Постоянно вылетают разные события по типу : Новому сеансу входа назначены специальные привилегии.
Перечислено участие пользователя в локальных группах.
Задан неправильный размер формы. HHCTRL
Уже с этим сталкивался и удалось случайно побороть каким то чистильщиком, но сейчас тоже самое, фпс проседает каждые 5 минут (
Прогнал AVZ и Search Spy Bot - пока не помогает... с чего начать капать
Уважаемый(ая) [B]JNY[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Логи Autologger
[ATTACH=CONFIG]685818[/ATTACH]
Здравствуйте!
Spybot - Search & Destroy деинсталлируйте как бесполезный (если не вредный).
Windows Driver Package - Silicon Laboratories (silabenm) Ports - если не самостоятельно ставили, тоже удалите.
[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:
[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
StopService('TRIXX');
QuarantineFile('C:\Temp\TRIXX.sys', '');
DeleteSchedulerTask('Temp');
DeleteFile('C:\Temp\TRIXX.sys', '64');
DeleteService('TRIXX');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(13);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]
Компьютер [U]перезагрузится[/U].
Файл [B]quarantine.zip[/B] из папки AVZ (если не пустой) загрузите по ссылке "[B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL]. ([COLOR="RoyalBlue"]CollectionLog[/COLOR])
Сделано![ATTACH=CONFIG]685822[/ATTACH]
Прикреплять карантин (к тому же пустой) к сообщению не нужно было. Если сможете, удалите.
Дополнительно:
Скачайте [URL="https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] (или с [url=https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/]зеркала[/url]) и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B] ([B]Scan[/B]).
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
All DONE!
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
То что троян я уже понял на 100%, некоторые exe файлы пропали с раб стола, постоянная активность explorer и svhost, постоянный вход в систtму, постоянно читает данные профиля Windows
[B]Примите к сведению[/B] - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]Start::
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKU\.DEFAULT\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-537805922-762440798-1252638814-1001\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
CHR HomePage: Default -> hxxps://yandex.ru/search/?text=%D0%BA%D0%B0%D0%BA%20%D0%BE%D0%BF%D1%83%D1%81%D1%82%D0%B8%D1%82%D1%8C%20%D0%BA%D0%BB%D0%B8%D1%80%D0%B5%D0%BD%D1%81%20%D0%BD%D0%B0%20%D0%BF%D0%BD%D0%B5%D0%B2%D0%BC%D0%BE%20taureg%202005&lr=193
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Исправить[/B] ([B]Fix[/B]) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.
Спасибо вам добрый человек за помощь!
Если проблема решена, в завершение:
1.
Переименуйте FRST.exe (или FRST64.exe) в [B]uninstall.exe[/B] и запустите.
Компьютер перезагрузится.
Остальные утилиты лечения и папки можно просто удалить.
2.[LIST][*]Загрузите [B][URL=https://www.comss.ru/page.php?id=1813]SecurityCheck by glax24 & Severnyj[/URL][/B], сохраните утилиту на [I]Рабочем столе[/I] и извлеките из архива.[*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7/8/8.1/10[/I])[*]Если увидите [U]предупреждение от вашего фаервола или SmartScreen[/U] относительно программы SecurityCheck, не блокируйте ее работу[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B][*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*]Прикрепите этот файл к своему следующему сообщению.[/LIST]
Перезапуск службы защиты программного обеспечения успешно запланирован на 2021-09-15T10:55:19Z. Причина: RulesEngine.
Перечислено участие пользователя в локальных группах.
Subject:
ИД безопасности: HOME-PC\Gracesko
Имя учетной записи: Gracesko
Домен учетной записи: HOME-PC
ИД входа: 0x8EED3
Пользователь:
ИД безопасности: HOME-PC\Gracesko
Имя учетной записи: Gracesko
Домен учетной записи: HOME-PC
Сведения о процессе:
ИД процесса: 0x1a3c
Имя процесса: C:\Windows\explorer.exe
Активность все равно какая то каждую минуту, хотя после выполнения в frst 5 минут не было записей потом опять посыпались.
Да - входы осуществляются каждые минут 5, проблема не решена я так понимаю
Новому сеансу входа назначены специальные привилегии.
Субъект:
ИД безопасности: СИСТЕМА
Имя учетной записи: СИСТЕМА
Домен учетной записи: NT AUTHORITY
Код входа: 0x3E7
Привилегии: SeAssignPrimaryTokenPrivilege
SeTcbPrivilege
SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeAuditPrivilege
SeSystemEnvironmentPrivilege
SeImpersonatePrivilege
SeDelegateSessionUserImpersonatePrivilege
------------------------------- [ Windows ] -------------------------------
Internet Explorer 11.630.19041.0 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4601319]Скачать обновления[/url][/b][/color]
[color=red][b]Контроль учётных записей пользователя [b]отключен[/b][/b][/color]
Запрос на повышение прав для администраторов [color=red][b]отключен[/b][/color]
[color=blue][b]^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^[/b][/color]
-------------------------------- [ Media ] --------------------------------
K-Lite Codec Pack 16.1.2 Basic v.16.1.2 [color=red][b]Внимание! [url=https://files3.codecguide.com/K-Lite_Codec_Pack_1640_Standard.exe]Скачать обновления[/url][/b][/color]
------------------------------- [ Browser ] -------------------------------
Mozilla Firefox 88.0.1 (x64 ru) v.88.0.1 [color=red][b]Внимание! [url=https://www.mozilla.org/ru/firefox/all/]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Справка - О Firefox!^[/b][/color]
[quote="JNY;1521901"]Активность все равно какая то каждую минуту[/quote]
Это уже не связано с "вирусами". По нашей части в системе порядок.
K-lte и Firefox сейчас удалю и проверим в играх, о результатах сообщу, заранее спасибо!
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=JNY;1521905]K-lte и Firefox сейчас удалю и проверим в играх, о результатах сообщу, заранее спасибо![/QUOTE]
Проблема осталась((( куда еще можно копать, когда проседает фпс в событиях
Безопасность:
Новому сеансу входа назначены специальные привилегии.
Субъект:
ИД безопасности: СИСТЕМА
Имя учетной записи: СИСТЕМА
Домен учетной записи: NT AUTHORITY
Код входа: 0x3E7
Привилегии: SeAssignPrimaryTokenPrivilege
SeTcbPrivilege
SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeAuditPrivilege
SeSystemEnvironmentPrivilege
SeImpersonatePrivilege
SeDelegateSessionUserImpersonatePrivilege
и
Вход в учетную запись выполнен успешно.
Субъект:
ИД безопасности: СИСТЕМА
Имя учетной записи: HOME-PC$
Домен учетной записи: WORKGROUP
ИД входа: 0x3E7
Сведения о входе:
Тип входа: 5
Ограниченный режим администрирования: -
Виртуальная учетная запись: Нет
Расширенный маркер: Да
Уровень олицетворения: Олицетворение
Новый вход:
ИД безопасности: СИСТЕМА
Имя учетной записи: СИСТЕМА
Домен учетной записи: NT AUTHORITY
ИД входа: 0x3E7
Связанный ИД входа: 0x0
Сетевое имя учетной записи: -
Сетевой домен учетной записи: -
GUID входа: {00000000-0000-0000-0000-000000000000}
Сведения о процессе:
ИД процесса: 0x33c
Имя процесса: C:\Windows\System32\services.exe
Сведения о сети:
Имя рабочей станции: -
Сетевой адрес источника: -
Порт источника: -
Подробные сведения о проверке подлинности:
Процесс входа: Advapi
Пакет проверки подлинности: Negotiate
Промежуточные службы: -
Имя пакета (только NTLM): -
Длина ключа: 0
Это я так понимаю в службах уже какие то косяки, либо заражение
Давайте ещё такой лог посмотрим:
[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]
Интересная программка, есть кнопки убить вирусы руткиты и тд, ничего не нажимал , сделал только образ автозапуска
Образ сюда уже не кинуть( пишет макс размер файла) кидаю на Я.Диск
[URL="https://disk.yandex.ru/d/2DEorssMXFmgTg"]https://disk.yandex.ru/d/2DEorssMXFmgTg[/URL]
Если не побежу буду ставить с нуля, чего бы конечно не хотелось ... Еще это сборка win уменя compact
[quote="JNY;1521885"]Постоянно вылетают разные события по типу : Новому сеансу входа назначены специальные привилегии.[/quote]
Поясните (можно скриншотом): "вылетают" - это появляется некое сообщение? Что из программ в это время запущено?
[url=https://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827]Выполните скрипт в uVS:[/url][code]
;uVS v4.11.8 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
;---------command-block---------
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.71\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.59\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.65\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.59\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.63\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.45\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.145.49\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.57\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.72\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.92\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.35\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.39\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.82\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.71\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.59\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.65\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.59\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.63\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.45\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.145.49\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.57\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.72\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.92\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.35\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.39\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.82\PSMACHINE_64.DLL
delref %SystemDrive%\TEMP\TRIXX.SYS
apply
regt 39
deltmp
restart
[/code]
Компьютер перезагрузится.
После перезагрузки соберите ещё раз образ автозапуска uVS.
Каждые 3-5 минут 2 события , ничего не запущено- все что только с автозапуска - даже когда я отхожу от компа на час два:
Лог прикрепил[URL="https://disk.yandex.ru/d/Dwp2gOe0Z68_kw"]https://disk.yandex.ru/d/Dwp2gOe0Z68_kw[/URL].
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Вход в учетную запись выполнен успешно.
Субъект:
ИД безопасности: СИСТЕМА
Имя учетной записи: HOME-PC$
Домен учетной записи: WORKGROUP
ИД входа: 0x3E7
Сведения о входе:
Тип входа: 5
Ограниченный режим администрирования: -
Виртуальная учетная запись: Нет
Расширенный маркер: Да
Уровень олицетворения: Олицетворение
Новый вход:
ИД безопасности: СИСТЕМА
Имя учетной записи: СИСТЕМА
Домен учетной записи: NT AUTHORITY
ИД входа: 0x3E7
Связанный ИД входа: 0x0
Сетевое имя учетной записи: -
Сетевой домен учетной записи: -
GUID входа: {00000000-0000-0000-0000-000000000000}
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Новому сеансу входа назначены специальные привилегии.
Субъект:
ИД безопасности: СИСТЕМА
Имя учетной записи: СИСТЕМА
Домен учетной записи: NT AUTHORITY
Код входа: 0x3E7
Привилегии: SeAssignPrimaryTokenPrivilege
SeTcbPrivilege
SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeAuditPrivilege
SeSystemEnvironmentPrivilege
SeImpersonatePrivilege
SeDelegateSessionUserImpersonatePrivilege
[url=https://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827]Выполните скрипт в uVS:[/url][code]
;uVS v4.11.8 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
cexec wevtutil.exe epl Security Security.evtx
cexec wevtutil.exe epl System system.evtx
cexec wevtutil.exe epl Application Application.evtx
cexec wevtutil.exe epl "Microsoft-Windows-Windows Defender/Operational" wd.evtx "/q:*[System [(EventID=1116)]]"
cexec pack\7za.exe a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=128m Events.7z *.evtx
regt 40
restart
[/code]
Компьютер перезагрузится.
Файл Events.7z из папки UVS залейте на я.диск и дайте ссылку на скачивание.
[URL="https://disk.yandex.ru/d/RciVBzmczlCUtw"]https://disk.yandex.ru/d/RciVBzmczlCUtw[/URL]
Стало чуть понятнее, видно, что ломится Chrome:[QUOTE]Учетной записи не удалось выполнить вход в систему.
Субъект:
ИД безопасности: S-1-5-21-537805922-762440798-1252638814-1001
Имя учетной записи: Gracesko
Домен учетной записи: HOME-PC
Код входа: 0x53E07
Тип входа: 2
Учетная запись, которой не удалось выполнить вход:
ИД безопасности: NULL SID
Имя учетной записи: Gracesko
Домен учетной записи: HOME-PC
Сведения об ошибке:
Причина ошибки: Неизвестное имя пользователя или неверный пароль.
Состояние: 0xC000006E
Подсостояние: 0xC000006E
Сведения о процессе:
Идентификатор процесса вызывающей стороны: 0x648
Имя процесса вызывающей стороны: C:\Program Files\Google\Chrome\Application\chrome.exe
Сведения о сети:
Имя рабочей станции: HOME-PC
Сетевой адрес источника: -
Порт источника: -[/QUOTE]
С чем связано такое поведение, пока не удалось разобраться.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Есть одно предположение: Браузер может запрашивать пароль при попытке просмотра сохранённых паролей. Возможно, какое-то расширение шалит.
Даже 2-е предположение появилось - при попытке сохранения чего-то - загрузки, компонента конфигурации в папку, где не хватает прав.
UAC включили? С ним понятнее будет.
UAC включен
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Сведения о процессе:
ИД процесса: 0x334
Имя процесса: C:\Windows\System32\services.exe
каждые 5-7 минут попытка входа и назначения спец прав
И на рабочем, и на домашнем компьютере такие же записи в журнале безопасности системы.