Процесс lsass.exe загружает процессор и резервирует много памяти

Добрый день!

Заметил странное использование физической оперативной памяти. Из установленных 8 ГБ в режиме без нагрузки система отъедает половину. При этом, если просуммировать объемы физической памяти, занимаемые приложениями, то 4 ГБ никак не получается. Запустил RAMMAP и увидел, что 2 с чем-то ГБ занимаются памятью AWE. При этом у меня нет никаких серверных приложений вроде SQL, которые могли бы эту память использовать. В безопасном режиме эта память не используется.
Далее, с помощью Process Explorer заметил, что lsass.exe резервирует 2.4 ГБ памяти (Private Bytes в ProcessExplorer), в безопасном режиме такого количества памяти не выделяется. Совершенно случайно заметил, что этот процесс загружает процессор, когда смотрел в системном мониторе график загрузки процессора. Дело в том, что при запуске Диспетчера задач или ProcessExplorer нагрузка сразу снижается до нулевой и никаких подозрений насчет lsass вроде не возникает. Но системный монитор все показывает верно, и даже снижение нагрузки от именно этого процесса при запуске диспетчера задач. Поэтому поведение этого файла мне кажется очень подозрительным, загрузка процессора от него около 50% (когда не запускается диспетчер задач). Сканировал компьютер уже несколькими утилитами, поудалял с их помощью много подозрительного, но ситуация не меняется. Похоже на какой-то хитрый руткит, но ничто его не берет.

Просьба изменить название темы на "Процесс lsass.exe загружает процессор и резервирует много памяти"

Уважаемый(ая) [B]Heavyguy[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O4 - MSConfig\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^SOLIDWORKS 2019 Быстрый запуск.lnk [backup] => C:\Windows\Installer\{F261BF5C-81C4-4E81-9ED6-D7EBFA2A9A5B}\NewShortcut2_87EDF6C81D0A4B7B84F42FE0C6A9D608.exe (2019/10/29) (file missing)
O4 - MSConfig\startupreg: ut [command] = C:\Users\Александр\AppData\Roaming\uTorrent\uTorrent.exe /MINIMIZED (HKCU) (2022/02/20) (file missing)
[/code]
Перетащите лог Check_Browsers_LNK.log из папки Autologger на [url=https://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

Приложите лог TDSSKiller C:\TDSSKiller.3.1.0.28_20.02.2022_16.53.47_log.txt

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].
Перед запуском UVS [B]не запускайте[/B] Диспетчер задач или ProcessExplorer.

Запрошенные логи во вложении

[URL="https://www.virustotal.com/gui/file/021287d5f39b31ba726d8180ac12a4421bac450a7737bcaf0f410d471f15c0c8/detection"]AdwCleaner левый[/URL] скачали, но не в нём дело, скорее всего.

Что-то есть нехорошее, TDSSKiller устарел и не видит, UVS только признаки определил, это не антируткит:[QUOTE]Splicing m3 detected: RegReplaceKeyW
Загружено реестров пользователей: 1
Построение списка процессов и модулей...
(!) Процесс нагружает CPU: C:\WINDOWS\SYSTEM32\LSASS.EXE
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [868], tid=3184
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [868], tid=5192
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [868], tid=5196
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [868], tid=5200
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [868], tid=5204
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [868], tid=5208
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [868], tid=5212
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [868], tid=5236 [suspended]
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [868], tid=5256 [suspended]
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [868], tid=5260 [suspended][/QUOTE]
Попробуйте пролечиться с помощью [URL="https://www.kaspersky.ru/downloads/thank-you/free-virus-removal-tool"]KVRT[/URL]. Прикрепите упакованными в архив файлы отчёта report_<дата>_*.klr.enc1 из папки C:\KVRT2020_Data.

KVRT ничего подозрительного не обнаружил

Попробуйте [URL="https://free.drweb.ru/download+cureit+free/?lng=ru"]Dr. Web CureIt![/URL].

Есть возможность сделать загрузочный диск/флэшку WinPE? Тогда есть ещё вариант проверки.

CureIt! использовал в первую очередь, теперь еще раз самую свежую версию - вообще никаких угроз не обнаружено.
Загрузочный носитель сделать смогу.

Сначала подготовку проведём.

[url="https://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger[/url]:[code]begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=64m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.[/code]
В папке с AVZ появится архив [B]Events.7z[/B], загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B].

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[URL="https://drive.google.com/file/d/13sMthsQkcULzVBhvzglsE-EsQ6MKpHci/view?usp=sharing"]Events.7z[/URL]
Логи FRST прикрепил

Системные журналы были очищены 2022-02-19 22:17:46. Не припомните, сами журналы событий чистили?

Если только CCleaner мог почистить, на тот момент я еще не скачивал и не запускал никаких других чистящих утилит. Сам вручную точно не удалял. Скорее всего запускал CCleaner, но там у меня настройки по умолчанию.

Отключите до перезагрузки все экраны Avast.

Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [] => [X]
Task: {90624DB8-3E1A-4A79-B946-6769A87B7966} - \Microsoft\Windows\Windows Error Reporting\ToolSystemInfo -> Нет файла <==== ВНИМАНИЕ
U0 Partizan; system32\drivers\Partizan.sys [X]
2022-02-20 02:25 - 2022-02-20 02:26 - 271664759 _____ C:\Users\Александр\Downloads\adwcleaner_9.3.zip
Unlock: C:\Windows\system32\Drivers\2682j.sys
File: C:\Windows\system32\Drivers\2682j.sys
Virustotal: C:\Windows\system32\Drivers\2682j.sys
Folder: C:\Program Files (x86)\dgGsFo
2022-02-07 21:40 C:\Windows\system32\Drivers\2682j.sys
Unlock: 2022-02-22 23:55 C:\Windows\system32\config\SYSTEM
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\49541894.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\49541894.sys => ""="Driver"
HKU\S-1-5-21-244928634-1335184161-3805591565-1000\Software\Microsoft\Internet Explorer\Main,Secondary Start Pages = hxxp://ovgorskiy.ru/
FirewallRules: [{48B77714-3D6F-4A55-97B1-E1280FAF3508}] => (Allow) LPort=8027
FirewallRules: [{34450031-C055-4F67-B965-90F93028B76C}] => (Allow) LPort=8990
FirewallRules: [{181AA584-08EB-4BB5-9116-8D74B8D5B89E}] => (Allow) LPort=8991
FirewallRules: [{F509944D-C8E7-4E87-9948-27750F66BBE3}] => (Allow) LPort=8992
FirewallRules: [{E7315B9B-E40E-4694-B105-C4E0CE0EC070}] => (Allow) LPort=8993
FirewallRules: [{AA27F024-E465-4A85-8814-104252F61873}] => (Allow) LPort=8994
FirewallRules: [{E12ABEC5-2C14-4D5F-8541-99DE90A0619D}] => (Allow) LPort=8995
FirewallRules: [{4EEBEEFA-6336-4F4C-9386-24402440BD3B}] => (Allow) LPort=8996
FirewallRules: [{7D1BF32D-F16C-4182-97B8-C1FE9A5C3FE2}] => (Allow) LPort=8997
FirewallRules: [{6B23C86B-9394-462A-BCAF-B492A9BA2435}] => (Allow) LPort=8998
FirewallRules: [{292976F8-D8C1-4293-A517-02941A3FFFCD}] => (Allow) LPort=8999
FirewallRules: [{6865D545-351F-45A5-93BC-10E77677298E}] => (Allow) LPort=8027
FirewallRules: [{FB2AE87A-592D-41D6-88AB-7B2FC4BB49F8}] => (Allow) LPort=8027
FirewallRules: [{6B6F7DFD-20FD-4046-9382-4334C64529FF}] => (Allow) LPort=8027
FirewallRules: [{D7DF25BE-E01B-4517-9142-B24D5BFA7C68}] => (Allow) LPort=8027
FirewallRules: [{C4B62C9E-86FA-464C-AFFA-17ABA79BDFF1}] => (Allow) LPort=8027
FirewallRules: [{4EED70CF-2A9F-41AE-AE8F-BC302384D075}] => (Allow) LPort=8027
FirewallRules: [{88DE31F6-3B4E-44CB-9CF4-48CA98E6B425}] => (Allow) LPort=8027
FirewallRules: [{E5919DF3-8253-4B35-BB3E-6CAC23FA5C04}] => (Allow) LPort=8027
FirewallRules: [{8C4B5EC0-D105-4DB2-8DCF-E9CD627F1B10}] => (Allow) LPort=8027
FirewallRules: [{9F992749-5306-49B5-8525-D44BB0C00A76}] => (Allow) LPort=8027
FirewallRules: [{3739D56A-7CDA-4BB3-9367-AB06EE10EEB9}] => (Allow) LPort=8027
FirewallRules: [{1412AA4D-ED00-4A0A-A06E-6CDA43DDAFAD}] => (Allow) LPort=8027
FirewallRules: [{7105D47F-4B13-4D19-ACCC-184390737F56}] => (Allow) LPort=8027
FirewallRules: [{9BA56CED-89C8-4735-A808-FED1F35EB0C9}] => (Allow) LPort=8027
FirewallRules: [{1BB43B9A-92ED-422F-8577-74301F289C90}] => (Allow) LPort=8027
FirewallRules: [{E60BE41D-14C9-4E0E-8DB7-564880F1F07E}] => (Allow) LPort=8027
FirewallRules: [{DC0FD777-577F-4773-B66F-CBE2B832E956}] => (Allow) LPort=8027
FirewallRules: [{902E448F-24F1-46F3-AA0C-EA495C0E03D3}] => (Allow) LPort=8027
FirewallRules: [{93FFDA4D-AAA7-49A7-8D2E-21F8EE602BEF}] => (Allow) LPort=8027
FirewallRules: [{4474C833-627A-486B-99AA-24B267A6B077}] => (Allow) LPort=8027
FirewallRules: [{BE7695FB-5045-49F6-A2F8-1C8631B49907}] => (Allow) LPort=8027
FirewallRules: [{9CA76D74-62A7-4414-A6C8-4F3C6C7B46F4}] => (Allow) LPort=8027
FirewallRules: [{7C6E4BF6-CAC1-4097-8EB9-35FD26FFC373}] => (Allow) LPort=8027
FirewallRules: [TCP Query User{2BCC863F-10E0-4745-9C92-9945FB990048}C:\users\александр\appdata\roaming\utorrent\utorrent.exe] => (Allow) C:\users\александр\appdata\roaming\utorrent\utorrent.exe => Нет файла
FirewallRules: [UDP Query User{7DD2F9E6-F7E1-40E1-8DF7-A6D65B8CB6D9}C:\users\александр\appdata\roaming\utorrent\utorrent.exe] => (Allow) C:\users\александр\appdata\roaming\utorrent\utorrent.exe => Нет файла
FirewallRules: [{1630377A-7F16-4039-8358-52A2E91E2A18}] => (Allow) C:\Users\Александр\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
FirewallRules: [{B4F7D6F9-A55A-4A7F-8E58-D139B4035188}] => (Allow) C:\Users\Александр\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
StartBatch:
del /s /q C:\Windows\SoftwareDistribution\download\*.*
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
del /s /q "%userprofile%\AppData\Local\temp\*.*"
endbatch:
C:\Windows\Temp\*.*
C:\WINDOWS\system32\*.tmp
C:\WINDOWS\syswow64\*.tmp
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Fixlog в аттаче

В принципе, ясен виновник.
Загрузитесь с WinPE и сделайте образ автозапуска UVS неактивной системы:

Запустите файл start.exe из папки Support, пункт "Выберите каталог Windows (выбрана активная система)", укажите папку Windows на системном разделе. Далее в главном меню программы выбираете пункт: Файл -> Cохранить полный образ автозапуска. Лог сохраните в удобной для Вас папке. Если образ автоматически был упакован в архив 7z, то дополнительно упаковывать и перепаковывать не надо, если же у Вас получился обычный текстовый файл, добавьте его в архив RARили 7-zip и прикрепите к сообщению, или загрузите в доступное облачное хранилище/файлообменник без капчи и дайте ссылку.

[URL="https://drive.google.com/file/d/1vUBkAbS_gM-yzaz3azjDphbuHp4JW7_5/view?usp=sharing"]Архив с образом автозагрузки[/URL] из под WinPE

С WinPE запустите start.exe, так же выберите каталог Windows, в главном меню программы - Скрипты -> выполнить скрипт из файла (сохраните заранее в папке с UVS:[CODE];uVS v4.12 [http://dsrt.dyndns.org:8888]
;Target OS: NTv0.0
v400c
OFFSGNSAVE
zoo %Sys32%\DRIVERS\2682J.SYS
addsgn 9A6546F9D5827D535FD41EB0A71F6B29C5877129F97C17F2DD24A70F60B2F215E4512910FD30784875226FF6D9A19B6B6D54E5922D2173069D366749D9F34D9F 48 Trojan.Win64.Agentb.bsk [Kaspersky] 7

chklst
delvir

czoo[/CODE]
Загрузите обычную систему, проверьте, что с проблемой.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Кажется, проблема решилась. Теперь по системному монитору загрузка в фоновом режиме меньше процента. Раньше была около 40%.
Карантин прислал, лог прикрепил.
Спасибо!:thumbs:

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].

Приложите этот файл к своему следующему сообщению.

Лог в аттаче