[решено] Троян(Майнер), Загрузка ЦП 50+%

[MeShuRa]

Здравствуйте.

Началось все пару дней назад, поймав 3 различных БСОДа, я начал гуглить коды ошибок. Найдя множество советов про проблемы с ОЗУ и пару советов про вирусы, не обратив на последние особого внимания, я решил что просто нужно почистить от пыли ОЗУ да и сам компьютер заодно. На третий день БСОДов не наблюдалось и я решив, что все в порядке, решил немного пострелять в комп. игры. Фризы и низкий фпс не давали мне покоя. Случайно заглянув в диспетчер задач, я обнаружил загрузку ЦП в 50%, виной тому был процесс под именем acnom.exe. Вооружившись верным гуглом, я пришел к выводу, что это не системный процесс, хотя и очень похож по имени на acmon.exe, который гугл мне так яростно предлагал. Из множества способов борьбы с вирусами на ум пришли только Касперский и CureIT, со второго то я и решил начать.



Проверка CureIT(в обычном режиме) нашла 3 угрозы, собственно сам acnom.exe, его напарник из той же папки control.exe и какие-то изменения в файле HOSTS. Лечение с перезапуском не помогло, файлы вернулись в двойном объеме если верить CureIT(появились копии каждого в других папках). Не зная что делать, решил попробовать ваш форум, много раз попадал сюда через гугл, но никак не решался зарегистрироваться. Очень уж не дружелюбно выглядит сайт для чайников вроде меня.

Большинство рекомендует лечить Майнеры путем удаления всех файлов связанных с данными процессами и чисткой автозапуска + запланированных задач. Я решил не рисковать и сначала проконсультироваться у вас.

Прочитав правила форума, добавил информацию о ПК и прикрепил Autolog файл к данному сообщению.

С нетерпением жду дальнейших инструкций и надеюсь на вашу скорую помощь!

Вложения

CollectionLog-2017.04.25-04.15.zip

(53.97 КБ) 0 скачиваний

CollectionLog-2017.04.25-04.15.zip

(53.97 КБ) 0 скачиваний

[Sandor]

Здравствуйте!



Закройте все программы,

временно выгрузите антивирус, файрволл и прочее защитное ПО

.

FAQ Помощи по рекомендациям и советам консультантов

(Файл - Выполнить скрипт):





Код:

Код: Выделить всё

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\windows\registration\regdrv.exe');
 TerminateProcessByName('c:\sysdata\control.exe');
 TerminateProcessByName('C:\SysData\acnom.exe');
 TerminateProcessByName('C:\ProgramData\Chr0me.exe');
 TerminateProcessByName('c:\programdata\windowsupgrade.exe');
 QuarantineFile('c:\windows\registration\regdrv.exe','');
 QuarantineFile('c:\sysdata\control.exe','');
 QuarantineFile('C:\SysData\acnom.exe','');
 QuarantineFile('C:\ProgramData\Chr0me.exe', '');
 QuarantineFile('c:\programdata\windowsupgrade.exe', '');
 ExecuteFile('schtasks.exe', '/delete /TN "RegUpdate" /F', 0, 15000, true);
 DeleteFile('C:\SysData\acnom.exe','32');
 DeleteFile('c:\sysdata\control.exe','32');
 DeleteFile('c:\windows\registration\regdrv.exe','32');
 DeleteFile('C:\ProgramData\Chr0me.exe', '32');
 DeleteFile('c:\programdata\windowsupgrade.exe', '32');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Registry Driver');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Registry Driver');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','WindowsUpgrade');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.







Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью

этой формы

или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine safezone.cc (замените [/i] на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.







Повторите логи по

Вам нужна помощь? Нам нужны ваши логи! Если их не будет, мы отправим вас в эту тему.

. Для повторной диагностики запустите снова Autologger.

[Sandor]

Сделано.

[Sandor]

В логах порядок. Проблема решена?

[MeShuRa]

Сделано.

Вложения

Вложение CollectionLog-2017.04.25-15.15.zip больше недоступно

[MeShuRa]

Вроде бы да, если конечно при дальнейших перезагрузках он опять не вылезет...

[Sandor]

Проверьте уязвимые места:Загрузите

SecurityCheck by glax24 & Severnyj

и сохраните утилиту на Рабочем столеЗапустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работуДождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txtЕсли Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txtПрикрепите этот файл к своему следующему сообщению.

[MeShuRa]

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.17239 Внимание!

Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Контроль учётных записей пользователя отключен

Запрос на повышение прав для администраторов отключен

^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^

Автоматическое обновление отключено

Дата установки обновлений: 2014-08-19 15:27:57

--------------------------- [ FirewallWindows ] ---------------------------

Брандмауэр Windows (MpsSvc) - Служба работает

Отключен общий профиль Брандмауэра Windows

Отключен частный профиль Брандмауэра Windows

--------------------------------- [ IM ] ----------------------------------

Skype™ 7.33 v.7.33.105 Внимание!

Скачать обновления

^Необязательное обновление.^

--------------------------------- [ P2P ] ---------------------------------

µTorrent v.3.4.9.42973 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Flash Player 14 ActiveX v.14.0.0.176 Внимание!

Скачать обновления

Adobe Flash Player 14 Plugin v.14.0.0.179 Внимание!

Скачать обновления

------------------------------- [ Browser ] -------------------------------

Google Chrome v.57.0.2987.133 Внимание!

Скачать обновления

^Проверьте обновления через меню Справка - О Google Chrome!^

---------------------------- [ UnwantedApps ] -----------------------------

Pando Media Booster v.2.6.0.7 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.





Прочтите и выполните

FAQ Помощи по рекомендациям и советам консультантов

[Sandor]

Спасибо, сделаем.

[MeShuRa]

Спасибо, сделаем.