Printable View
Добрый день.
Часто процесс System загружает процессор на 15% без использования в работе ноутбука, когда на нем не запущено никаких приложений и браузеров.
Dr.Web блокирует активность файла из папки Temp, который делает запросы в интернет. Запрос блокировал, файл удалял, но история продолжается каждый день. Отправил на Virustotal, там выдало сообщение, что это - Trojan.Diztakun.eab
Просьба помочь с данной проблемой.
Спасибо.
Уважаемый(ая) [B]bottka[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Сеть рабочая, есть другие компьютеры?
Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O22 - Task (.job): Восстановление сервиса обновлений Яндекс.Браузера.job - C:\Program Files (x86)\Yandex\YandexBrowser\22.9.1.1095\service_update.exe (file missing)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{5D109245-B76D-4071-8593-4E0A62836A31} - \Microsoft\Windows\SMB\UninstallSMB1ServerTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{6E87AF65-8536-46FF-8906-A7627B81A8B7} - \Microsoft\Windows\termsrv\RemoteFX\RemoteFXWarningTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{74F969C4-88BF-4CAD-A631-EEE7C6A6738F} - \Microsoft\Windows\termsrv\RemoteFX\RemoteFXvGPUDisableTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{B3FB313B-13FF-4224-B4F0-2C972B4F703C} - \Lenovo\Vantage\Lenovo.Vantage.ServiceMaintainance (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E179D655-7FE6-4C90-BDAD-BD065AB4D1FE} - \Microsoft\Windows\SMB\UninstallSMB1ClientTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{EB097344-4802-4DB0-9D64-9F1D5F7204D5} - \OneDrive Standalone Update Task-S-1-5-21-3683879562-3552233142-357686721-500 (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Lenovo\BatteryGauge (empty)
O22 - Tasks: (disabled) Восстановление сервиса обновлений Яндекс.Браузера - C:\Program Files (x86)\Yandex\YandexBrowser\22.9.1.1095\service_update.exe --repair (file missing)[/code]
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].
Добрый день.
Это подключение по Wi-Fi, есть множество других подключений к данной сети.
HijackThis - пофиксил указанные строки.
В приложении запрошенный лог.
Спасибо.
[url=https://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.81.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
cexec wevtutil.exe epl Security Security.evtx
cexec wevtutil.exe epl System system.evtx
cexec wevtutil.exe epl Application Application.evtx
cexec wevtutil.exe epl "Microsoft-Windows-Windows Defender/Operational" wd.evtx "/q:*[System [(EventID=1116)]]"
cexec pack\7za.exe a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=64m Events.7z *.evtx[/code]
В папке с UVS появится архив [B]Events.7z[/B], загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.
Добрый день.
Скрипт выполнен.
Ссылка на файлообменник с запрошенным архивом - [URL="https://disk.yandex.ru/d/QHQTYRnzuGi5Vw"]https://disk.yandex.ru/d/QHQTYRnzuGi5Vw[/URL]
Подозрительного не видно. Проблема повторяется?
Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].
Приложите этот файл к своему следующему сообщению.
Со вчерашнего дня не было информационных сообщений по поводу файла с папки Temp, который делает запросы в интернет.
По вопросу загрузки ноутбука процессом System - буду мониторить ситуацию. Чтобы сильно не нагружать процессор, я на время ограничивал его производительность, а то часто разгонял систему охлаждение ноутбука из-за этого. Сейчас вернул всё обратно - буду отслеживать динамику изменений.
Запрошенный файл во вложении.
Спасибо.
Добавлю комментарий, что ситуация с загрузкой процессора продолжается. Возможно, что уже проблема не с вирусами.
Я написал обращение к Вам после обнаружения зловреда через сервис- Virustotal.
В любом случае, огромное спасибо. Жду обратной связи, требуется ли ещё произвести обследования системы.
Хвосты от антивирусов остались, Kaspersky Security Cloud и Comodo, надо почистить.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B].
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Добрый день.
Запрошенные логи во вложении, два лога в архиве.
К сожалению, сегодня утром опять файл из папки Temp с расширением.exe выполнял запросы в интернет, о чем сообщил фаервол Dr.web.
Чисткой остатков от других антивирусов займусь.
Спасибо.
[QUOTE=bottka;1526393]К сожалению, сегодня утром опять файл из папки Temp с расширением.exe выполнял запросы в интернет, о чем сообщил фаервол Dr.web.[/QUOTE]
Есть возможность упаковать этот файл в архив с паролем, выложить в облако и сообщить ссылку и пароль [B][U]в личном сообщении[/U][/B]?
[QUOTE=bottka;1526393]Чисткой остатков от других антивирусов займусь.[/QUOTE]
Это сделаем в FRST, чуть позже.
Ответил в личном сообщении.
Выполнил указанные инструкции.
Вердикт: это не троян, детект только от двух не самых известных антивирусов, Dr. Web ругается не на сам файл, а на его попытку сделать запрос в интернет.
Я бы разрешил, это временный файл пытается обновить какую-то программу, скорее всего.
Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
2022-12-14 09:31 - 2021-12-21 16:05 - 003438921 _____ C:\WINDOWS\system32\DebugTrace.txt
AV: COMODO Antivirus (Disabled - Out of date) {05BC7AB5-FF0E-71EC-1054-15DA19B62DC7}
AV: Kaspersky Security Cloud (Enabled - Up to date) {4F76F112-43EB-40E8-11D8-F7BD1853EA23}
FW: Kaspersky Security Cloud (Disabled) {774D7037-0984-41B0-3A87-5E88E680AD58}
FW: COMODO Firewall (Disabled) {3D87FB90-B561-70B4-3B0B-BCEFE7656ABC}
StartBatch:
del /s /q C:\Windows\Temp\*.*
del /s /q "%userprofile%\AppData\Local\temp\*.*"
sfc /scannow
endbatch:
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Упакуйте его в архив и прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Добрый день.
Как будет следующий запрос этого файла - дам ему разрешение на доступ в интернет.
Выполнил указания. Лог приложил к сообщению.
Спасибо.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.
Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].
Приложите этот файл к своему следующему сообщению.
Выполнил указания выше.
Лог выполнения программы - во вложении сообщения.
Спасибо.
Обновите браузеры, недавно были закрыты серьёзные уязвимости:[QUOTE]Mozilla Firefox (x64 ru) v.98.0.2 [color=red][b]Внимание! [url=https://www.mozilla.org/ru/firefox/all/]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Справка - О Firefox!^[/b][/color]
Google Chrome v.105.0.5195.127 [color=red][b]Внимание! [url=https://www.google.ru/intl/ru/chrome/update/]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Справка - О браузере Google Chrome!^[/b][/color][/QUOTE]
В остальном - порядок.
Все рекомендации по обновлению будут выполнены.
Большое спасибо за помощь.