Printable View
При работе в интернете ноутбук постепенно начинает сильно нагреваться
Дело точно не в обслуживании, т.к проводилось недавно
В диспетчере задач нет подозрительных процессов
При отключении от интернета ноутбук перестаёт греться
Я уверен, что это вирус, пожалуйста, проверьте логи
Непосредственно перед обращением, проверил ноутбук в безопасном режиме с допуском сети с помощью AVZ. Программа показала подозрение на KeyLogger или троянскую Dll (логи прикрепил)
Заранее спасибо за помощь!
Уважаемый(ая) [B]Alex12321[/B], спасибо за обращение на наш форум!
Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O22 - Tasks: ACC - C:\Program Files (x86)\Acer\Care Center\LiveUpdateChecker.exe -auto (file missing)[/code]
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url] при подключенном интернете.
Фикс строки выполнил, файл приложил
Скопируйте скрипт из окна "код" ниже в буфер обмена:
[CODE];uVS v4.15.7v [http://dsrt.dyndns.org:8888]
;Target OS: NTv11.0
v400c
delref %SystemDrive%\PROGRAMDATA\WINDOWSTASK\AMD.EXE
delref %SystemDrive%\PROGRAMDATA\WINDOWSTASK\APPMODULE.EXE
delref %SystemRoot%\SYSWOW64\UNSECAPP.EXE
delref D:\AACT_FILES\KMSSS.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\ACER\CARE CENTER\ACCSVC.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY 21.17\SHELLEX.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY 21.17\X64\SHELLEX.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY 21.16\SHELLEX.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY 21.16\X64\SHELLEX.DLL
apply
deltmp[/CODE]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Скачайте, распакуйте и запустите [URL="https://inlnk.ru/ZZNRdX"]утилиту AV block remove[/URL], следуйте инструкциям. Если не запустится - переименуйте файл, переместите в любую папку, кроме рабочего стола и загрузок. Не поможет - запустите из безопасного режима с поддержкой сети.
Файл [B]AV_block_remove_дата_время.log[/B] из папки с программы прикрепите к своему сообщению.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B].
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Извините, сначала запустил UVS не от имени администратора и выполнил скрипт. Позже понял оплошность и выполнил ещё раз от имени администратора. Поэтому прикрепляю 2 лога UVS
Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
HKU\S-1-5-21-707104523-1452970364-3367349302-1001\...\Policies\Explorer: []
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
2024-05-03 19:49 C:\Program Files\ReasonLabs
2024-05-03 19:49 C:\Program Files (x86)\Wise
CustomCLSID: HKU\S-1-5-21-707104523-1452970364-3367349302-1001_Classes\CLSID\{1092D759-338E-4473-B429-75C50C61BC38}\InprocServer32 -> C:\Users\Balan\AppData\Roaming\D5 Render\framework\d5a_thumbnail_provider.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-707104523-1452970364-3367349302-1001_Classes\CLSID\{169B5B8E-E315-41C7-9574-66FC7E530D10}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2023\acad.exe /Automation => Нет файла
CustomCLSID: HKU\S-1-5-21-707104523-1452970364-3367349302-1001_Classes\CLSID\{345D3165-3889-4694-AB75-A91A27B217E8}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2023\acad.exe => Нет файла
CustomCLSID: HKU\S-1-5-21-707104523-1452970364-3367349302-1001_Classes\CLSID\{8B4929F8-076F-4AEC-AFEE-8928747B7AE3}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2023\acad.exe /Automation => Нет файла
CustomCLSID: HKU\S-1-5-21-707104523-1452970364-3367349302-1001_Classes\CLSID\{AA46BA8A-9825-40FD-8493-0BA3C4D5CEB5}\localserver32 -> C:\Program Files\Autodesk\AutoCAD 2023\acad.exe /Automation => Нет файла
CustomCLSID: HKU\S-1-5-21-707104523-1452970364-3367349302-1001_Classes\CLSID\{E2C40589-DE61-11ce-BAE0-0020AF6D7005}\InprocServer32 -> C:\Program Files\Autodesk\AutoCAD 2023\en-US\acadficn.dll => Нет файла
AlternateDataStreams: C:\ProgramData\TEMP:1CE11B51 [110]
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
StartBatch:
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен.
Сообщите, что с проблемой. Видны были следы майнера, но на время обращения его уже не было.
Ноутбук по прежнему нагревается и шумит, но уже не так сильно
Сделайте ещё одно исправление в FRST64.EXE:[CODE]Start::
CreateRestorePoint:
CloseProcesses:
StartPowerShell:
Remove-MpPreference -ExclusionPath "C:\Windows\SysWow64\unsecapp.exe"
Remove-MpPreference -ExclusionPath "C:\Program Files\RDP Wrapper"
Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AMD.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData"
Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\audiodg.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData\ReaItekHD\taskhostw.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData\ReaItekHD\taskhost.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AppModule.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData\Windows Tasks Service\winserv.exe"
EndPowerShell:
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
End::[/CODE]Компьютер будет перезагружен.
Новый Fixlog.txt приложите.
Готово
Порядок.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Хотя... Сделайте ещё проверку с помощью [URL="https://www.kaspersky.ru/downloads/thank-you/free-virus-removal-tool"]KVRT[/URL]. Прикрепите упакованными в архив файлы отчёта report_<дата>_*.klr.enc1 из папки C:\KVRT2020_Data.
Вот, готово! Ноутбук перестал нагреваться и шуметь, спасибо! Я так понимаю, причиной был майнер?
Порядок, только карантин AVbr найден.
На этом заканчиваем.