Показано с 1 по 17 из 17.

Подозрение на вирус, внедряющийся в обшивку csrss.exe (заявка № 187571)

  1. #1
    Junior Member Репутация
    Регистрация
    24.07.2015
    Сообщений
    14
    Вес репутации
    10

    Thumbs up Подозрение на вирус, внедряющийся в обшивку csrss.exe

    Добрый день.
    С недавних пор быстродействие операционной системы на моём ноутбуке упало.
    Я решил глянуть процессы и задачи в Диспетчере задач и обнаружил 3-ий процесс для файла csrss.exe
    Путем нехитрых махинаций с помощью вкладки "Процессы" в Диспетчере задач я выяснил, что 3-ий процесс для файла csrss.exe не выполняет предназначенных для данного файла задач типа "Процесс исполнения клиент-сервер".
    Процесс отличается малым, по сравнению со своими двумя собратьями, потреблением памяти.

    Произвел проверку утилитой Dr.Web Cure It, но утилита ничего отыскать не смогла.

    Загрузил AVZ и HiJackThis, произвел необходимые алгоритмы по работе с данными программами, сформировал необходимые для заявки отчет и zip-архивы, их прилагаю.

    Ожидаю вашего ответа, спасибо.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,465
    Вес репутации
    343
    Уважаемый(ая) bbios, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. Это понравилось:


  5. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    25,434
    Вес репутации
    730
    Ad-Aware - рекомендую деинсталировать.

    Здравствуйте!

    - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

    Закройте все программы

    Отключите
    - ПК от интернета/локалки.
    - Антивирус и Файрвол

    Выполните скрипт в АВЗ -

    Код:
    begin
     ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
     ClearQuarantineEx(true);
     QuarantineFileF('C:\Users\Lt. Gudz\AppData\Local\SystemDir', '*.exe, *.dll, *.sys, *.bat, *.vbs', true, '', 0, 0);
     QuarantineFile('C:\Users\Lt. Gudz\AppData\Local\SystemDir\nethost.exe', '');
     DeleteFile('C:\Users\Lt. Gudz\AppData\Local\SystemDir\nethost.exe', '32');
     ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
     ExecuteFile('schtasks.exe', '/delete /TN "nethost task" /F', 0, 15000, true);
     DeleteFileMask('C:\Users\Lt. Gudz\AppData\Local\SystemDir', '*', true);
     DeleteDirectory('C:\Users\Lt. Gudz\AppData\Local\SystemDir');
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
     CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
    ExecuteSysClean;
     ExecuteRepair(1);
     ExecuteWizard('SCU', 2, 3, true);
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

    - сделайте лог Check Browsers' LNK by Dragokas & regist. Заархивируйте его и прикрепите к сообщению.

    • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
    • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
    • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
    • Прикрепите отчет к своему следующему сообщению.

  6. Это понравилось:


  7. #4
    Junior Member Репутация
    Регистрация
    24.07.2015
    Сообщений
    14
    Вес репутации
    10
    Что если Ad-Aware - это антивирусное ПО?

    - - - - -Добавлено - - - - -

    Процедуру выполнения скрипта AVZ выполнил.
    Процедуру VirusDetector выполнил, ссылку прилагаю: http://virusinfo.info/virusdetector/report.php?md5=ECCF017B2F99233CA938700AA672BD78
    Повторные процедуры AVZ выполнил, архив и лог прилагаю (по заявке: virusinfo_syscheck.zip;hijackthis.log)
    Процедуру Check Browser выполнил, архив отчета прилагаю.
    Процедуру AdwCleaner выполнил, архив отчета прилагаю.


    Спасибо вам за вашу работу.
    Вложения Вложения

  8. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    25,434
    Вес репутации
    730
    Цитата Сообщение от bbios Посмотреть сообщение
    Что если Ad-Aware - это антивирусное ПО?
    не антивирусное, а анти-адварное, но по факту почти бесполезное и имеющее большое кол-во ложных срабатываний. Вместо него намного полезней иметь нормальный антивирус с обновляемыми базами.
    Цитата Сообщение от regist Посмотреть сообщение
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.
    не прислали.

    - - - - -Добавлено - - - - -

    - Удалите в AdwCleaner всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

  9. Это понравилось:


  10. #6
    Junior Member Репутация
    Регистрация
    24.07.2015
    Сообщений
    14
    Вес репутации
    10
    Процедуру AdwCleaner выполнил, архив отчета прилагаю.


    Загрузить файл quarantine.zip не могу - загрузчик утверждает, что файл уже был загружен.
    Вложения Вложения

  11. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    25,434
    Вес репутации
    730
    • Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
    • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
    • Прикрепите отчет к своему следующему сообщению

    Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.


    что с проблемой?

  12. Это понравилось:


  13. #8
    Junior Member Репутация
    Регистрация
    24.07.2015
    Сообщений
    14
    Вес репутации
    10
    Процедуру AdwCleaner выполнил, отчет прилагаю.

    При попытке загрузки запрошенного карантина система выдает "Ошибка, данный файл уже был загружен".
    Я попробовал загрузить файл quarantine.zip непосредственно на анализ через VirusDetector:
    Данный файл уже был загружен.
    http://virusinfo.info/virusdetector/...F6F4D868218D6C
    Архив формируется уже второй день.
    Вложения Вложения

  14. #9
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    25,434
    Вес репутации
    730
    • Пожалуйста, запустите adwcleaner.exe
    • Нажмите Uninstall (Удалить).
    • Подтвердите удаление нажав кнопку: Да.


    что с проблемой?

  15. Это понравилось:


  16. #10
    Junior Member Репутация
    Регистрация
    24.07.2015
    Сообщений
    14
    Вес репутации
    10
    Процедуру удаления произвел.

  17. #11

  18. Это понравилось:


  19. #12
    Junior Member Репутация
    Регистрация
    24.07.2015
    Сообщений
    14
    Вес репутации
    10
    Пока что проблема не изменилась.

  20. #13

  21. #14
    Junior Member Репутация
    Регистрация
    24.07.2015
    Сообщений
    14
    Вес репутации
    10
    Пробую загрузить запрошенный карантин - отвечает, что файл уже был загружен.
    Так как мне религия не позволяет пропускать подобное мимо ушей, я решил загрузить файл quarantine.zip в VirusDetector, на что получил
    "Ошибка. Этот файл уже был загружен."

    Далее он выдал мне код MD5 и саму ссылку на обрабатывающийся отчет:
    http://virusinfo.info/virusdetector/...F6F4D868218D6C
    Надо заметить, что отчет обрабатывается уже дня 3 - увы, безрезультатно.

    Я подозреваю, что при загрузке в VirusDetector файла autoquarantine произошел какой-то сбой (либо autoquarantine и quarantine одинаковы по вложениям, отчего плагин загрузки и буксует).

  22. #15
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    25,434
    Вес репутации
    730
    Цитата Сообщение от bbios Посмотреть сообщение
    "Ошибка. Этот файл уже был загружен."
    скорее всего он пустой, а всё остальное следствие из этого.

    Цитата Сообщение от regist Посмотреть сообщение
    Подробней напишите.
    я имел ввиду, какие проблемы остались.

  23. #16
    Junior Member Репутация
    Регистрация
    24.07.2015
    Сообщений
    14
    Вес репутации
    10
    Понял.

    Больше проблем нет.

    Большое спасибо.

  24. #17
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    25,434
    Вес репутации
    730
    Выполните скрипт в AVZ при наличии доступа в интернет:

    Код:
    var
    LogPath : string;
    ScriptPath : string;
    
    begin
     LogPath := GetAVZDirectory + 'log\avz_log.txt';
     if FileExists(LogPath) Then DeleteFile(LogPath);
     ScriptPath := GetAVZDirectory +'ScanVuln.txt';
    
      if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
        if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
           ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
           exit;
          end;
      end;
     if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
    end.
    После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

    Советы и рекомендации после лечения компьютера

Похожие темы

  1. вирус winlogon.exe и csrss.exe
    От dmitriy92 в разделе Помогите!
    Ответов: 6
    Последнее сообщение: 01.11.2011, 03:53
  2. Ответов: 3
    Последнее сообщение: 28.05.2011, 21:30
  3. csrss.exe (вирус?!)
    От Gena_Solovev в разделе Вредоносные программы
    Ответов: 5
    Последнее сообщение: 22.05.2010, 20:46
  4. Вирус в операвтиввной памяти csrss.exe
    От zaraZZZa в разделе Помогите!
    Ответов: 7
    Последнее сообщение: 21.09.2009, 17:49
  5. Подозрение на троян: Outpost+Bat+csrss.exe
    От idw в разделе Помогите!
    Ответов: 13
    Последнее сообщение: 27.06.2006, 09:07

Метки для этой темы

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00240 seconds with 17 queries