Падает ФПС в играх, постоянный вход в систему в службе событий

[JNY]

Постоянно вылетают разные события по типу : Новому сеансу входа назначены специальные привилегии.
Перечислено участие пользователя в локальных группах.
Задан неправильный размер формы. HHCTRL
Уже с этим сталкивался и удалось случайно побороть каким то чистильщиком, но сейчас тоже самое, фпс проседает каждые 5 минут (
Прогнал AVZ и Search Spy Bot - пока не помогает... с чего начать капать

[Info_bot]

Уважаемый(ая) JNY, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[JNY]

Логи Autologger
CollectionLog-2021.09.14-12.15.zip

[Sandor]

Здравствуйте!

Spybot - Search & Destroy деинсталлируйте как бесполезный (если не вредный).
Windows Driver Package - Silicon Laboratories (silabenm) Ports - если не самостоятельно ставили, тоже удалите.

Временно отключите защитное ПО.
Выполните скрипт в AVZ:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 StopService('TRIXX');
 QuarantineFile('C:\Temp\TRIXX.sys', '');
 DeleteSchedulerTask('Temp');
 DeleteFile('C:\Temp\TRIXX.sys', '64');
 DeleteService('TRIXX');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(13);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.



Файл quarantine.zip из папки AVZ (если не пустой) загрузите по ссылке "Прислать запрошенный карантин" вверху темы.



Сделайте повторные логи по правилам. (CollectionLog)

[JNY]

Сделано!CollectionLog-2021.09.14-13.02.zip

[Sandor]

Прикреплять карантин (к тому же пустой) к сообщению не нужно было. Если сможете, удалите.

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[JNY]

All DONE!

- - - - -Добавлено - - - - -

То что троян я уже понял на 100%, некоторые exe файлы пропали с раб стола, постоянная активность explorer и svhost, постоянный вход в систtму, постоянно читает данные профиля Windows

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKU\.DEFAULT\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-537805922-762440798-1252638814-1001\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  CHR HomePage: Default -> hxxps://yandex.ru/search/?text=%D0%BA%D0%B0%D0%BA%20%D0%BE%D0%BF%D1%83%D1%81%D1%82%D0%B8%D1%82%D1%8C%20%D0%BA%D0%BB%D0%B8%D1%80%D0%B5%D0%BD%D1%81%20%D0%BD%D0%B0%20%D0%BF%D0%BD%D0%B5%D0%B2%D0%BC%D0%BE%20taureg%202005&lr=193
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

[JNY]

Спасибо вам добрый человек за помощь!

[Sandor]

Если проблема решена, в завершение:

1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[JNY]

Перезапуск службы защиты программного обеспечения успешно запланирован на 2021-09-15T10:55:19Z. Причина: RulesEngine.

Перечислено участие пользователя в локальных группах.

Subject:
ИД безопасности: HOME-PC\Gracesko
Имя учетной записи: Gracesko
Домен учетной записи: HOME-PC
ИД входа: 0x8EED3

Пользователь:
ИД безопасности: HOME-PC\Gracesko
Имя учетной записи: Gracesko
Домен учетной записи: HOME-PC

Сведения о процессе:
ИД процесса: 0x1a3c
Имя процесса: C:\Windows\explorer.exe

Активность все равно какая то каждую минуту, хотя после выполнения в frst 5 минут не было записей потом опять посыпались.

Да - входы осуществляются каждые минут 5, проблема не решена я так понимаю

Новому сеансу входа назначены специальные привилегии.

Субъект:
ИД безопасности: СИСТЕМА
Имя учетной записи: СИСТЕМА
Домен учетной записи: NT AUTHORITY
Код входа: 0x3E7

Привилегии: SeAssignPrimaryTokenPrivilege
SeTcbPrivilege
SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeAuditPrivilege
SeSystemEnvironmentPrivilege
SeImpersonatePrivilege
SeDelegateSessionUserImpersonatePrivilege

[Sandor]

------------------------------- [ Windows ] -------------------------------
Internet Explorer 11.630.19041.0 Внимание! Скачать обновления
Контроль учётных записей пользователя отключен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
-------------------------------- [ Media ] --------------------------------
K-Lite Codec Pack 16.1.2 Basic v.16.1.2 Внимание! Скачать обновления
------------------------------- [ Browser ] -------------------------------
Mozilla Firefox 88.0.1 (x64 ru) v.88.0.1 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Firefox!^

Активность все равно какая то каждую минуту

Это уже не связано с "вирусами". По нашей части в системе порядок.

[JNY]

K-lte и Firefox сейчас удалю и проверим в играх, о результатах сообщу, заранее спасибо!

- - - - -Добавлено - - - - -

K-lte и Firefox сейчас удалю и проверим в играх, о результатах сообщу, заранее спасибо!

Проблема осталась((( куда еще можно копать, когда проседает фпс в событиях
Безопасность:
Новому сеансу входа назначены специальные привилегии.


Субъект:
ИД безопасности: СИСТЕМА
Имя учетной записи: СИСТЕМА
Домен учетной записи: NT AUTHORITY
Код входа: 0x3E7


Привилегии: SeAssignPrimaryTokenPrivilege
SeTcbPrivilege
SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeAuditPrivilege
SeSystemEnvironmentPrivilege
SeImpersonatePrivilege
SeDelegateSessionUserImpersonatePrivilege
и
Вход в учетную запись выполнен успешно.


Субъект:
ИД безопасности: СИСТЕМА
Имя учетной записи: HOME-PC$
Домен учетной записи: WORKGROUP
ИД входа: 0x3E7


Сведения о входе:
Тип входа: 5
Ограниченный режим администрирования: -
Виртуальная учетная запись: Нет
Расширенный маркер: Да


Уровень олицетворения: Олицетворение


Новый вход:
ИД безопасности: СИСТЕМА
Имя учетной записи: СИСТЕМА
Домен учетной записи: NT AUTHORITY
ИД входа: 0x3E7
Связанный ИД входа: 0x0
Сетевое имя учетной записи: -
Сетевой домен учетной записи: -
GUID входа: {00000000-0000-0000-0000-000000000000}


Сведения о процессе:
ИД процесса: 0x33c
Имя процесса: C:\Windows\System32\services.exe


Сведения о сети:
Имя рабочей станции: -
Сетевой адрес источника: -
Порт источника: -


Подробные сведения о проверке подлинности:
Процесс входа: Advapi
Пакет проверки подлинности: Negotiate
Промежуточные службы: -
Имя пакета (только NTLM): -
Длина ключа: 0
Это я так понимаю в службах уже какие то косяки, либо заражение

[Sandor]

Давайте ещё такой лог посмотрим:
Сделайте полный образ автозапуска uVS, только программу скачайте отсюда

[JNY]

Интересная программка, есть кнопки убить вирусы руткиты и тд, ничего не нажимал , сделал только образ автозапуска
Образ сюда уже не кинуть( пишет макс размер файла) кидаю на Я.Диск

https://disk.yandex.ru/d/2DEorssMXFmgTg

Если не побежу буду ставить с нуля, чего бы конечно не хотелось ... Еще это сборка win уменя compact

[Sandor]

Постоянно вылетают разные события по типу : Новому сеансу входа назначены специальные привилегии.

Поясните (можно скриншотом): "вылетают" - это появляется некое сообщение? Что из программ в это время запущено?

Выполните скрипт в uVS:

;uVS v4.11.8 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
;---------command-block---------
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.71\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.59\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.65\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.59\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.63\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.45\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.145.49\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.57\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.72\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.92\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.35\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.39\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.82\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.71\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.59\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.65\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.59\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.141.63\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.45\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.145.49\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.143.57\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.72\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.92\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.35\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.39\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\UPDATE\1.3.107.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.82\PSMACHINE_64.DLL
delref %SystemDrive%\TEMP\TRIXX.SYS
apply

regt 39
deltmp
restart

Компьютер перезагрузится.

После перезагрузки соберите ещё раз образ автозапуска uVS.

[JNY]

Каждые 3-5 минут 2 события , ничего не запущено- все что только с автозапуска - даже когда я отхожу от компа на час два:
Лог прикрепилhttps://disk.yandex.ru/d/Dwp2gOe0Z68_kw.

- - - - -Добавлено - - - - -

Вход в учетную запись выполнен успешно.
Субъект:
ИД безопасности: СИСТЕМА
Имя учетной записи: HOME-PC$
Домен учетной записи: WORKGROUP
ИД входа: 0x3E7

Сведения о входе:
Тип входа: 5
Ограниченный режим администрирования: -
Виртуальная учетная запись: Нет
Расширенный маркер: Да

Уровень олицетворения: Олицетворение

Новый вход:
ИД безопасности: СИСТЕМА
Имя учетной записи: СИСТЕМА
Домен учетной записи: NT AUTHORITY
ИД входа: 0x3E7
Связанный ИД входа: 0x0
Сетевое имя учетной записи: -
Сетевой домен учетной записи: -
GUID входа: {00000000-0000-0000-0000-000000000000}

- - - - -Добавлено - - - - -

Новому сеансу входа назначены специальные привилегии.

Субъект:
ИД безопасности: СИСТЕМА
Имя учетной записи: СИСТЕМА
Домен учетной записи: NT AUTHORITY
Код входа: 0x3E7

Привилегии: SeAssignPrimaryTokenPrivilege
SeTcbPrivilege
SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeAuditPrivilege
SeSystemEnvironmentPrivilege
SeImpersonatePrivilege
SeDelegateSessionUserImpersonatePrivilege

[Sandor]

Выполните скрипт в uVS:

;uVS v4.11.8 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
cexec wevtutil.exe epl Security Security.evtx
cexec wevtutil.exe epl System system.evtx
cexec wevtutil.exe epl Application Application.evtx
cexec wevtutil.exe epl "Microsoft-Windows-Windows Defender/Operational" wd.evtx "/q:*[System [(EventID=1116)]]"
cexec pack\7za.exe a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=128m Events.7z *.evtx
regt 40
restart

Компьютер перезагрузится.

Файл Events.7z из папки UVS залейте на я.диск и дайте ссылку на скачивание.

[JNY]

https://disk.yandex.ru/d/RciVBzmczlCUtw

[Vvvyg]

Стало чуть понятнее, видно, что ломится Chrome:

Учетной записи не удалось выполнить вход в систему.

Субъект:
ИД безопасности: S-1-5-21-537805922-762440798-1252638814-1001
Имя учетной записи: Gracesko
Домен учетной записи: HOME-PC
Код входа: 0x53E07

Тип входа: 2

Учетная запись, которой не удалось выполнить вход:
ИД безопасности: NULL SID
Имя учетной записи: Gracesko
Домен учетной записи: HOME-PC

Сведения об ошибке:
Причина ошибки: Неизвестное имя пользователя или неверный пароль.
Состояние: 0xC000006E
Подсостояние: 0xC000006E

Сведения о процессе:
Идентификатор процесса вызывающей стороны: 0x648
Имя процесса вызывающей стороны: C:\Program Files\Google\Chrome\Application\chrome.exe

Сведения о сети:
Имя рабочей станции: HOME-PC
Сетевой адрес источника: -
Порт источника: -

С чем связано такое поведение, пока не удалось разобраться.

- - - - -Добавлено - - - - -

Есть одно предположение: Браузер может запрашивать пароль при попытке просмотра сохранённых паролей. Возможно, какое-то расширение шалит.
Даже 2-е предположение появилось - при попытке сохранения чего-то - загрузки, компонента конфигурации в папку, где не хватает прав.

UAC включили? С ним понятнее будет.