR])

Карантин прикреплён.

После перезагрузки notepad.exe опять появился.

Если его убивать, то он сразу восстанавливается. Если убить верхний процесс, то помогает до перезагрузки (выхода из сна тоже восстанавилвает).

[quote="Sandor;1502603"]Сделайте повторные логи по правилам. (CollectionLog)[/quote]
Жду.

Добавил выше, с подписью спутал.

[URL=http://virusinfo.info/showthread.php?t=4491]"Пофиксите" в HijackThis[/URL]:
[CODE]
O22 - Task (.job): (Ready) At1.job - C:\Windows\SysWOW64\iscsicppl.exe C:\Windows\SysWOW64\AudioSess.dll
[/CODE]
Перезагрузите компьютер вручную.

Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector]эту[/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php]данную[/url] форму напишите в своём в сообщении здесь.

Если проблема сохраняется,
[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]

Проблема после перезагрузки не наблюдается. Я также удалил "IlKTmhStyg\cfg" из автоазгрузки (при первой ничего не трогал).
Карантин загружен (virusinfo_auto_Q***-PC 13мб)

Если эта же проблема возникнет, отпишусь.

Спасибо за помощь!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

А что это было, майнер? Не могу понять при чём тут блокнот.

По терминологии ЛК - [code]UDS:DangerousObject.Multi.Generic[/code], маскируется под блокнот.

В завершение:
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL] при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[URL="http://virusinfo.info/showthread.php?t=121902"][b]Советы и рекомендации после лечения компьютера.[/b][/URL]

Спасибо, вроде ничего нет.

В AVZ, кстати, в окошке скрипта русский текст корёжится.

Вероятно потому, что запускали прямо из архива. Попробуйте сначала распаковать и запустить.

Про какой архив речь?
Если скопировать код от сюда [url]http://dataforce.ru/~kad/ScanVuln.txt[/url] и запустить, то появляется ошибка

---------------------------
AVZ Antiviral Toolkit
---------------------------
'' is not a valid date and time.
---------------------------
确定
---------------------------

Скорее всего это связано с битыми символами из-за китайской винды и неюникодности программы. Я сменил язык для неюникодных программ на русский, но всё равно так.

Если выполнять тот скрипт, который вы дали выши, то пишет "Скрипт выполнен без ошибок", по адресу log\avz_log.txt файла нет.

[quote="Qiao;1502622"]Про какой архив речь?[/quote]
Про архив AVZ.zip
Программу нужно извлечь из архива и запускать AVZ.exe. Тогда не должно быть проблем с отображением символов в интерфейсе.

Тут всё нормально, архива даже нет, папку создал AutoLogger. На всякий случай сделал не со стола.

[ATTACH=CONFIG]678639[/ATTACH]


В интерфейсе проблем нет, т.к. когда китайская локаль всё на ангийском. А вот в скриптах с русским есть - при китайской бяка, а при русской локали вопросики. Когда вставляешь код. Писать на русском можно, но на выводе он всё равно не работает (на ShowMessage('фыва'); попробовал, выводит бяку).

А может не с кодом связано, программа упирается во что-то китайское внутри и обрывается.


Буду жить со старыми версиями
С лечением чужих завирусованных флешек нужно быть осторожней, коль сам с голой жопой :)

Теперь понятно)) Сообщим автору скрипта.

Проверить можно еще так. Скачайте и распакуйте [url=https://cloud.mail.ru/public/59oa/PwsHrS61P]этот файл[/url].

Запустите и дождитесь окончания сканирования. Результат процитируйте в следующем сообщении.

Спасибо, это сработало, хотя тоже была какая-то ошибка на очень ломаном китайском про несвязанность SecurityCheck.txt, но резльутат в клипбор сохранило

Системные обнволю.

[QUOTE]SecurityCheck by glax24 & Severnyj v.1.4.0.53 [27.10.17]
WebSite: [url]www.safezone.cc[/url]
DateLog: 22.07.2019 20:15:12
Path starting: C:\Users\Qiao\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
Log directory: C:\SecurityCheck\
IsAdmin: True
User: Qiao
VersionXML: 6.63is-06.07.2019
___________________________________________________________________________

Windows 7(6.1.7601) Service Pack 1 (x64) HomeBasic Lang: 0804
Installation date OS: 26.07.2012 04:34:07
LicenseStatus: Windows(R) 7, HomeBasic edition The machine is permanently activated.
Boot Mode: Normal
Default Browser: C:\Program Files\Mozilla Firefox\firefox.exe
SystemDrive: C: FS: [NTFS] Capacity: [120.6 Gb] Used: [76.1 Gb] Free: [44.5 Gb]
------------------------------- [ Windows ] -------------------------------
Internet Explorer 11.0.9600.18059 [color=red][b]Warning! [url=http://windows.microsoft.com/en-us/internet-explorer/ie-11-worldwide-languages]Download Update[/url][/b][/color]
[color=blue][b]Online installation. Last version available when Windows update is enabled throught the Internet.[/b][/color]
User Account Control [b]enabled[/b] (Level 3)
[color=red][b]Never check for updates[/b][/color]
Date install updates: 2015-11-02 13:48:10
Windows Update (wuauserv) - The service is running
Security Center (wscsvc) - The service has stopped
Remote Registry (RemoteRegistry) - The service has stopped
SSDP Discovery (SSDPSRV) - The service has stopped
Remote Desktop Services (TermService) - The service has stopped
Windows Remote Management (WS-Management) (WinRM) - The service has stopped
------------------------------- [ HotFix ] --------------------------------
HotFix KB3125574 [color=red][b]Warning! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB3125574]Download Update[/url][/b][/color]
HotFix KB4012212 [color=red][b]Warning! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212]Download Update[/url][/b][/color]
HotFix KB4499175 [color=red][b]Warning! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4499175]Download Update[/url][/b][/color]
HotFix KB4503292 [color=red][b]Warning! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4503292]Download Update[/url][/b][/color]
------------------------------ [ MS Office ] ------------------------------
Microsoft Office 2010 x86 v.14.0.6029.1000
Microsoft Office 2013 x86 v.15.0.4420.1017
---------------------------- [ Antivirus_WMI ] ----------------------------
Microsoft Security Essentials (disabled and up to date)
--------------------------- [ FirewallWindows ] ---------------------------
Windows Firewall (MpsSvc) - The service is running
--------------------------- [ AntiSpyware_WMI ] ---------------------------
Windows Defender (disabled and up to date)
Microsoft Security Essentials (disabled and up to date)
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Microsoft Security Essentials v.4.5.216.0 [color=red][b]Warning! [url=https://support.microsoft.com/en-us/help/14210/security-essentials-download]Download Update[/url][/b][/color]
-------------------------- [ SecurityUtilities ] --------------------------
HijackThis 2.0.2 v.2.0.2 [color=red][b]Warning! [url=https://github.com/dragokas/hijackthis/raw/devel/binary/HiJackThis.exe]Download Update[/url][/b][/color]
[color=blue][b]Uninstall old version and install new one.[/b][/color]
--------------------------- [ OtherUtilities ] ----------------------------
Microsoft .NET Framework 4.5.2 (CHS) v.4.5.51209 [color=red][b]Warning! [url=https://dotnet.microsoft.com/download/dotnet-framework-runtime/net47]Download Update[/url][/b][/color]
Microsoft .NET Framework 4.5.2 v.4.5.51209 [color=red][b]Warning! [url=https://dotnet.microsoft.com/download/dotnet-framework-runtime/net47]Download Update[/url][/b][/color]
Microsoft Silverlight v.5.1.30214.0 [color=red][b]Warning! [url=https://www.microsoft.com/getsilverlight/Get-Started/Install/Default.aspx]Download Update[/url][/b][/color]
Microsoft .NET Framework 4.5.2 (简体中文) v.4.5.51209 [color=red][b]Warning! [url=https://dotnet.microsoft.com/download/dotnet-framework-runtime/net47]Download Update[/url][/b][/color]
Foxit Reader v.5.4.3.920 [color=red][b]Warning! [url=https://www.foxitsoftware.com/pdf-reader/]Download Update[/url][/b][/color]
IrfanView (remove only) v.4.32
TrueCrypt v.7.1a [b][color=red]Warning! This software is no longer supported.[/color] Please use [url=https://veracrypt.codeplex.com/releases]VeraCrypt[/url].[/b]
VLC media player v.2.1.5 [color=red][b]Warning! [url=https://www.videolan.org/vlc/download-windows.html]Download Update[/url][/b][/color]
WinSCP 5.9.2 v.5.9.2 [color=red][b]Warning! [url=https://winscp.net/eng/download.php]Download Update[/url][/b][/color]
LibreOffice 5.3.2.2 v.5.3.2.2 [color=red][b]Warning! [url=https://www.libreoffice.org/download/download/]Download Update[/url][/b][/color]
Node.js v.6.9.4 [color=red][b]Warning! [url=https://nodejs.org/en/download/current/]Download Update[/url][/b][/color]
Microsoft .NET Framework 1.1 v.1.1.4322 [b][color=red]Warning! This software is no longer supported.[/color][/b]
-------------------------------- [ Arch ] ---------------------------------
7-Zip 9.20 (x64 edition) v.9.20.00.0 [b][color=red]Warning! This software is no longer supported.[/color] Uninstall old version, [url=https://www.7-zip.org/download.html]download[/url] and install new one.[/b]
WinRAR 4.10 (32-bit) v.4.10.0 [color=red][b]Warning! [url=https://www.rarlab.com/download.htm]Download Update[/url][/b][/color]
--------------------------------- [ IM ] ----------------------------------
Skype™ 7.40 v.7.40.104 [color=red][b]Warning! [url=https://go.skype.com/windows.desktop.download]Download Update[/url][/b][/color]
---------------------------- [ ProxyAndVPNs ] -----------------------------
OpenVPN 2.4.6-I602 v.2.4.6-I602 [color=red][b]Warning! [url=https://openvpn.net/index.php/open-source/downloads.html]Download Update[/url][/b][/color]
NordVPN v.6.19.6
OpenVPN 2.2.2 v.2.2.2 [color=red][b]Warning! [url=https://openvpn.net/index.php/open-source/downloads.html]Download Update[/url][/b][/color]
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.4.3.40298 [b][color=red]Warning! P2P-client[/color][/b].
Deluge 1.3.11 [b][color=red]Warning! P2P-client[/color][/b].
FlashGet3.7 v.3.7.0.1203 [b][color=red]Warning! P2P-client[/color][/b].
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 181 (64-bit) v.8.0.1810.13 [color=red][b]Warning! [url=http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html]Download Update[/url][/b][/color]
[color=blue][b]Uninstall old version and install new one (jre-8u211-windows-x64.exe).[/b][/color]
--------------------------- [ AppleProduction ] ---------------------------
QuickTime v.7.74.80.86 [b][color=red]Warning! This software is no longer supported.[/color][/b] Please [b][url=https://support.apple.com/HT205771]uninstall it[/url][/b] and use another software.
--------------------------- [ AdobeProduction ] ---------------------------
Adobe AIR v.3.5.0.1060 [color=red][b]Warning! [url=https://get.adobe.com/air/]Download Update[/url][/b][/color]
Adobe Flash Player 11 ActiveX v.11.9.900.170 [color=red][b]Warning! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player_ax.exe]Download Update[/url][/b][/color]
Adobe Flash Player 32 NPAPI v.32.0.0.101 [color=red][b]Warning! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player.exe]Download Update[/url][/b][/color]
ph v.1.0.0 [color=blue][b]<< Hidden[/b][/color] [b][color=red]Warning! This software is no longer supported.[/color][/b] Please uninstall it.
bl v.1.0.0 [color=blue][b]<< Hidden[/b][/color] [b][color=red]Warning! This software is no longer supported.[/color][/b] Please uninstall it.
Adobe Reader X (10.1.4) MUI v.10.1.4 [b][color=red]Warning! This software is no longer supported.[/color][/b] Please uninstall it and use [b][url=http://get.adobe.com/reader/otherversions]Adobe Acrobat Reader DC[/url][/b].
------------------------------- [ Browser ] -------------------------------
Mozilla Firefox 67.0 (x64 zh-CN) v.67.0 [color=red][b]Warning! [url=https://www.mozilla.org/en-US/firefox/all/]Download Update[/url][/b][/color]
Mozilla Firefox 68.0.1 (x64 en-US) v.68.0.1 [b][+][/b]
Google Chrome v.75.0.3770.142 [b][+][/b]
Opera 12.10 v.12.10.1652 [color=red][b]Warning! [url=http://ftp.opera.com/pub/opera/win/1218/int/Opera_1218_int_Setup.exe]Download Update[/url][/b][/color]
Safari v.5.34.57.2 [b][color=red]Warning! This software is no longer supported.[/color][/b]
----------------------------- [ EmailClient ] -----------------------------
Mozilla Thunderbird 17.0.3 (x86 en-US) v.17.0.3 [color=red][b]Warning! [url=https://www.mozilla.org/en-US/thunderbird/all/]Download Update[/url][/b][/color]
------------------ [ AntivirusFirewallProcessServices ] -------------------
Microsoft Antimalware Service (MsMpSvc) - The service is running
C:\Program Files\Microsoft Security Client\MsMpEng.exe v.4.5.216.0
Microsoft 网络检查 (NisSrv) - The service has stopped
Windows Defender (WinDefend) - The service has stopped
---------------------------- [ UnwantedApps ] -----------------------------
Unity Web Player [b]Warning![/b] Application is distributed through the partnership programs and bundle assemblies. Uninstallation recommended. Possible you became a victim of fraud or social engineering.
Tencent QQMail Plugin [b]Warning![/b] Application is distributed through the partnership programs and bundle assemblies. Uninstallation recommended. Possible you became a victim of fraud or social engineering.
----------------------------- [ End of Log ] ------------------------------
[/QUOTE]

Указанное по возможности обновите. Особенно перечень хотфиксов.

Удачи!

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]1[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
[LIST=3D1][*] c:\windows\260164977\syssejc.exe - [B]UDS:DangerousObject.Multi=
=2EGeneric[/B][/LIST][/LIST]