процесс lsass.exe генерирует кучу трафика

[ig0r]

Процесс lsass.exe генерирует кучу трафика (до 100Мбит/c) на различные хосты по всей планете.
Генерируется только исходящий трафик, получение с адресов назначения 0 байт.
Сканирование на вирусы drweb заканчивается с 0 результатом.
Всё это продолжается пока есть доступ к входящему 389 UDP порту.

[Info_bot]

Уважаемый(ая) ig0r, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Здравствуйте.

Выполните скрипт в AVZ из папки Autologger

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Chiikiro\AppData\Roaming\ckuopanvyumd\qsfwkzgpcicocug.msi','');
 QuarantineFile('C:\Users\Chiikiro\AppData\Roaming\eychhgichbir\najsiatysevlfgv.msi','');
 QuarantineFile('C:\Users\Chiikiro\AppData\Roaming\fzxvxstiqgje\bjeoaekqlvnhoep.msi','');
 QuarantineFile('C:\Users\Chiikiro\AppData\Roaming\wuziinreupxe\rcsrgdypbukqtqb.msi','');
 QuarantineFile('C:\Users\Chiikiro\AppData\Roaming\dkqlvihssgco\bpdjxeidsgohyxw.msi','');
 QuarantineFile('C:\Users\Chiikiro\AppData\Roaming\mjgulnmtklyx\mwsluoscsakxeox.msi','');
 QuarantineFile('C:\Users\Chiikiro\AppData\Roaming\apujoqztfivq\cibyrolvkthbiod.msi','');
 QuarantineFile('C:\Users\Chiikiro\AppData\Roaming\yhfztpsmymap\dqswguacwebukpz.msi','');
 QuarantineFile('C:\Users\Chiikiro\AppData\Roaming\ybeymatncgje\hiqqzzipngvnjtb.msi','');
 DeleteSchedulerTask('avbmeoufvyhlv');
 DeleteFile('C:\Users\Chiikiro\AppData\Roaming\ybeymatncgje\hiqqzzipngvnjtb.msi','64');
 DeleteFile('C:\Users\Chiikiro\AppData\Roaming\yhfztpsmymap\dqswguacwebukpz.msi','64');
 DeleteSchedulerTask('caqqzanhainzt');
 DeleteFile('C:\Users\Chiikiro\AppData\Roaming\apujoqztfivq\cibyrolvkthbiod.msi','64');
 DeleteSchedulerTask('dqpmrnvmvsouj');
 DeleteFile('C:\Users\Chiikiro\AppData\Roaming\mjgulnmtklyx\mwsluoscsakxeox.msi','64');
 DeleteSchedulerTask('fvdryfwvfstvqzx');
 DeleteSchedulerTask('gtydskrqkrskz');
 DeleteSchedulerTask('jbnxobibegdlj');
 DeleteSchedulerTask('jhslujafvhtlu');
 DeleteFile('C:\Users\Chiikiro\AppData\Roaming\dkqlvihssgco\bpdjxeidsgohyxw.msi','64');
 DeleteFile('C:\Users\Chiikiro\AppData\Roaming\wuziinreupxe\rcsrgdypbukqtqb.msi','64');
 DeleteFile('C:\Users\Chiikiro\AppData\Roaming\fzxvxstiqgje\bjeoaekqlvnhoep.msi','64');
 DeleteFile('C:\Users\Chiikiro\AppData\Roaming\eychhgichbir\najsiatysevlfgv.msi','64');
 DeleteSchedulerTask('jpzscxuimlwqb');
 DeleteSchedulerTask('mglttlpejhiyqke');
 DeleteSchedulerTask('ndzcksnrxvkxfhc');
 DeleteFile('C:\Users\Chiikiro\AppData\Roaming\ckuopanvyumd\qsfwkzgpcicocug.msi','64');
 DeleteSchedulerTask('ofrtuamyhbjruuq');
 DeleteSchedulerTask('plcqphtgshvnlot');
 DeleteSchedulerTask('ulkhqemqxteuyoy');
 DeleteSchedulerTask('vetqdqjtvtarb');
 DeleteSchedulerTask('xvhwmdstpinte');
 DeleteSchedulerTask('xquapqhgzsjyehn');
 DeleteSchedulerTask('wmmnvuswhjihrxe');
 DeleteSchedulerTask('vrnjavniifgubqk');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

[ig0r]

Компьютер работает удалённо за 3-9 земель. Он перезагрузиться автоматически? Никаких дополнительных кликов делать не придётся после обрыва связи? Связь восстановиться?

Файлы и пути, а также задания в планировщике что указаны в скрипте, что-то я их не нахожу....

[thyrex]

Скрипты нужно выполнять не удаленно, а находясь прямо за компьютером.

[ig0r]

error.png

[Sandor]

Выполните скрипт в AVZ из папки Autologger

ig0r, на форуме ЛК ваша тема?

[ig0r]

Так. не понимаю...
запускаю AVZ c "повышенными правами" по пути ...\AutoLogger\AutoLogger\AVZ\avz.exe
выбираю Файл->Выполнить скрипт.
В открывшееся окно "Запуск скрипта" копипастю первый скрипт и нажимаю выполнить
Результат ошибка что на скрине.
Попробовал сохранить скрипт в текстовом файле в папке ...\AutoLogger\AutoLogger\script.txt и открыть в AVZ, результат = та же ошибка.
Что я делаю не так?

[thyrex]

Так, похоже скрипт я не по Вашим логам писал

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[ig0r]

Прикрепил

[thyrex]

Ничего плохого логи не показывают.

[ig0r]

непонятно почему происходит такая активность

- - - - -Добавлено - - - - -

спасибо за потраченное время