Printable View
Доброго времени суток. У меня есть проблема, и она заключается в следующем: notepad.exе грузит компьютер во время работы с AutoCAD 2015. Открываю "Диспетчер задач" 2-3 высвечивается и после исчезает(notepad.exe). Удалить не смог, т.к. запрашивает разрешение у TrustedInstaller. Что мне делать? Помогите, заранее спасибо!
Уважаемый(ая) [B]brain1337[/B], спасибо за обращение на наш форум!
Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
ESET Security отключен и не обновляется?
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('c:\299022109117837\lsass.exe');
TerminateProcessByName('c:\4044348826994\wininet.exe');
TerminateProcessByName('c:\programdata\cjtqpvheca\winmanager.exe');
QuarantineFile('c:\299022109117837\lsass.exe', '');
QuarantineFile('c:\4044348826994\wininet.exe', '');
QuarantineFile('c:\programdata\cjtqpvheca\winmanager.exe', '');
QuarantineFile('C:\Windows\77361542\sysilrg.exe', '');
QuarantineFileF('c:\299022109117837', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\4044348826994', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\programdata\cjtqpvheca', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
DeleteFile('c:\299022109117837\lsass.exe', '');
DeleteFile('c:\4044348826994\wininet.exe', '');
DeleteFile('C:\4044348826994\wininet.exe', '32');
DeleteFile('C:\4044348826994\wininet.exe', '64');
DeleteFile('c:\programdata\cjtqpvheca\winmanager.exe', '');
DeleteFile('C:\Users\Аскар\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\gCJCBpvUDZ.url', '64');
DeleteFile('C:\Windows\77361542\sysilrg.exe', '64');
DeleteFileMask('c:\299022109117837', '*', true);
DeleteFileMask('c:\4044348826994', '*', true);
DeleteFileMask('c:\programdata\cjtqpvheca', '*', true);
DeleteDirectory('c:\299022109117837');
DeleteDirectory('c:\4044348826994');
DeleteDirectory('c:\programdata\cjtqpvheca');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Host Process for Windows Services', '64');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Microsoft Windows Driver', 'command', '64');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Host Process for Windows Services', '32');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Autodesk Desktop App', 'x64');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\pac', 'x64');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
DeleteSchedulerTask('Microsoft\Windows Defender\MP Scheduled Scan');
DeleteSchedulerTask('Microsoft\Windows Defender\MpIdleTask');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 3, 3, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке [COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR] над над первым сообщением в теме.
Перетащите лог Check_Browsers_LNK.log из папки Autologger на [url=http://dragokas.com/tools/ClearLNK.zip]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].
ESET Security не обновлял.
[QUOTE=brain1337;1520067]ESET Security не обновлял.[/QUOTE]
Даже базы? Вирусы, которые удаляли скриптом AVZ он должен ловить.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B].
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Он у меня даже не включен(антивирус).
А зачем он тогда? :>
Меняйте все пароли, были зловреды семейства Trojan.Banker, могли увести.
Проблема решена?
Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-2895986232-2335085976-2758852547-1000\...\MountPoints2: {3dd33349-2f34-11e8-b563-96ae76e22207} - G:\Setup.exe
HKU\S-1-5-21-2895986232-2335085976-2758852547-1000\...\MountPoints2: {3dd33748-2f34-11e8-b563-dcfe07e089d3} - H:\Setup.exe
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
U3 aswbdisk; отсутствует ImagePath
2021-05-12 13:38 - 2021-05-12 13:38 - 000000000 ____H C:\Users\Аскар\AppData\Roaming\w4gw4g4wg.txt
2021-05-12 13:28 - 2021-05-12 13:28 - 000000000 ____H C:\Users\Аскар\AppData\Roaming\r7r7yr7fu.txt
2021-05-12 13:17 - 2021-05-12 13:17 - 000000000 ____H C:\Users\Аскар\AppData\Roaming\3f3f3f3f3f.txt
2021-05-11 18:47 - 2021-05-11 18:47 - 000000000 ____D C:\Users\Аскар\AppData\Local\Tempzxpsigne13fa436959c23ef
2021-05-11 18:47 - 2021-05-11 18:47 - 000000000 ____D C:\Users\Аскар\AppData\Local\Tempzxpsigncca4c2d59fda3bd1
2021-05-11 18:47 - 2021-05-11 18:47 - 000000000 ____D C:\Users\Аскар\AppData\Local\Tempzxpsigncc066c6c36bb0696
2021-05-11 18:47 - 2021-05-11 18:47 - 000000000 ____D C:\Users\Аскар\AppData\Local\Tempzxpsign7c500f00ec1c943f
Folder: C:\Users\Аскар\AppData\Local\TKHGKNXA
Folder: C:\4044348826994
Folder: C:\299022109117837
Folder: C:\16456209807704
Folder: C:\Windows\77361542
2021-05-08 08:44 - 2021-05-12 15:39 - 000000000 _RSHD C:\4044348826994
2021-05-03 00:17 - 2021-05-12 15:39 - 000000000 _RSHD C:\299022109117837
2021-05-02 19:39 - 2021-05-02 19:39 - 000000000 _RSHD C:\16456209807704
2021-05-02 15:49 - 2021-05-12 15:39 - 000000000 _RSHD C:\Windows\77361542
2021-04-30 10:56 - 2021-04-30 10:56 - 000000000 ____D C:\Users\Аскар\AppData\Local\Tempzxpsign6d95f17b89ef0ccb
2021-04-30 10:45 - 2021-04-30 10:45 - 000000000 ____D C:\Users\Аскар\AppData\Local\Tempzxpsigne85736e8d112a9e2
2021-04-30 10:45 - 2021-04-30 10:45 - 000000000 ____D C:\Users\Аскар\AppData\Local\Tempzxpsigne66dce11c2fd39ab
2021-04-30 10:45 - 2021-04-30 10:45 - 000000000 ____D C:\Users\Аскар\AppData\Local\Tempzxpsign62e878bb1aab9280
CustomCLSID: HKU\S-1-5-21-2895986232-2335085976-2758852547-1000_Classes\CLSID\{0D327DA6-B4DF-4842-B833-2CFF84F0948F}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2017\acad.exe /Automation => Нет файла
CustomCLSID: HKU\S-1-5-21-2895986232-2335085976-2758852547-1000_Classes\CLSID\{5370C727-1451-4700-A960-77630950AF6D}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2016\acad.exe /Automation => Нет файла
CustomCLSID: HKU\S-1-5-21-2895986232-2335085976-2758852547-1000_Classes\CLSID\{9AAF0EB6-42D8-46C1-A2EF-679511B37A0D}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2018\acad.exe /Automation => Нет файла
CustomCLSID: HKU\S-1-5-21-2895986232-2335085976-2758852547-1000_Classes\CLSID\{B6EB585B-B467-4E46-A9C7-48D7D6FD26CB}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2018\acad.exe => Нет файла
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Нет файла
FirewallRules: [{6A091BA3-86C8-4E53-A6E7-935B2BB1BD46}] => (Block) C:\Program Files\GRAPHISOFT\ARCHICAD 20\CineRender\CineRender 64bit.exe => Нет файла
FirewallRules: [{9C8F2B96-68D4-4199-8934-CD46189950CC}] => (Allow) C:\Program Files\GRAPHISOFT\ArchiCAD 18\ArchiCAD.exe => Нет файла
FirewallRules: [{3F2B9406-4927-4AA8-9766-9FD3AD19EB49}] => (Allow) C:\Program Files\GRAPHISOFT\ArchiCAD 18\ArchiCAD.exe => Нет файла
FirewallRules: [{2DB9EC36-24B6-488F-A15F-9BB92C495765}] => (Allow) C:\Program Files\GRAPHISOFT\ArchiCAD 18\CineRender\CineRender 64bit.exe => Нет файла
FirewallRules: [{C6A170B9-E784-4F90-B979-2EF774E07D6E}] => (Allow) C:\Program Files\GRAPHISOFT\ArchiCAD 18\CineRender\CineRender 64bit.exe => Нет файла
FirewallRules: [TCP Query User{321A614F-C08F-44C5-8228-B4C1D246384D}C:\program files\graphisoft\archicad 18\archicad.exe] => (Block) C:\program files\graphisoft\archicad 18\archicad.exe => Нет файла
FirewallRules: [UDP Query User{5D9FAAE7-586C-4426-9830-0F8F6C3FE4F8}C:\program files\graphisoft\archicad 18\archicad.exe] => (Block) C:\program files\graphisoft\archicad 18\archicad.exe => Нет файла
FirewallRules: [TCP Query User{5986AAFF-D6D2-414F-9B46-57174845140E}C:\program files\graphisoft\archicad 18\cinerender\cinerender 64bit.exe] => (Allow) C:\program files\graphisoft\archicad 18\cinerender\cinerender 64bit.exe => Нет файла
FirewallRules: [UDP Query User{00A18E41-E65E-4ECC-84F1-3D7F8067999E}C:\program files\graphisoft\archicad 18\cinerender\cinerender 64bit.exe] => (Allow) C:\program files\graphisoft\archicad 18\cinerender\cinerender 64bit.exe => Нет файла
FirewallRules: [{3EC6B53E-6E07-494C-A1E2-D383576A1E30}] => (Block) C:\Program Files\GRAPHISOFT\ARCHICAD 21\CineRender\CineRender 64bit.exe => Нет файла
FirewallRules: [{12ACEE80-D5E8-40FC-AB36-124004F9EBA4}] => (Allow) C:\Users\Аскар\AppData\Local\Programs\Opera\69.0.3686.77\opera.exe => Нет файла
StandardProfile\AuthorizedApplications: [C:\Windows\77361542\sysilrg.exe] => Enabled:Microsoft Windows Driver
StandardProfile\AuthorizedApplications: [C:\16456209807704\lsass.exe] => Enabled:Host Process for Windows Services
StandardProfile\AuthorizedApplications: [C:\299022109117837\lsass.exe] => Enabled:Host Process for Windows Services
StandardProfile\AuthorizedApplications: [C:\4044348826994\wininet.exe] => Enabled:Host Process for Windows Services
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].
Приложите этот файл к своему следующему сообщению.
Удалить ESET Security? Еще вопрос: Я скопировал Ваш код, но куда его вводить?
Или антивирус включен и обновляется, или он не нужен. Решать Вам.
Проблема решена? Повторно уточняю.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.
[QUOTE]Учетная запись гостя включена. Пароль не установлен.[/QUOTE]Отключите пользователя Гость.
[QUOTE]HotFix KB3125574 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB3125574]Скачать обновления[/url][/b][/color]
HotFix KB4012212 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212]Скачать обновления[/url][/b][/color]
HotFix KB4499175 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4499175]Скачать обновления[/url][/b][/color]
HotFix KB4474419 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4474419]Скачать обновления[/url][/b][/color]
HotFix KB4490628 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4490628]Скачать обновления[/url][/b][/color]
HotFix KB4539602 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4539602]Скачать обновления[/url][/b][/color][/QUOTE]Устанавливайте, это только критические хотфиксы, включая KB4012212, который закрывает опаснейшую уязвимость, используемую в т. ч. нашумевшими в 2017 году шифровальщики WannaCry и Petya/NotPetya, а также многими майнерами и троянами.
Систему крайне желательно обновить по полной, через автоматическое обновление, или с помощью [URL="https://blog.simplix.info/update7/"]Набора обновлений UpdatePack7R2 для Windows 7 SP1 и Server 2008 R2 SP1[/URL] - там есть критический фикс от уязвимости [URL="https://www.anti-malware.ru/news/2020-09-24-1447/33759"]Zerologon[/URL], который через автоматическое обновление для Windows 7 не распространяется.
Java 8 обязательно обновите до [URL="https://www.java.com/ru/download/"]текущего билда[/URL], у Вас устаревшая версия со множеством критических уязвимостей.
Да, проблема решена. Спасибо Вам большое! Хороший форум!