Вероятность вируса в Uefi..

Printable View

02.03.2023, 20:15
artur2646

Вложений: 1

Вероятность вируса в Uefi..

[COLOR=#000000][FONT=verdana]Добрый день. Было замечено, что периодически у ноутбука большое потребление трафика, которое не отображается в системе, так же как и процессы которые время от времени снижают скорость интернета от 270 мб/с до +-30мб/с, при том что рядом вся техника стабильно показывает скорость +- 200-270 мб/с[/FONT][/COLOR]

[COLOR=#000000][FONT=verdana]Так же в диспетчере например сейчас после 8й по счету перестановки windows 10 отображается 86 процессов svchost.[/FONT][/COLOR]
[COLOR=#000000][FONT=verdana]При сканировании стандартным защитником вирус не находятся. При сканировании при запуске, сканирование доходит до 92% и заканчивается, результаты сканирования не фиксируются в защитнике, как будто и не был запущен, отображается информация о последнем быстром сканировании.[/FONT][/COLOR]

[COLOR=#000000][FONT=verdana]При сканировании Eset было сообщение о "[/FONT][/COLOR][B]модифицированный efi/computrace.a".

[/B]вЂ‹При рабочем антивирусе ZoneAlarm, Chrome бесконечно пытается запустить svchost.

Файл Hosts был модифицирован.

Это то, что вспомнил.

Помогите пожалуйста
02.03.2023, 20:16
Info_bot

Уважаемый(ая) [B]artur2646[/B], спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
02.03.2023, 20:37
Vvvyg

Это не вирус, это [URL="https://habr.com/ru/post/482870/"]Computrace[/URL]. Если в биосе отключить нельзя, бороться почти бесполезно.
02.03.2023, 22:53
artur2646

на счет этого файла понял, читал об этом, спасибо

но смущает постоянные скачки скорости интернета именно на этом компьютере, и под сотню процессов svchost в диспетчере..
03.03.2023, 06:59
Vvvyg

По логам всё чисто. Можно ещё проверку сделать.

Сделайте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]Malwarebytes AdwCleaner[/URL].
03.03.2023, 13:30
artur2646

Понял, тогда большое спасибо, извините за ложную тему,сейчас сделаю эту проверку, так как после удаления антивируса eset я оставил только стандартный, и он только что при сканировании пожаловался что есть новые папки исключения, которые я не могу удалить и их достаточно много
03.03.2023, 13:49
Vvvyg

Тогда сразу ещё такой лог.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B].

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
03.03.2023, 14:24
artur2646

Вложений: 3

Сделал.
Adwscanner запускал на протяжении двух дней, все логи в архиве.
Так же в исключениях сидят процессы, приложил скриншот, так как не знаю видно ли их будет в логах. Спасибо.
[ATTACH=CONFIG]688165[/ATTACH]
03.03.2023, 16:18
Vvvyg

Вы самостоятельно политиками какие-то ограничения, настройки выставляли? Не касаемо Защитника, там много наворочено.

И некорректно удалены множество антивирусов - ZoneAlarm, Spybot - Search and Destroy, 360 Total Security. Ещё и от Касперского следы. Как удаляли? Надо только штатным деинсталлятором, через установку и удаление программ.
Будем чистить, жду ответа по политикам.
04.03.2023, 17:01
artur2646

нет, никакие политики не выставлял и не настраивал, антивирусы удалял через ccleaner
Касперского не было, даже не скачивал
На счет папок и процессов в исключениях защитника, вычитал, что вроде все это относится к "защитнику HP", HP Wolf security
04.03.2023, 20:00
Vvvyg

[QUOTE=artur2646;1527224]антивирусы удалял через ccleaner[/QUOTE]Не надо так делать, самозащита антивирусов блокирует многое, часть драйверов остаются.

[QUOTE=artur2646;1527224]На счет папок и процессов в исключениях защитника, вычитал, что вроде все это относится к "защитнику HP", HP Wolf security[/QUOTE]Проверим.

Выполните дальнейшие действия, загрузив систему в [URL="https://remontka.pro/windows-10-safe-mode/"]безопасном режиме[/URL].

Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
GroupPolicy: Ограничение - Chrome <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
Task: {E7F5DCFF-4FE5-4FB7-8630-5D8AFCE26552} - System32\Tasks\AnVir Task Manager => C:\Program Files (x86)\AnVir Task Manager\anvir.exe Minimized (Нет файла)
CHR HKU\S-1-5-21-2666917617-146015995-3289271839-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fhkbfkkohcdgpckffakhbllifkakihmh]
AV: Spybot - Search and Destroy (Disabled - Out of date) {F77C7796-45C4-531E-0DAE-B4A8229B11C8}
AV: 360 Total Security (Enabled - Up to date) {FFDC234A-CE9B-08F9-406B-F876951CE066}
AV: ZoneAlarm Free Firewall Antivirus (Disabled - Up to date) {5E1A3CFB-A963-5D99-A23F-7BA03B432F37}
FW: ZoneAlarm Free Firewall Firewall (Disabled) {6621BDDE-E30C-5CC1-8960-D295C590684C}
R1 klbackupdisk; C:\WINDOWS\system32\DRIVERS\klbackupdisk.sys [111064 2022-08-22] (Microsoft Windows Hardware Compatibility Publisher -> AO Kaspersky Lab)
R1 klbackupflt; C:\WINDOWS\System32\DRIVERS\klbackupflt.sys [212464 2022-08-22] (Microsoft Windows Hardware Compatibility Publisher -> AO Kaspersky Lab)
S0 klelam; C:\WINDOWS\System32\DRIVERS\klelam.sys [41656 2022-08-22] (Microsoft Windows Early Launch Anti-malware Publisher -> AO Kaspersky Lab)
R1 klflt; C:\WINDOWS\system32\DRIVERS\klflt.sys [529896 2022-08-22] (Microsoft Windows Hardware Compatibility Publisher -> AO Kaspersky Lab)
R1 klgse; C:\WINDOWS\System32\DRIVERS\klgse.sys [657696 2022-08-22] (Kaspersky Lab JSC -> AO Kaspersky Lab)
R1 klhk; C:\WINDOWS\system32\DRIVERS\klhk.sys [1447712 2022-08-22] (Kaspersky Lab JSC -> AO Kaspersky Lab)
R1 klifsdk; C:\WINDOWS\System32\DRIVERS\klifsdk.sys [1041544 2022-08-22] (Microsoft Windows Hardware Compatibility Publisher -> AO Kaspersky Lab)
R0 klupd_klifsdk_arkmon; C:\WINDOWS\System32\Drivers\klupd_klifsdk_arkmon.sys [382304 2023-03-02] (Microsoft Windows Hardware Compatibility Publisher -> AO Kaspersky Lab)
S3 klupd_klifsdk_klark; C:\WINDOWS\System32\Drivers\klupd_klifsdk_klark.sys [359976 2023-03-02] (Microsoft Windows Hardware Compatibility Publisher -> AO Kaspersky Lab)
R0 klupd_klifsdk_klbg; C:\WINDOWS\System32\Drivers\klupd_klifsdk_klbg.sys [190048 2023-03-02] (Microsoft Windows Hardware Compatibility Publisher -> AO Kaspersky Lab)
S3 klupd_klifsdk_mark; C:\WINDOWS\System32\Drivers\klupd_klifsdk_mark.sys [270672 2023-03-02] (Microsoft Windows Hardware Compatibility Publisher -> AO Kaspersky Lab)
R1 klwtp; C:\WINDOWS\system32\DRIVERS\klwtp.sys [326112 2022-08-22] (Microsoft Windows Hardware Compatibility Publisher -> AO Kaspersky Lab)
C:\WINDOWS\system32\DRIVERS\klbackupdisk.sys
C:\WINDOWS\System32\DRIVERS\klbackupflt.sys
C:\WINDOWS\System32\DRIVERS\klelam.sys
C:\WINDOWS\system32\DRIVERS\klflt.sys
C:\WINDOWS\System32\DRIVERS\klgse.sys
C:\WINDOWS\system32\DRIVERS\klhk.sys
C:\WINDOWS\System32\DRIVERS\klifsdk.sys
C:\WINDOWS\System32\Drivers\klupd_klifsdk_arkmon.sys
C:\WINDOWS\System32\Drivers\klupd_klifsdk_klark.sys
C:\WINDOWS\System32\Drivers\klupd_klifsdk_klbg.sys
C:\WINDOWS\System32\Drivers\klupd_klifsdk_mark.sys
C:\WINDOWS\system32\DRIVERS\klwtp.sys
2023-03-02 14:57 - 2023-03-03 11:28 - 000000000 ____D C:\Program Files (x86)\AnVir Task Manager
2023-03-02 14:57 - 2023-03-02 21:02 - 000000000 ____D C:\Users\Artur\AppData\Local\AnVir
2023-03-02 11:45 - 2023-03-02 12:49 - 000000000 ____D C:\ProgramData\F-Secure
2023-03-02 11:45 - 2023-03-02 12:06 - 000000000 ____D C:\Users\Artur\AppData\Local\F-Secure
2023-03-02 11:45 - 2023-03-02 11:45 - 000000000 ____D C:\Program Files (x86)\F-Secure
2023-03-02 11:37 - 2023-02-28 03:43 - 000092896 _____ (360.cn) C:\WINDOWS\system32\Drivers\360disproc64.sys
2023-03-02 11:28 - 2023-03-02 11:28 - 000000000 ____D C:\WINDOWS\Tasks\360Disabled
2023-03-02 11:17 - 2023-03-02 11:39 - 000000000 ____D C:\ProgramData\360Quarant
2023-03-02 11:14 - 2023-03-02 11:39 - 000000000 ____D C:\Users\Artur\AppData\Roaming\360DesktopLite
2023-03-02 11:12 - 2023-03-02 14:52 - 000000000 ____D C:\Program Files (x86)\360
S3 disproc; C:\WINDOWS\System32\drivers\360disproc64.sys [92896 2023-02-28] (Beijing Qihu Technology Co., Ltd. -> 360.cn)
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{3BECA555-FECE-4926-BC08-FB537B22D486}
ContextMenuHandlers1: [SDECon32] -> {44176360-2BBF-4EC1-93CE-384B8681A0BC} => -> Нет файла
ContextMenuHandlers1: [SDECon64] -> {44176360-2BBF-4EC1-93CE-384B8681A0BC} => -> Нет файла
ContextMenuHandlers1: [ZLAVShExt] -> {D9872D13-7651-4471-9EEE-F0A00218BEBB} => C:\Program Files (x86)\CheckPoint\ZoneAlarm\zlavscan.dll -> Нет файла
ContextMenuHandlers2: [SDECon32] -> {44176360-2BBF-4EC1-93CE-384B8681A0BC} => -> Нет файла
ContextMenuHandlers2: [SDECon64] -> {44176360-2BBF-4EC1-93CE-384B8681A0BC} => -> Нет файла
ContextMenuHandlers6: [SDECon32] -> {44176360-2BBF-4EC1-93CE-384B8681A0BC} => -> Нет файла
ContextMenuHandlers6: [SDECon64] -> {44176360-2BBF-4EC1-93CE-384B8681A0BC} => -> Нет файла
ContextMenuHandlers6: [ZLAVShExt] -> {D9872D13-7651-4471-9EEE-F0A00218BEBB} => C:\Program Files (x86)\CheckPoint\ZoneAlarm\zlavscan.dll -> Нет файла
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
StartBatch:
del /s /q C:\Windows\SoftwareDistribution\download\*.*
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
del /s /q C:\Windows\Temp\*.*
del /s /q "%userprofile%\AppData\Local\temp\*.*"
sfc /scannow
endbatch:
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и [B]подождите[/B]. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Упакуйте его в архив и прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
04.03.2023, 23:36
artur2646

Вложений: 1

Понял, спасибо, буду знать

Все сделал
05.03.2023, 13:38
Vvvyg

Всё почистили успешно.

Запустите AdwCleaner, меню Параметры - Удалить AdwCleaner (в самом низу) - выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

На этом всё.
05.03.2023, 15:41
artur2646

Огромнейшее вам спасибо!!