Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 36.

lsass.exe много использует физ.памяти. [Rootkit.Win64.Agent.bfi] (заявка № 225067)

  1. #1
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.05.2020
    Сообщений
    19
    Вес репутации
    12

    lsass.exe много использует физ.памяти. [Rootkit.Win64.Agent.bfi]

    При запуске системы эта программа работает нормально, но как только открываю браузер, начинает нагрузка на систему этой программой.
    И еще интернет активность этой программы мне не очень нравится(скриншот).
    Последний раз редактировалось Evgeniy35Rus; 22.05.2020 в 15:26.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,309
    Вес репутации
    359
    Уважаемый(ая) Evgeniy35Rus, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

  4. #3
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    11.11.2007
    Сообщений
    2,987
    Вес репутации
    104
    Здравствуйте!

    Вы собрали логи устаревшей версией. Удалите Autologger и созданную им папку вместе с содержимым. Скачайте актуальную версию (по ссылке из правил) и повторите CollectionLog.

  5. Это понравилось:


  6. #4
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.05.2020
    Сообщений
    19
    Вес репутации
    12
    сделал

  7. #5
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    11.11.2007
    Сообщений
    2,987
    Вес репутации
    104
    Временно отключите защитное ПО.
    Выполните скрипт в AVZ:

    Код:
    begin
     ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
     ClearQuarantineEx(true);
     QuarantineFile('C:\Programdata\RealtekHD\taskhostw.exe', '');
     DeleteSchedulerTask('Microsoft\Windows\Wininet\RealtekHDControl');
     DeleteSchedulerTask('Microsoft\Windows\Wininet\RealtekHDStartUP');
     DeleteSchedulerTask('Microsoft\Windows\Wininet\Taskhost');
     DeleteSchedulerTask('Microsoft\Windows\Wininet\Taskhostw');
     DeleteFile('C:\Programdata\RealtekHD\taskhostw.exe', '64');
     CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
    ExecuteSysClean;
     ExecuteWizard('SCU', 2, 3, true);
    RebootWindows(true);
    end.
    Компьютер перезагрузится.



    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.




    Сделайте повторные логи по правилам. (CollectionLog)

  8. #6
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.05.2020
    Сообщений
    19
    Вес репутации
    12
    карантин не хочет отправляться, посмотрел в архиваторе там нет файлов, да ивес архива 22 байта.
    а так удалился драйвер звука, но это не беда.
    Вот новые логи.

  9. #7
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    11.11.2007
    Сообщений
    2,987
    Вес репутации
    104
    Дополнительно:
    Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

    Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
    Когда программа запустится, нажмите Yes для соглашения с предупреждением.

    Нажмите кнопку Scan.
    После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

  10. #8
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.05.2020
    Сообщений
    19
    Вес репутации
    12
    отчеты готовы

  11. #9
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    11.11.2007
    Сообщений
    2,987
    Вес репутации
    104
    Примите к сведению - после выполнения скрипта все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, куки и кэш будут очищены.
    • Отключите до перезагрузки антивирус.
    • Выделите следующий код:
      Код:
      Start::
      CreateRestorePoint:
      HKLM\...\Policies\Explorer: [DisableCurrentUserRun] 0
      HKLM\...\Policies\Explorer: [DisableLocalMachineRun] 0
      HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer: [DisallowRun] 1
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [1] eav_trial_rus.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [2] avast_free_antivirus_setup_online.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [3] eis_trial_rus.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [4] essf_trial_rus.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [5] hitmanpro_x64.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [6] ESETOnlineScanner_UKR.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [7] ESETOnlineScanner_RUS.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [8] HitmanPro.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [9] 360TS_Setup_Mini.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [10] Cezurity_Scanner_Pro_Free.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [11] Cube.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\MountPoints2: {1cbc5615-2f38-11ea-b566-14dae94365cb} - F:\Setup.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\MountPoints2: {50f8e519-9450-11ea-8be9-14dae94365cb} - G:\autorun.exe
      HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\MountPoints2: {55d40fb9-315a-11ea-8250-14dae94365cb} - F:\HiSuiteDownLoader.exe
      FF HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
      Task: {3C500707-3254-45B7-A7C9-C6FC69AFCF6B} - System32\Tasks\Microsoft\Windows\Windows Error Reporting\SystemInfo => C:\Users\cv\AppData\Roaming\\systemdiag\\sysinfo.exe <==== ATTENTION
      Task: {427B7A0F-C305-406C-B2FA-3C0FAFA21F02} - System32\Tasks\Microsoft\Windows\Wininet\Cleaner => C:\Programdata\WindowsTask\winlogon.exe [390144 2019-04-19] () [File not signed] <==== ATTENTION
      S3 TermService; C:\Windows\System32\svchost.exe [27136 2009-07-14] (Microsoft Windows -> Microsoft Corporation) <==== ATTENTION (no ServiceDLL) <==== ATTENTION (no ServiceDLL)
      S3 TermService; C:\Windows\SysWOW64\svchost.exe [20992 2009-07-14] (Microsoft Windows -> Microsoft Corporation) <==== ATTENTION (no ServiceDLL) <==== ATTENTION (no ServiceDLL)
      2020-05-22 12:47 - 2020-05-22 14:41 - 000000000 __SHD C:\Users\Все пользователи\Kaspersky Lab Setup Files
      2020-05-22 12:47 - 2020-05-22 14:41 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
      2020-05-22 12:47 - 2020-05-22 13:57 - 000000000 __SHD C:\Program Files\ESET
      2020-05-22 12:47 - 2020-05-22 13:41 - 000000000 __SHD C:\AdwCleaner
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\Norton
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\McAfee
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\grizzly
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\ESET
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\Doctor Web
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\360safe
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\Malwarebytes
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\Kaspersky Lab
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\COMODO
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\Common Files\McAfee
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\Cezurity
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\ByteFence
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\AVG
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\AVAST Software
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\Panda Security
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\Kaspersky Lab
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\Cezurity
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\AVG
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\360
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 ____D C:\Users\cv\AppData\Roaming\WinRAR
      2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 ____D C:\ProgramData\Avira
      2020-05-22 12:46 - 2020-05-22 12:48 - 000000000 __SHD C:\ProgramData\WindowsTask
      2020-05-22 12:46 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\Windows
      2020-05-22 12:46 - 2020-05-22 12:46 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
      2020-05-22 12:46 - 2020-05-22 12:46 - 000000000 ____D C:\ProgramData\System32
      2020-05-22 12:46 - 2020-05-22 12:46 - 000000000 ____D C:\ProgramData\MB3Install
      2020-05-22 12:46 - 2020-05-22 12:46 - 000000000 ____D C:\ProgramData\Malwarebytes
      2020-05-22 12:46 - 2020-05-22 12:46 - 000000000 ____D C:\ProgramData\Indus
      ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
      AlternateDataStreams: C:\ProgramData\TEMP:D8999815 [200]
      AlternateDataStreams: C:\Users\cv\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
      AlternateDataStreams: C:\Users\cv\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
      FirewallRules: [{0F70E20A-D794-4CAD-ADA3-75CFDC88E961}] => (Allow) LPort=3389
      FirewallRules: [{1117EA92-6085-4546-88B1-DFFF7E5835E1}] => (Allow) LPort=3389
      ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
      EmptyTemp:
      Reboot:
      End::
    • Скопируйте выделенный текст (правой кнопкой - Копировать).
    • Запустите FRST (FRST64) от имени администратора.
    • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

    Компьютер будет перезагружен автоматически.

  12. #10
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.05.2020
    Сообщений
    19
    Вес репутации
    12
    вот лог

  13. #11
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    11.11.2007
    Сообщений
    2,987
    Вес репутации
    104
    Цитата Сообщение от Evgeniy35Rus Посмотреть сообщение
    удалился драйвер звука
    Это майнер под него маскировался. Сейчас что, нет звука?

  14. #12
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.05.2020
    Сообщений
    19
    Вес репутации
    12
    не было, сейчас опять поставил драйвер, нужен был просто от своего контроллера звукового.
    Пару сеансов проверил компьютер даже без звука с этим процессом нагрузка шла

  15. #13
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    11.11.2007
    Сообщений
    2,987
    Вес репутации
    104
    Что сейчас с нагрузкой?

  16. #14
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.05.2020
    Сообщений
    19
    Вес репутации
    12
    также

  17. #15
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    11.11.2007
    Сообщений
    2,987
    Вес репутации
    104
    Сделайте полный образ автозапуска uVS, только программу скачайте отсюда

  18. #16
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.05.2020
    Сообщений
    19
    Вес репутации
    12
    полный образ автозапуска, (это что он так на пиратку и на кряки программ ругается).

    - - - - -Добавлено - - - - -

    образ автозапуска из безопасного режима системы
    Вложения Вложения
    Последний раз редактировалось Evgeniy35Rus; 22.05.2020 в 20:30.

  19. #17
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    11.11.2007
    Сообщений
    2,987
    Вес репутации
    104
    Цитата Сообщение от Evgeniy35Rus Посмотреть сообщение
    образ автозапуска из безопасного режима
    А зачем же из безопасного собирали? В обычном не получилось?
    Переделайте из обычного.

  20. #18
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.05.2020
    Сообщений
    19
    Вес репутации
    12
    это уже из обычного(отредактировал), пользователь santy спрашивал просто, сказал в безопасном ничего нет, а в простом было:

    +
    сделайте, пожалуйста, образ автозапуска из безопасного режима системы
    есть подозрение на внедренные потоки в lsass
    (!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [548], tid=4256
    (!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [548], tid=4280

    - - - - -Добавлено - - - - -

    возможно ли что tdsskiller при безопасном режиме не нашел ничего из-за того что (безопасный режим был без интернета)?

  21. #19
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    11.11.2007
    Сообщений
    2,987
    Вес репутации
    104
    Давайте попробуем собрать этот же образ, только загрузив систему с LiveCD (точнее с флешки).

    На флешку скопируйте распакованный архив uVS.
    После загрузки из-под LiveCD откройте папку uVS и запустите файл Start.exe
    В открывшимся окне выберите пункт "Выбрать каталог Windows".
    Укажите путь к каталогу с установленной Windows (например C:\Windows\)
    Выберите пункт "Запустить под текущим пользователем"
    Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на съемном носителе.
    Программа выдаст запрос на установку каталога цифровых подписей, нажмите "Да" и в следующем окне "Ок".Дождитесь окончания работы программы, Полученный файл на флешке прикрепите к следующему сообщению.

  22. #20
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.05.2020
    Сообщений
    19
    Вес репутации
    12
    Спасибо за помощь, не знаю что сделал, пока пытался как то сообразить LiveCD на флешку(2 раза не удачно, собственно перезапустил пк 2 раза, т.к не правильно образы ставились), еще успел поставить KIS( касперского ), начал полную проверку, парачку файлов удалил, как мне показалось, не связанный с системной папкой, но уже процесс lsass.exe не кушает столько, сколько ему положено.
    Вобщем проблема решилась.(Не решилась, продолжение далее) Сейчас еще KIS'ом прогоню полную проверку на вирусы.
    Последний раз редактировалось Evgeniy35Rus; 23.05.2020 в 17:28.

Страница 1 из 2 12 Последняя

Похожие темы

  1. Ответов: 2
    Последнее сообщение: 31.01.2015, 14:32
  2. Ответов: 5
    Последнее сообщение: 24.10.2013, 20:46
  3. MBR сектор физ.диска
    От bushev_iv в разделе Помогите!
    Ответов: 4
    Последнее сообщение: 17.06.2011, 05:55
  4. Ответов: 9
    Последнее сообщение: 26.07.2010, 07:37
  5. Ответов: 7
    Последнее сообщение: 11.04.2010, 13:35

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00667 seconds with 18 queries