Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 30.

Процессы WerFault.exe множатся и едят все ресурсы, вирус BAT.DownLoader.58 [Trojan.Win32.Vehidis.apd ] (заявка № 190894)

  1. #1
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    8

    Процессы WerFault.exe множатся и едят все ресурсы, вирус BAT.DownLoader.58 [Trojan.Win32.Vehidis.apd ]

    После загрузки ОС (Win2k8r2) начинало генерироваться много процессов WerFault.exe, которые пожирали все ресурсы - 100% загрузки CPU, памяти, диск заполнялся ... Перезагрузился в safe-режиме и проверился CureIT. Dr.Web CureIt! нашел кучу файлов с вирусом 56 или 58 штук) BAT.DownLoader.58 и WerFault.exe (и другие) и вылечил их. После перезагрузки в нормальном режиме вроде бы все нормально. Посмотрите остались ли какие-то намеки на вирусы и т.д.
    Вложения Вложения
    Последний раз редактировалось shaman480; 05.10.2015 в 23:57.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,458
    Вес репутации
    341
    Уважаемый(ая) shaman480, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,245
    Вес репутации
    3015
    Выполните скрипт в AVZ
    Код:
    begin
     QuarantineFile('C:\Program Files (x86)\Windows NT\atiecllx.exe','');
    ExecuteREpair(9); 
    end.
    Перезагрузку компьютера выполните вручную.

    Выполните скрипт в AVZ
    Код:
    begin
    CreateQurantineArchive('c:\quarantine.zip');
    end.
    c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  5. Это понравилось:


  6. #4
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    8
    Скрипт выполнил, перезагрузил.
    Файл карантина отправил.

  7. #5
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,245
    Вес репутации
    3015
    Выполните скрипт в AVZ
    Код:
    begin
     DeleteFile('C:\Program Files (x86)\Windows NT\atiecllx.exe','32');
    ExecuteSysClean;
    end.
    Перезагрузку компьютера выполните вручную.

    Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

    + Сделайте лог полного сканирования МВАМ
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  8. Это понравилось:


  9. #6
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    8
    Скрипт выполнил и перезагрузился.
    Тесты провел, файлы прилагаю.
    А так же в автозагрузке были какие то непонятные программы, я их отключил. Файлик с программами автозагрузки так же прилагаю.
    Вложения Вложения

  10. #7
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,245
    Вес репутации
    3015
    Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.
    • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


    1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    3. Нажмите кнопку Scan.
    4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
    5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  11. Это понравилось:


  12. #8
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    8
    Сканирование выполнил. Файл прикрепляю.
    Вложения Вложения

  13. #9
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,245
    Вес репутации
    3015
    C:\Program Files (x86)\Common Files\Shgnbvljhk.exe
    C:\Windows\system32\hexSB360.exe
    C:\Windows\system32\bootSB360.exe
    C:\Windows\system32\microsoft_word.exe
    C:\Windows\system32\hex1a.exe
    C:\Windows\system32\1a.exe
    C:\Windows\system32\boot1a.exe
    C:\Windows\system32\Tmp5E57.tmp
    C:\Windows\system32\zyKJ.pif
    C:\Windows\system32\KJ.pif
    C:\Windows\system32\p.exe
    C:\Windows\system32\cs.exe
    C:\Windows\system32\xpKJ.pif
    C:\Windows\system32\hexExplore.exe
    заархивируйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  14. Это понравилось:


  15. #10
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    8
    Создал архив и отправил. Только при архивировании выдало вот такую ошибку.
    ! C:\Users\Admin\Desktop\send.zip: Невозможно открыть C:\Users\Admin\Desktop\send\KJ.pif
    Отказано в доступе.

  16. #11
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,245
    Вес репутации
    3015
    C:\Program Files (x86)\Common Files\Shgnbvljhk.exe
    C:\Windows\system32\hexSB360.exe
    C:\Windows\system32\bootSB360.exe
    C:\Windows\system32\hex1a.exe
    C:\Windows\system32\1a.exe
    C:\Windows\system32\boot1a.exe
    C:\Windows\system32\Tmp5E57.tmp
    C:\Windows\system32\zyKJ.pif
    C:\Windows\system32\KJ.pif
    C:\Windows\system32\xpKJ.pif
    C:\Windows\system32\hexExplore.exe
    можно удалить
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  17. Это понравилось:


  18. #12
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    8
    Файлы удалил.
    Но в корне диска С появились неизвестные файлы.
    Заархивировал и отправил через "Прислать запрошенный карантин"

    - - - - -Добавлено - - - - -

    Выполнил логи по новой!
    И что делать с файлами в автозагрузке которые я отключил?

    - - - - -Добавлено - - - - -

    В диспетчере задач появились неопознанные процессы после перезагрузки
    Ссылки ведут в автозагрузку - C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup
    А само меню автозагрузки из Пуска ведет вот сюда - C:\Users\Администратор\AppData\Roaming\Microsoft\W indows\Start Menu\Programs
    Такое чувство что его подменили, так как появился еще один пункт в Пуске с наименованием - "Startupя" - и ссылка ведет вот сюда - C:\ProgramData\Microsoft\Windows\Start Menu\Programs
    123.jpg

    - - - - -Добавлено - - - - -

    Ошибся, не опознанных только 3, iusb3mon.exe - это драйвера интеловские на юсб 3.0

    - - - - -Добавлено - - - - -

    Эти процессы завершаешь, через некоторое время они опять появляются!
    Вложения Вложения

  19. #13
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,245
    Вес репутации
    3015
    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     TerminateProcessByName('c:\programdata\microsoft\windows\start menu\programs\startup\boottaskmgs.exe');
     QuarantineFile('c:\programdata\microsoft\windows\start menu\programs\startup\boottaskmgs.exe','');
     TerminateProcessByName('c:\programdata\microsoft\windows\start menu\programs\startup\hextaskmgs.exe');
     QuarantineFile('c:\programdata\microsoft\windows\start menu\programs\startup\hextaskmgs.exe','');
     TerminateProcessByName('c:\programdata\microsoft\windows\start menu\programs\startup\sttaskmgs.exe');
     QuarantineFile('c:\programdata\microsoft\windows\start menu\programs\startup\sttaskmgs.exe','');
     DeleteFile('c:\programdata\microsoft\windows\start menu\programs\startup\sttaskmgs.exe','32');
     DeleteFile('c:\programdata\microsoft\windows\start menu\programs\startup\hextaskmgs.exe','32');
     DeleteFile('c:\programdata\microsoft\windows\start menu\programs\startup\boottaskmgs.exe','32');
     BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    end.
    Перезагрузка компьютера выполните вручную.

    Выполните скрипт в AVZ
    Код:
    begin
    CreateQurantineArchive('c:\quarantine.zip');
    end.
    c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

    Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  20. #14
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    8
    Данные файлы я еще вчера их удалил. Папку переименованную вирусом "Startupя" - переименовал в "Startup", вернулось правильное меню в пуск с наименованием автозагрузка.
    Выполнил скрипт, но не могу загрузить файл карантина, выдает ошибку
    Результат загрузки

    Ошибка загрузки. Данный файл уже был загружен
    Прикрепляю логи.

    - - - - -Добавлено - - - - -

    Забыл уточнить, что после удаления этих файлов, вроде подозрительных файлов в процессах больше не появляется.
    Вложения Вложения
    Последний раз редактировалось shaman480; 09.10.2015 в 12:23.

  21. #15
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    8
    Опять появились эти файлы в процессах.
    Выполняю Ваши рекомендация по новой.


    - - - - -Добавлено - - - - -

    Файл карантина загрузил

    - - - - -Добавлено - - - - -

    В корне диска С опять появились файлы
    Эти файлы заархивировал и отправил через карантин
    1.jpg

    - - - - -Добавлено - - - - -

    Высылаю новые логи

    - - - - -Добавлено - - - - -

    Сделал еще логи FRST
    Вложения Вложения

  22. #16
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,245
    Вес репутации
    3015
    Это говорит только об одном - зараза лезет через уязвимости софта. Скорее всего через уязвимости Microsoft SQL Server 2008
    Без обновления бороться с этим бесполезно
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  23. #17
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    8
    Выполнил тест MBAM

    - - - - -Добавлено - - - - -

    Обновления все поставил.
    А так же полностью зарубал все доступы к MSSQL через kerio, теперь могут лезть только локальные компьютеры или VPN клиенты.
    Из вне доступы закрыл.

    - - - - -Добавлено - - - - -

    Backdoor.Bot, C:\Windows\System32\boottaskmgs.exe, , [b792a7ae5b302a0c550420a526db2fd1],
    Backdoor.Bot, C:\Windows\System32\hextaskmgs.exe, , [58f1015463289c9ae079a52040c159a7],
    Backdoor.Bot, C:\Windows\System32\sttaskmgs.exe, , [d9701342b0db2b0b1c3d11b409f829d7],
    Backdoor.Bot, C:\Windows\System32\taskmgs.exe, , [cb7ebb9a1576ff37194023a2c23f8f71],
    Вот это удалил через MBAM

    - - - - -Добавлено - - - - -

    Прогнал cureit
    1234.jpg
    Вложения Вложения
    • Тип файла: txt MBAM.txt (1.7 Кб, 1 просмотров)

  24. #18
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,245
    Вес репутации
    3015
    Удаляйте все найденное CureIt

    Пролечитесь http://support.kaspersky.ru/viruses/rescuedisk (скачивать и записывать образ на другой чистой от вирусов машине)
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  25. #19
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    8
    Цитата Сообщение от thyrex Посмотреть сообщение
    Удаляйте все найденное CureIt
    Все найденное удалил.
    Пролечитесь http://support.kaspersky.ru/viruses/rescuedisk (скачивать и записывать образ на другой чистой от вирусов машине)
    Это выполнить пока не могу. Так как сервер стоит в другом городе. Добраться к нему получится только через неделю.

  26. #20
    Junior Member Репутация
    Регистрация
    05.10.2015
    Сообщений
    24
    Вес репутации
    8
    Пока тишина. Спустя 3 дня не чего не пролезло.

  • Уважаемый(ая) shaman480, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Страница 1 из 2 12 Последняя

    Похожие темы

    1. werfault.exe
      От serezhareq в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 31.01.2014, 21:30
    2. Ответов: 8
      Последнее сообщение: 19.11.2011, 23:40
    3. Ответов: 3
      Последнее сообщение: 19.04.2011, 08:45
    4. Ответов: 16
      Последнее сообщение: 20.06.2009, 00:15
    5. Множатся процессы cmd.exe и services.exe
      От PiJon в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 22.02.2009, 08:54

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01541 seconds with 17 queries