Показано с 1 по 20 из 20.

wasp.exe waspwing.exe грузит ОЗУ и процессор [not-a-virus:NetTool.Win32.Agent.accu] (заявка № 220274)

  1. #1
    Junior Member Репутация
    Регистрация
    17.09.2018
    Сообщений
    15
    Вес репутации
    4

    Thumbs up wasp.exe waspwing.exe грузит ОЗУ и процессор [not-a-virus:NetTool.Win32.Agent.accu]

    Добрый день!
    Ситуация такая. Есть сервер, на котором стоит софт для управления кассой в кафе....пользуемся серваком через рдп соединение. Вчера с трудом зашёл на сервер....жутко тормозил. Перезагрузил, но тормоза остались. Программой RAMMap посмотрел процессы ..... было много процессов wasp.exe и waspwing.exe. Скачал утилиту dr web cureit.....она нашла и вроде удалила две угрозы. Процессов wasp.exe и waspwing.exe вчера после этого не было....Затем прогнал утилитой avz (лог прилагаю к письму). Сейчас есть подозрение, что dr web cureit не полностью удалил вирус....так же есть подозрение на файлы(процессы) wizard.exe wahiver64.exe wasp.exe waspwing.exe
    К письму прилагаю вчерашний лог avz и сегодняшние логи согласно вашей инструции.
    Прошу помочь убить заразу до конца!

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,315
    Вес репутации
    353
    Уважаемый(ая) Den032, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    30,228
    Вес репутации
    920
    Выполните скрипт в AVZ:
    Код:
    begin
     TerminateProcessByName('C:\Windows\SysWOW64\Radiance\wahiver64.exe');
     TerminateProcessByName('c:\windows\syswow64\radiance\wizard.exe');
     TerminateProcessByName('C:\Windows\SysWOW64\Resident\wahiver.exe');
     QuarantineFile('C:\Users\Asus\Videos\_run.vbs', '');
     QuarantineFile('c:\windows\syswow64\fsproflt2.exe', '');
     QuarantineFile('C:\Windows\SysWOW64\Radiance\wahiver64.exe', '');
     QuarantineFile('c:\windows\syswow64\radiance\wasp.exe', '');
     QuarantineFile('c:\windows\syswow64\radiance\wizard.exe', '');
     QuarantineFile('C:\Windows\SysWOW64\Resident\wahiver.exe', '');
     DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\OVGorskiy.ru.URL');
     DeleteFile('C:\Users\Asus\Videos\_run.vbs', '32');
     DeleteFile('C:\Windows\SysWOW64\Radiance\wahiver64.exe', '');
     DeleteFile('c:\windows\syswow64\radiance\wasp.exe', '');
     DeleteFile('c:\windows\syswow64\radiance\wizard.exe', '');
     DeleteFile('C:\Windows\SysWOW64\Resident\wahiver.exe', '');
     DeleteFileMask('c:\windows\syswow64\radiance', '*', true);
     DeleteFileMask('c:\windows\syswow64\resident', '*', true);
     DeleteDirectory('c:\windows\syswow64\radiance');
     DeleteDirectory('c:\windows\syswow64\resident');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Browser Manager');
     CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
    ExecuteSysClean;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

    Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.
    WBR,
    Vadim

  5. #4
    Junior Member Репутация
    Регистрация
    17.09.2018
    Сообщений
    15
    Вес репутации
    4
    Сделал всё.
    Скрипт выполнл.
    Архив карантина quarantine.zip, отправил по ссылке "Прислать запрошенный карантин"
    Полный образ автозапуска прилагаю к письму
    Вложения Вложения

  6. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    30,228
    Вес репутации
    920
    Скопируйте скрипт из окна "код" ниже в буфер обмена:
    Код:
    ;uVS v4.0.17 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1
    v400c
    OFFSGNSAVE
    icsuspend
    delref HTTP://OVGORSKIY.RU
    dirzooex %SystemRoot%\SYSWOW64\RADIANCE
    zoo %SystemRoot%\syswow64\fsproflt2.exe
    delall  %SystemRoot%\syswow64\fsproflt2.exe
    delall %SystemRoot%\SYSWOW64\RADIANCE\WIZARD.EXE
    dirzooex %SystemRoot%\SYSWOW64\RESIDENT
    delall %SystemRoot%\syswow64\fsproflt2.exe
    addsgn A7A4F676C56A4C724359C2954C809B703DC2758BA9B29625858F4CF9789AF801135B4A02061914146BCC0DFA0E5AC0972D9361070D9639514D3F2D62CF4EAB26 10 Win32.BitCoinMiner.ibto [Kaspersky] 6
    
    chklst
    delvir
    
    ;---------command-block---------
    deldir %SystemRoot%\SYSWOW64\RADIANCE
    deldir %SystemRoot%\SYSWOW64\RESIDENT
    delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\TEMP\JRE-8U121-WINDOWS-AU.EXE
    apply
    czoo
    restart
    Закройте все броузеры, запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
    Компьютер перезагрузится.

    В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

    В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
    Последний раз редактировалось Vvvyg; 18.09.2018 в 20:45.
    WBR,
    Vadim

  7. #6
    Junior Member Репутация
    Регистрация
    17.09.2018
    Сообщений
    15
    Вес репутации
    4
    Готово....архив отправил....лог прилагаю

  8. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    30,228
    Вес репутации
    920
    Что с проблемой?

    Сделайте лог сканирования МВАМ.
    WBR,
    Vadim

  9. #8
    Junior Member Репутация
    Регистрация
    17.09.2018
    Сообщений
    15
    Вес репутации
    4
    Признаков проблемы не вижу (не тормозит, ресурсы не жрёт)
    Но в процессах видны wizard.exe и wahiver.exe (не знаю должны ли они быть)....программа RAMMap видит много процессов wasp.exe.
    Прилагаю скрин и лог сканирования MBAM

  10. #9
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    30,228
    Вес репутации
    920
    Есть под рукой LiveCD или LiveUSB с Windows?
    WBR,
    Vadim

  11. #10
    Junior Member Репутация
    Регистрация
    17.09.2018
    Сообщений
    15
    Вес репутации
    4
    Под рукой нет, но могу сделать LiveUSB

  12. #11
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    30,228
    Вес репутации
    920
    Загрузитесь с него, запустите текущий билд Universal Virus Sniffer (UVS). Щёлкните "Выбрать каталог Windows", откроется проводник с выбором папки системы, укажите папку "С:\Windows" (у вас может быть папка Windows.0 или иная, главное чтобы она содержала Вашу ОС).
    После того, как Вы указали каталог зараженной системы, выберите пункт "Запустить под текущим пользователем"
    Сделайте полный образ автозапуска uVS (начиная с п. 5).
    WBR,
    Vadim

  13. #12
    Junior Member Репутация
    Регистрация
    17.09.2018
    Сообщений
    15
    Вес репутации
    4
    ok .... сделаю.....только это займёт время

  14. #13
    Junior Member Репутация
    Регистрация
    17.09.2018
    Сообщений
    15
    Вес репутации
    4
    Сделал. К сообщению не получилось прикрепить

    Закинул на яндекс диск.....вот ссылка https://yadi.sk/d/67NeY2-Cj6gnxQ

  15. #14
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    30,228
    Вес репутации
    920
    Скачайте актуальную версию UVS.
    Загрузитесь с LiveUSB, также, как в прошлый раз, запустите UVS, выберите каталог Windows заражённой системы и выполните скрипт из вложения (сохраните заранее):
    Код:
    ;uVS v4.0.18 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1
    v400c
    OFFSGNSAVE
    zoo %SystemRoot%\SYSWOW64\RADIANCE\WASP.EXE
    addsgn A7679B1991A27FB282917E3821049B40ED03B92E00BFCBF1C01F7DB45A4771A477796DA80D95C8217BE4169F22E9799EF4FF001B6A1A4FC4D1D90AD02F9D6AB3 11 WaspAce Wasp 7
    
    zoo %SystemRoot%\SYSWOW64\RADIANCE\UPDATER.EXE
    addsgn 925277DA0F6AC1CC0B044B4EA34F1EB93E8AD2F84E7F48FB483C2EB2C046E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 8 Downloader.Agent (WaspAce) 7
    
    zoo %SystemRoot%\SYSWOW64\RESIDENT\WAHIVER.EXE
    addsgn A7A4F676C56A4C724359C2954C809B703DC2758BA9B29625858F4CF9789AF801135B4A02061914146BCC0DFA0E5AC0972D9361070D9639514D3F2D62CF4EAB26 10 Win32.BitCoinMiner.ibto [Kaspersky] 6
    
    chklst
    delvir
    
    zoo %SystemRoot%\SYSWOW64\RADIANCE\WIZARD.EXE
    delall %SystemRoot%\SYSWOW64\RADIANCE\WIZARD.EXE
    zoo %SystemRoot%\SYSWOW64\RADIANCE\WAHIVER64.EXE
    delall %SystemRoot%\SYSWOW64\RADIANCE\WAHIVER64.EXE
    zoo %SystemRoot%\SYSWOW64\RADIANCE\SVCHOST.EXE
    delall %SystemRoot%\SYSWOW64\RADIANCE\SVCHOST.EXE
    delref CTFMON.VBS
    delref WIZARD.EXE
    delall %SystemRoot%\syswow64\fsproflt2.exe
    deldir %SystemRoot%\SYSWOW64\RADIANCE
    deldir %SystemRoot%\SYSWOW64\RESIDENT
    apply
    czoo
    Перезагрузитесь в систему с HDD/

    В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

    В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
    WBR,
    Vadim

  16. #15
    Junior Member Репутация
    Регистрация
    17.09.2018
    Сообщений
    15
    Вес репутации
    4
    Сделал. Файл начинающимся с ZOO_ отправил по ссылке "Прислать запрошенный карантин"....лог прилагаю к сообщению.

    После выполнения скрипта и обычной загрузки с hdd процессов wizard.exe wahiver64.exe wasp.exe waspwing.exe нет....ОЗУ и ЦП не перегружены.

    Если в логах после выполнения скрипта нет ничего подозрительного, считаю проблему решённой!

    Спасибо!

  17. #16
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    30,228
    Вес репутации
    920
    Нет, всё, как планировалось. прошло.

    Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
    Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
    Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
    Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
    Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

    Приложите этот файл к своему следующему сообщению.
    WBR,
    Vadim

  18. #17
    Junior Member Репутация
    Регистрация
    17.09.2018
    Сообщений
    15
    Вес репутации
    4
    Готово

  19. #18
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    30,228
    Вес репутации
    920
    Удалите Malwarebytes.
    Microsoft Silverlight v.5.1.41212.0 Внимание! Скачать обновления
    Обновите или удалите вовсе.
    --------------------------- [ AdobeProduction ] ---------------------------
    Adobe Flash Player 20 ActiveX v.20.0.0.270 Внимание! Скачать обновления
    Adobe Flash Player 20 NPAPI v.20.0.0.267 Внимание! Скачать обновления
    ------------------------------- [ Browser ] -------------------------------
    Mozilla Firefox 62.0 (x64 ru) v.62.0 Внимание! Скачать обновления
    ^Проверьте обновления через меню Справка - О Firefox!^
    Это обновите обязательно.

    На этом всё.
    WBR,
    Vadim

  20. #19
    Junior Member Репутация
    Регистрация
    17.09.2018
    Сообщений
    15
    Вес репутации
    4
    Выше указанные рекомендации сделал.

    Malwarebytes удалил....остальное обновил до актуальных версий

    Спасибо!

  21. #20
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,224
    Вес репутации
    959

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 3
    • Обработано файлов: 13
    • В ходе лечения обнаружены вредоносные программы:
      1. \wasp.exe._48ef1a62c620104325ef1ad2e3bdc2950546189 7 - not-a-virus:NetTool.Win32.Agent.accu

  • Уважаемый(ая) Den032, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Процессы Wasp.exe, waspwing.exe грузят процессор.
      От Honna в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 02.08.2018, 20:30
    2. Ответов: 5
      Последнее сообщение: 14.10.2017, 15:28
    3. Ответов: 2
      Последнее сообщение: 25.08.2017, 16:27
    4. Ответов: 11
      Последнее сообщение: 09.11.2016, 20:09
    5. Ответов: 6
      Последнее сообщение: 23.10.2016, 21:59

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00409 seconds with 17 queries