Загружает ЦП и удаляет ехе

**Александр64** · 22.08.2018, 15:48

Здравствуйте! компьютер начал сильно тупить, в диспетчере задач процесс wup.exe загружал ЦП на 50%. антивирус находил одни и удалял одни и теже файлы, которые появлялись снова. Так же сами по себе закрывались и удалялись программы в том числе и AVZ. AVZ удалось запустить отключив сетевые подключения и почистив реестр от сомнительных записей. архив прилагаю

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 22.08.2018, 15:49

Уважаемый(ая) Александр64, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 22.08.2018, 16:54

Выполните скрипт в AVZ из папки Autologger

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\admin\AppData\Roaming\YoutubeDownloader_upd\python\pythonw.exe','');
 QuarantineFile('C:\Users\admin\AppData\Local\Temp\csrss\scheduled.exe','');
 QuarantineFile('C:\Windows\rss\csrss.exe','');
 SetServiceStart('WinDefender', 4);
 DeleteService('WinDefender');
 TerminateProcessByName('c:\windows\windefender.exe');
 QuarantineFile('c:\windows\windefender.exe','');
 DeleteFile('c:\windows\windefender.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\csrss','64');
 DeleteFile('C:\Windows\rss\csrss.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\ScheduledUpdate','64');
 DeleteFile('C:\Users\admin\AppData\Local\Temp\csrss\scheduled.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\YoutubeDownloader','64');
 DeleteFile('C:\Windows\system32\Tasks\YoutubeDownloader_upd','64');
 DeleteFile('C:\Users\admin\AppData\Roaming\YoutubeDownloader_upd\python\pythonw.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

**Александр64** · 22.08.2018, 17:33

Выполнил
по ссылке "прислать запрошенный карантин" пишет : Ошибка загрузки. Данный файл уже был загружен

**thyrex** · 22.08.2018, 18:06

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

**Александр64** · 22.08.2018, 18:29

выполнено

**thyrex** · 23.08.2018, 23:47

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
File: C:\ProgramData\1.exe
CHR HKLM\...\Chrome\Extension: [gkmpkohgfpbgcbobkimdeffhlafigkab] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-689625706-1071457840-233572999-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [gkmpkohgfpbgcbobkimdeffhlafigkab] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gkmpkohgfpbgcbobkimdeffhlafigkab] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [nladljmabboanhihfkjacnnkgjhnokhj] - hxxps://clients2.google.com/service/update2/crx
S3 Winmon; \??\C:\Windows\System32\drivers\Winmon.sys [X]
S3 WinmonFS; \??\C:\Windows\System32\drivers\WinmonFS.sys [X]
S1 WinmonProcessMonitor; \??\C:\Windows\System32\drivers\WinmonProcessMonitor.sys [X] <==== ATTENTION
2018-08-22 17:22 - 2018-08-22 17:22 - 000000000 ____D C:\Windows\rss
2018-08-08 12:48 - 2018-08-08 12:49 - 000000000 __SHD C:\Users\Все пользователи\jexdagwbojhdb
2018-08-08 12:48 - 2018-08-08 12:49 - 000000000 __SHD C:\ProgramData\jexdagwbojhdb
2018-08-08 12:46 - 2018-08-08 12:46 - 000000000 ____D C:\Users\Public\Documents\XMUpdate
2018-08-08 12:45 - 2018-08-08 12:58 - 000000000 ____D C:\Program Files (x86)\Windows Update
2018-08-08 12:45 - 2018-08-08 12:54 - 000000000 ____D C:\Users\admin\AppData\Roaming\YoutubeDownloader_upd
2018-08-08 12:45 - 2018-08-08 12:54 - 000000000 ____D C:\Users\admin\AppData\Roaming\YoutubeDownloader
2018-08-08 20:32 - 2018-08-22 13:37 - 000016480 _____ () C:\ProgramData\appdata.dat
2018-08-08 20:32 - 2018-08-21 19:10 - 000000001 _____ () C:\Users\admin\AppData\Roaming\lsa64.log
Task: {1733432E-1075-4F61-BD3D-AE69AEFE9703} - \YoutubeDownloader -> No File <==== ATTENTION
Task: {34D5B08B-FA9F-4A1C-8484-E151823A921A} - \csrss -> No File <==== ATTENTION
Task: {7F4F9BC7-A767-4F46-B0A5-970D70B96A58} - \YoutubeDownloader_upd -> No File <==== ATTENTION
Task: {B56C5161-B85F-4348-818A-200658DF18E6} - \ScheduledUpdate -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [140]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [140]
FirewallRules: [{D2DB0A25-B132-4696-A7FA-D4C425937D23}] => (Allow) C:\Users\admin\AppData\Local\MediaGet2\mediaget.exe
FirewallRules: [{9F4DBDE4-28BE-4F26-8F14-D50EE91AA9BC}] => (Allow) C:\Users\admin\AppData\Local\MediaGet2\mediaget.exe
FirewallRules: [TCP Query User{D887C5D3-D883-4DE6-B17B-91C656074B3A}C:\users\admin\appdata\local\temp\msupdate71\dwm.exe] => (Block) C:\users\admin\appdata\local\temp\msupdate71\dwm.exe
FirewallRules: [UDP Query User{BF20082B-8E96-4287-AB66-8615CEAA0912}C:\users\admin\appdata\local\temp\msupdate71\dwm.exe] => (Block) C:\users\admin\appdata\local\temp\msupdate71\dwm.exe
FirewallRules: [{B29AEA3F-F488-443B-9677-95328D1DCD0C}] => (Allow) C:\Users\admin\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe
FirewallRules: [TCP Query User{A978FD71-41BB-4CFD-A265-4BA5853F68DD}C:\users\admin\appdata\local\temp\msupdate71\dwm.exe] => (Block) C:\users\admin\appdata\local\temp\msupdate71\dwm.exe
FirewallRules: [UDP Query User{B07A142A-6162-444A-8F25-66F04DAEFF05}C:\users\admin\appdata\local\temp\msupdate71\dwm.exe] => (Block) C:\users\admin\appdata\local\temp\msupdate71\dwm.exe
FirewallRules: [{EA43CBAA-B1D3-424D-B8B3-4CC707E0749C}] => (Allow) C:\Windows\rss\csrss.exe
FirewallRules: [{C5DD76DE-CFC3-40C0-85D3-E2D559A726E6}] => (Allow) C:\Users\admin\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe
FirewallRules: [{EA48E4F0-61F6-4A54-9ACF-8319155DBFE5}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{6FC77CEA-BAD7-4FD4-B6FE-44D397349AA5}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{8040A71A-5722-4113-80B9-1623E90D4A37}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{80DF3B80-6DE6-48C3-97C2-7C9C095DADEE}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{CB5E08ED-871E-4330-A09A-CC8CE411C29C}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{6419EB2C-3EB0-4B88-8CEE-C7BD66B3347E}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{B1BAFB46-33E6-4DD1-AB1E-9A8207266C36}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{C49E1000-F526-4CB6-8F40-BA7B9E4854B8}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{D8BC46CE-70D5-43ED-8BB1-3A0777E242E6}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{5A723325-5C56-481F-9A6A-550AE352F65C}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{8641854C-F246-4738-B8EB-947CE4F71F11}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{221BFE6C-8805-4FCE-ACD5-D8DCF3EC792D}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{3EADFC7F-D0D4-4116-B5BA-9CEE0E2EC94B}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{02B18B6E-D941-4C8F-B203-456E8D5F980E}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{A566C504-CEAD-4E95-A6FA-EC208924AEE5}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{5FE91BF9-D343-4D0A-AB8E-525BCD2E19B9}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{AD13B01F-1AFC-4519-9307-80F9158643B5}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{50F71346-2060-4FFD-A875-E13F56C69492}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{8F15F3BA-A9E0-4DD7-8092-A981EE870CC0}] => (Allow) C:\Users\admin\AppData\Local\Temp\csrss\lsa64.exe
C:\users\admin\appdata\local\temp\msupdate71
C:\Users\admin\AppData\Local\Temp\csrss
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

Обратите внимание: будет выполнена перезагрузка компьютера.

**Александр64** · 24.08.2018, 10:19

готово

**thyrex** · 24.08.2018, 18:21

Проблема решена?

**Александр64** · 28.08.2018, 10:09

Да, пока ничего подозрительного не наблюдается. загрузка ЦП и памяти в норме, антивирус молчит. Спасибо

Загружает ЦП и удаляет ехе (заявка № 220009)

Опции темы