NsCpuCNMiner32.exe грузит процессор

[Pea/\ucT]

Добрый день.

На windows 2003 R2 SP2 появился процесс NsCpuCNMiner32.exe, который постоянно грузит процессор процентов на 80. Kaspersky Removal Tool его не обнаруживает. Ручное удаление файла там где его удалось найти проблему не решает, через какое-то время он появляется снова.

[Info_bot]

Уважаемый(ая) Pea/\ucT, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\xaa6.tmp','');
 QuarantineFile('C:\WINDOWS\Fonts\start.bat','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Wasppacer','command');
 DeleteFile('C:\WINDOWS\systems\WaspAce_3.10.4.0_full\Wasppacer.exe','32');
 DeleteFile('C:\WINDOWS\Fonts\start.bat','32');
 DeleteFile('C:\Documents and Settings\Марат\WINDOWS\Tasks\start.job','32');
 DeleteFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\xaa6.tmp','32');
DeleteFileMask('C:\WINDOWS\systems\WaspAce_3.10.4.0_full', '*', true);
DeleteDirectory('C:\WINDOWS\systems\WaspAce_3.10.4.0_full');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

Перезагрузку компьютера выполните вручную.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[Pea/\ucT]

После выполнения скрипта и перезагрузки вроде пока процесс NsCpuCNMiner32.exe не появляется. Спасибо.

[thyrex]

C:\WINDOWS\Fonts\start.bat удалите вручную.

На этом лечение закончено.

[Pea/\ucT]

В папке C:\WINDOWS\Fonts файла start.bat не обнаружил.

Процесс NsCpuCNMiner32.exe появился снова.

[thyrex]

Выполните скрипт в AVZ

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
ExecuteFile('schtasks.exe', '/delete /TN "start.job" /F', 0, 15000, true);
 QuarantineFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\12\wsnA.tmp','');
 TerminateProcessByName('c:\windows\fonts\nscpucnminer32.exe');
 QuarantineFile('c:\windows\fonts\nscpucnminer32.exe','');
 DeleteFile('c:\windows\fonts\nscpucnminer32.exe','32');
 DeleteFile('C:\WINDOWS\Fonts\start.bat','32');
 DeleteFile('C:\Documents and Settings\Марат\WINDOWS\Tasks\start.job','32');
 DeleteFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\12\wsnA.tmp','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

Перезагрузку компьютера выполните вручную.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[Pea/\ucT]

Выполнил скрипт, пока что процесса нет.

[Vvvyg]

Утраняйте уязвимость, ту самую, которую использует нашумевший WannaCry: MS17-010: Описание обновления безопасности для Windows SMB Server, причём на всех компьютерах в сети.

Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 QuarantineFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\hqa1.tmp', '');
 QuarantineFile('C:\WINDOWS\Fonts\start.bat', '');
 DeleteFile('C:\DOCUME~1\42C6~1\LOCALS~1\Temp\hqa1.tmp', '32');
 DeleteFile('C:\WINDOWS\Fonts\start.bat', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\Documents and Settings\Марат\WINDOWS\Tasks\start.job" /F', 0, 15000, true);
BC_ImportDeletedList;
ExecuteSysClean;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
end.

Перезагрузку компьютера выполните вручную.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[Pea/\ucT]

Заплатку поставил, скрипт выполнил.

[Vvvyg]

Запустите FRST/FRST64. Нажмите комбинацию Ctrl+Y - откроется Блокнот. Скопируйте в него следующий код:

IFEO\Sethc.exe: [Debugger] C:\windows\system32\NLS.bat
S2 BOINC; "C:\Program Files\BOINC\boinc.exe" -daemon [X]
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (10) Прочти!.txt => C:\WINDOWS\pss\Копия (10) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (11) Прочти!.txt => C:\WINDOWS\pss\Копия (11) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (12) Прочти!.txt => C:\WINDOWS\pss\Копия (12) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (13) Прочти!.txt => C:\WINDOWS\pss\Копия (13) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (14) Прочти!.txt => C:\WINDOWS\pss\Копия (14) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (15) Прочти!.txt => C:\WINDOWS\pss\Копия (15) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (16) Прочти!.txt => C:\WINDOWS\pss\Копия (16) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (17) Прочти!.txt => C:\WINDOWS\pss\Копия (17) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (18) Прочти!.txt => C:\WINDOWS\pss\Копия (18) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (19) Прочти!.txt => C:\WINDOWS\pss\Копия (19) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (2) Прочти!.txt => C:\WINDOWS\pss\Копия (2) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (20) Прочти!.txt => C:\WINDOWS\pss\Копия (20) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (21) Прочти!.txt => C:\WINDOWS\pss\Копия (21) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (22) Прочти!.txt => C:\WINDOWS\pss\Копия (22) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (23) Прочти!.txt => C:\WINDOWS\pss\Копия (23) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (24) Прочти!.txt => C:\WINDOWS\pss\Копия (24) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (25) Прочти!.txt => C:\WINDOWS\pss\Копия (25) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (26) Прочти!.txt => C:\WINDOWS\pss\Копия (26) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (27) Прочти!.txt => C:\WINDOWS\pss\Копия (27) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (28) Прочти!.txt => C:\WINDOWS\pss\Копия (28) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (29) Прочти!.txt => C:\WINDOWS\pss\Копия (29) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (3) Прочти!.txt => C:\WINDOWS\pss\Копия (3) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (30) Прочти!.txt => C:\WINDOWS\pss\Копия (30) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (31) Прочти!.txt => C:\WINDOWS\pss\Копия (31) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (32) Прочти!.txt => C:\WINDOWS\pss\Копия (32) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (33) Прочти!.txt => C:\WINDOWS\pss\Копия (33) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (4) Прочти!.txt => C:\WINDOWS\pss\Копия (4) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (5) Прочти!.txt => C:\WINDOWS\pss\Копия (5) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (6) Прочти!.txt => C:\WINDOWS\pss\Копия (6) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (7) Прочти!.txt => C:\WINDOWS\pss\Копия (7) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (8) Прочти!.txt => C:\WINDOWS\pss\Копия (8) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия (9) Прочти!.txt => C:\WINDOWS\pss\Копия (9) Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Копия Прочти!.txt => C:\WINDOWS\pss\Копия Прочти!.txtCommon Startup
MSCONFIG\startupfolder: C:^Documents and Settings^All Users^Главное меню^Программы^Автозагрузка^Прочти!.txt => C:\WINDOWS\pss\Прочти!.txtCommon Startup
MSCONFIG\startupreg: Wasppacer =>

Сохраните (Ctrl+S) и закройте.
В FRST нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите систему.

Сообщите, что с проблемой.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 9
• В ходе лечения вредоносные программы в карантинах не обнаружены