lsass.exe много использует физ.памяти. [Rootkit.Win64.Agent.bfi]

[Evgeniy35Rus]

При запуске системы эта программа работает нормально, но как только открываю браузер, начинает нагрузка на систему этой программой.
И еще интернет активность этой программы мне не очень нравится(скриншот).

[Info_bot]

Уважаемый(ая) Evgeniy35Rus, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Sandor]

Здравствуйте!

Вы собрали логи устаревшей версией. Удалите Autologger и созданную им папку вместе с содержимым. Скачайте актуальную версию (по ссылке из правил) и повторите CollectionLog.

[Evgeniy35Rus]

сделал

[Sandor]

Временно отключите защитное ПО.
Выполните скрипт в AVZ:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Programdata\RealtekHD\taskhostw.exe', '');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\RealtekHDControl');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\RealtekHDStartUP');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\Taskhost');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\Taskhostw');
 DeleteFile('C:\Programdata\RealtekHD\taskhostw.exe', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.



Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.




Сделайте повторные логи по правилам. (CollectionLog)

[Evgeniy35Rus]

карантин не хочет отправляться, посмотрел в архиваторе там нет файлов, да ивес архива 22 байта.
а так удалился драйвер звука, но это не беда.
Вот новые логи.

[Sandor]

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[Evgeniy35Rus]

отчеты готовы

[Sandor]

Примите к сведению - после выполнения скрипта все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  HKLM\...\Policies\Explorer: [DisableCurrentUserRun] 0
  HKLM\...\Policies\Explorer: [DisableLocalMachineRun] 0
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer: [DisallowRun] 1
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [1] eav_trial_rus.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [2] avast_free_antivirus_setup_online.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [3] eis_trial_rus.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [4] essf_trial_rus.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [5] hitmanpro_x64.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [6] ESETOnlineScanner_UKR.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [7] ESETOnlineScanner_RUS.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [8] HitmanPro.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [9] 360TS_Setup_Mini.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [10] Cezurity_Scanner_Pro_Free.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\Policies\Explorer\DisallowRun: [11] Cube.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\MountPoints2: {1cbc5615-2f38-11ea-b566-14dae94365cb} - F:\Setup.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\MountPoints2: {50f8e519-9450-11ea-8be9-14dae94365cb} - G:\autorun.exe
  HKU\S-1-5-21-4193844167-875171526-3386438675-1000\...\MountPoints2: {55d40fb9-315a-11ea-8250-14dae94365cb} - F:\HiSuiteDownLoader.exe
  FF HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
  Task: {3C500707-3254-45B7-A7C9-C6FC69AFCF6B} - System32\Tasks\Microsoft\Windows\Windows Error Reporting\SystemInfo => C:\Users\cv\AppData\Roaming\\systemdiag\\sysinfo.exe <==== ATTENTION
  Task: {427B7A0F-C305-406C-B2FA-3C0FAFA21F02} - System32\Tasks\Microsoft\Windows\Wininet\Cleaner => C:\Programdata\WindowsTask\winlogon.exe [390144 2019-04-19] () [File not signed] <==== ATTENTION
  S3 TermService; C:\Windows\System32\svchost.exe [27136 2009-07-14] (Microsoft Windows -> Microsoft Corporation) <==== ATTENTION (no ServiceDLL) <==== ATTENTION (no ServiceDLL)
  S3 TermService; C:\Windows\SysWOW64\svchost.exe [20992 2009-07-14] (Microsoft Windows -> Microsoft Corporation) <==== ATTENTION (no ServiceDLL) <==== ATTENTION (no ServiceDLL)
  2020-05-22 12:47 - 2020-05-22 14:41 - 000000000 __SHD C:\Users\Все пользователи\Kaspersky Lab Setup Files
  2020-05-22 12:47 - 2020-05-22 14:41 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
  2020-05-22 12:47 - 2020-05-22 13:57 - 000000000 __SHD C:\Program Files\ESET
  2020-05-22 12:47 - 2020-05-22 13:41 - 000000000 __SHD C:\AdwCleaner
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\Norton
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\McAfee
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\grizzly
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\ESET
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\Doctor Web
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\360safe
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\Malwarebytes
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\Kaspersky Lab
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\COMODO
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\Common Files\McAfee
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\Cezurity
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\ByteFence
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\AVG
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files\AVAST Software
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\Panda Security
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\Kaspersky Lab
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\Cezurity
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\AVG
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 __SHD C:\Program Files (x86)\360
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 ____D C:\Users\cv\AppData\Roaming\WinRAR
  2020-05-22 12:47 - 2020-05-22 12:47 - 000000000 ____D C:\ProgramData\Avira
  2020-05-22 12:46 - 2020-05-22 12:48 - 000000000 __SHD C:\ProgramData\WindowsTask
  2020-05-22 12:46 - 2020-05-22 12:47 - 000000000 __SHD C:\ProgramData\Windows
  2020-05-22 12:46 - 2020-05-22 12:46 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
  2020-05-22 12:46 - 2020-05-22 12:46 - 000000000 ____D C:\ProgramData\System32
  2020-05-22 12:46 - 2020-05-22 12:46 - 000000000 ____D C:\ProgramData\MB3Install
  2020-05-22 12:46 - 2020-05-22 12:46 - 000000000 ____D C:\ProgramData\Malwarebytes
  2020-05-22 12:46 - 2020-05-22 12:46 - 000000000 ____D C:\ProgramData\Indus
  ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
  AlternateDataStreams: C:\ProgramData\TEMP:D8999815 [200]
  AlternateDataStreams: C:\Users\cv\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
  AlternateDataStreams: C:\Users\cv\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
  FirewallRules: [{0F70E20A-D794-4CAD-ADA3-75CFDC88E961}] => (Allow) LPort=3389
  FirewallRules: [{1117EA92-6085-4546-88B1-DFFF7E5835E1}] => (Allow) LPort=3389
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

[Evgeniy35Rus]

вот лог

[Sandor]

удалился драйвер звука

Это майнер под него маскировался. Сейчас что, нет звука?

[Evgeniy35Rus]

не было, сейчас опять поставил драйвер, нужен был просто от своего контроллера звукового.
Пару сеансов проверил компьютер даже без звука с этим процессом нагрузка шла

[Sandor]

Что сейчас с нагрузкой?

[Evgeniy35Rus]

также

[Sandor]

Сделайте полный образ автозапуска uVS, только программу скачайте отсюда

[Evgeniy35Rus]

полный образ автозапуска, (это что он так на пиратку и на кряки программ ругается).

- - - - -Добавлено - - - - -

образ автозапуска из безопасного режима системы

[Sandor]

образ автозапуска из безопасного режима

А зачем же из безопасного собирали? В обычном не получилось?
Переделайте из обычного.

[Evgeniy35Rus]

это уже из обычного(отредактировал), пользователь santy спрашивал просто, сказал в безопасном ничего нет, а в простом было:

+
сделайте, пожалуйста, образ автозапуска из безопасного режима системы
есть подозрение на внедренные потоки в lsass
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [548], tid=4256
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [548], tid=4280

- - - - -Добавлено - - - - -

возможно ли что tdsskiller при безопасном режиме не нашел ничего из-за того что (безопасный режим был без интернета)?

[Sandor]

Давайте попробуем собрать этот же образ, только загрузив систему с LiveCD (точнее с флешки).

На флешку скопируйте распакованный архив uVS.
После загрузки из-под LiveCD откройте папку uVS и запустите файл Start.exe
В открывшимся окне выберите пункт "Выбрать каталог Windows".
Укажите путь к каталогу с установленной Windows (например C:\Windows\)
Выберите пункт "Запустить под текущим пользователем"
Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на съемном носителе.
Программа выдаст запрос на установку каталога цифровых подписей, нажмите "Да" и в следующем окне "Ок".Дождитесь окончания работы программы, Полученный файл на флешке прикрепите к следующему сообщению.

[Evgeniy35Rus]

Спасибо за помощь, не знаю что сделал, пока пытался как то сообразить LiveCD на флешку(2 раза не удачно, собственно перезапустил пк 2 раза, т.к не правильно образы ставились), еще успел поставить KIS( касперского ), начал полную проверку, парачку файлов удалил, как мне показалось, не связанный с системной папкой, но уже процесс lsass.exe не кушает столько, сколько ему положено.
Вобщем проблема решилась.(Не решилась, продолжение далее) Сейчас еще KIS'ом прогоню полную проверку на вирусы.