Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] Появилась программа каторая загружает процессор на 100% minerd.exe (http://forum.oszone.net/showthread.php?t=279260)

Igoreha 15-03-2014 00:19 2323706
Появилась программа каторая загружает процессор на 100% minerd.exe
 
Добрый вечер. Проверил уже наверное всеми антивирусниками, которые нашел. Периодически находит вирусы, но проблема не решается. Симптомы: Процессор загружен на 90-100%, интернет браузеры перестали заходить на необходимые сайты, если заходят, то некоторые приложения работают не правильно, некоторые программы стали работать не корректно. Слышал, каждый комьпютер индивидуален, так сказать нужен индивидуальный подход. Во вложении файлы, которые, как я понял, помогут разобраться. Надеюсь на вашу помощь.

regist 15-03-2014 13:25 2323837
Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:
begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\pc\AppData\Roaming\97282\HelpPane.exe','');
 QuarantineFile('C:\Users\pc\AppData\Roaming\nightupdate\svchost.exe','');
 QuarantineFile('C:\Users\pc\AppData\Local\Temp\~tmp3107057139358092190.tmp','');
 QuarantineFileF('C:\Users\pc\AppData\Roaming\97282\','*', true,'',0 ,0);
 QuarantineFileF('C:\Users\pc\AppData\Roaming\nightupdate','*', true,'',0 ,0);   
 DeleteFile('C:\Users\pc\AppData\Local\Temp\~tmp3107057139358092190.tmp','32');
 DeleteFile('C:\Windows\Tasks\q5o75vyam.job','64');
 DeleteFile('C:\Windows\system32\Tasks\q5o75vyam','64');
 DeleteFile('C:\Users\pc\AppData\Roaming\nightupdate\svchost.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NextLive','command');
QuarantineFileF('C:\Users\pc\AppData\Roaming\nightupdate','*', true,'',0 ,0);
 DeleteFileMask('C:\Users\pc\AppData\Roaming\nightupdate', '*', true);
 DeleteDirectory('C:\Users\pc\AppData\Roaming\nightupdate', '');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
после выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

Для повторной диагностики запустите снова AutoLogger. В первом диалоговом окне нажмите "ОК", удерживая нажатой клавишу "Shift".

+ посмотрите, что у вас в папках

Код:
C:\Users\pc\AppData\Roaming\Reeqvi
 C:\Users\pc\AppData\Roaming\Hiefwo
+ Пополните, пожалуйста, базу безопасных файлов антивирусной утилиты AVZ:
  1. Запустите AVZ.
  2. Выполните обновление баз (Меню Файл - Обновление баз)
  3. Закройте все приложения, и запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины)
  4. В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт № 4 ("Скрипт сбора неопознанных и подозрительных файлов") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_files_<имя_ПК>.zip
  5. Закачайте полученный архив, как описано на этой странице.
  6. Если размер архива превышает 100 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: RGhost, Zalil, Dump.Ru или WebFile) и укажите ссылку на скачивание в своём следующем сообщении.

+
  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
  • Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Igoreha 15-03-2014 16:53 2323909
Добрый день.
Делаю в АВЗ (Файл - Выполнить скрипт) запуск от имени администратора.
Мне пишет: expected в позиции 7:76

regist 15-03-2014 17:15 2323922
попробуйте снова.

Igoreha 15-03-2014 18:05 2323953
Сделал
 
Попробовал. Скрипт работает.
Сделал повторную диагностику AutoLogger
В папках C:\Users\pc\AppData\Roaming\Reeqvi и C:\Users\pc\AppData\Roaming\Hiefwo - пусто
Пополнил базу безопасных файлов антивирусной утилиты AVZ на http://webfile.ru/8873d5b25308a6bf20afc64d68b3c892
Отсканировал AdwCleaner (by Xplode). Файл во вложении
Скажите пожалуйста, что дальше? Избавился ли компьютер от вируса/ов?

Igoreha 15-03-2014 19:14 2323992
Компьютер стал работать не в пример лучше. Процессор не загружается на полную, зависаний нет, в диспетчере задач пропал процесс menerd, однако проблема с некоторыми сайтами антивирусных программ остались.

iskander-k 15-03-2014 21:57 2324046
+

• Скачайте Malwarebytes Anti-Malware, установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) . Откройте лог и скопируйте в блокнот и выложите в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

Igoreha 15-03-2014 22:17 2324058
+

• Скачайте Malwarebytes Anti-Malware, установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) . Откройте лог и скопируйте в блокнот и выложите в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

Добрый вечер iskander-k
По всей вероятности эта программа входит в список сайтов, посещать которые мой браузер не хочет

На данный момент так и не понял что мне делать с программой AdwCleaner.
Она открыта и как я понял из инструкции, следующий шаг, удалить все ненужные файлы.

regist 15-03-2014 23:57 2324093
- Удалите в AdwCleaner всё кроме папок от mail.ru и Yandex - если программами от mail.ru и Yandex не пользуетесь, то их тоже удалите.

Цитата:
Цитата Igoreha
В папках C:\Users\pc\AppData\Roaming\Reeqvi и C:\Users\pc\AppData\Roaming\Hiefwo - пусто »
их тоже удалите.

regist 16-03-2014 00:15 2324100
+ проверьте есть что-нибудь в папке
Код:
C:\Users\pc\AppData\Roaming\nightupdate
+ проверьте на http://virustotal.com/ файл
Код:
C:\Users\pc\AppData\Roaming\97282\HelpPane.exe

Igoreha 16-03-2014 00:22 2324102
C:\Users\pc\AppData\Roaming\nightupdate нет такой папки
C:\Users\pc\AppData\Roaming\97282\HelpPane.exe в этой папке нет такого файла

[q=regist]C:\Users\pc\AppData\Roaming\nightupdate НЕТ ТАКОЙ ПАПКИ

C:\Users\pc\AppData\Roaming\97282\HelpPane.exe НЕТ ТАКОГО ФАЙЛА

Igoreha 16-03-2014 00:34 2324107
Примерно час назад пропал доступ к вашему сайту, я решил что уже связь будет не восстановить и пошел (наверное) ВА-БАНК: в программе AdwCleaner нажал кнопку СLEAN. Во вложении отчет. Скорее всего таким действием я нарушил последовательность определенной процедуры. Может начать сначала.
P.S. По прежнему не могу зайти на сайты антивирусных программ. Пишет, нет соединения. Остальные (погода, соц. сети, и.тд. загружает без проблем)

thyrex 16-03-2014 10:32 2324180
Проверьте политики безопасности IP

Igoreha 16-03-2014 11:09 2324197
Доброе утро.
Пытался выполнить проверку безопасности IР.
Способ1: Путь "Пуск"- "Панель управления" - "Администрирование" - "Локальная политика безопасности". отсутствует "Локальная политика безопасности" Во вложении скрин.
Способ2: "WIN+R" соманда secpol.msc пишет не удается найти secpol.msc проверьте правильно ли указано имя и повторите попытку. Аналогично и domain.msc, dssite.msc, dompol.msc, dсpol.msc.

Igoreha 16-03-2014 12:20 2324229
Нашел решение:
Пуск-Выполнить-MMC. В открывшемся окне нажал Ctrl+M, и добавил Локальная политика безопасности в консоль.
Далее Нажал "управление списками ІР фильтров" Было два фильтра myfile1 и myfile2. Удалить не получается, пишет, что исползуеьтся в данный момент. Получилось изменить параметры (список заблокированных ІР.
Проблема исчезла. На любые сайты захожу без проблем.

Скачать Malwarebytes Anti-Malware не могу пишет 504 - Gateway Timeout

regist 16-03-2014 13:18 2324257
Цитата:
Цитата Igoreha
Скачать Malwarebytes Anti-Malware не могу пишет 504 - Gateway Timeout »
скачайте отсюда, обновления для него здесь


+
  1. Скачайте Universal Virus Sniffer (uVS)
  2. Извлеките uVS из архива или из zip-папки.
  3. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  4. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  5. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
    Код:
    ;uVS v3.81 script [http://dsrt.dyndns.org]

    adddir %SystemDrive%\USERS\pc\APPDATA\ROAMING
    crimg
  6. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  7. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы.
  8. После этого в папке с программой будет создан образ автозапуска название, которого имеет формат "имя_компьютера_дата_сканирования". Прикрепите этот образ к следующему сообщению
  9. !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
  10. Подробнее читайте в руководстве Как подготовить лог UVS

Igoreha 16-03-2014 16:39 2324361
Вложений: 3
Все сделал.
Отчеты во вложении.
Сканировал Malwarebytes Anti-Malware и Universal Virus Sniffer.
Жду Вашего ответа

regist 16-03-2014 17:29 2324396
Цитата:
Цитата Igoreha
Все сделал.
Отчеты во вложении.
Сканировал Malwarebytes Anti-Malware »
в MBAM надо было только просканировать, а не удалять сразу. С удалением Portable Adobe Photoshop вы переборщили.

  1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
    Код:
    ;uVS v3.82.2 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1

    OFFSGNSAVE
    BREG
    delref %SystemDrive%\USERS\PC\APPDATA\ROAMING\97282\HELPPANE.EXE
    zoo %SystemDrive%\PROGRAM FILES (X86)\WINDOWS LIVE\SOURCES\INSTALLTOOLBAR.BAT
  4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  6. После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)
    Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.
  7. Полученный архив отправьте на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
  8. Подробнее читайте в этом руководстве.


Цитата:
Цитата Igoreha
C:\Users\pc\AppData\Roaming\97282\HelpPane.exe НЕТ ТАКОГО ФАЙЛА »
а в папке
Код:
C:\Users\pc\AppData\Roaming\97282\
что-нибудь есть? Если да, то заархивируйте с паролем "virus" (без кавычек) и пришлите в карантин.

+
Код:
C:\PROGRAM FILES (X86)\WINDOWS LIVE\SOURCES\INSTALLTOOLBAR.BAT
вам знакомо?

+ пожалуйста, заархивируйте и прикрепите к своему сообщению папку
Код:
C:\Windows\System32\drivers\etc
ps. если лог не поместится во вложения можете загрузить его сюда http://rghost.ru/ и оставить ссылку на скачивание.

Igoreha 16-03-2014 17:51 2324414
Вложений: 1
  • etc.rar (7.20 KB, скачиваний: 9)
Пока работает uVS отвечу:
в MBAM надо было только просканировать, а не удалять сразу. С удалением Portable Adobe Photoshop вы переборщили. - согласен. Просто начинается паника. Один антивирус показывает 9 угроз, второй 5, 3 - 12, а 4 - 45. Размножаются, не успеваю удалять:)
C:\Users\pc\AppData\Roaming\97282\ - пусто.
C:\PROGRAM FILES (X86)\WINDOWS LIVE\SOURCES\INSTALLTOOLBAR.BAT - не имею ни малейшего понятия, что это.
Заархивировал, отправляю

Igoreha 16-03-2014 17:58 2324418
Не могу послушать музыку и посмотреть видео в соц. сетях. Бараузер Chrom. Это моя спешка, наверное.

regist 16-03-2014 23:50 2324608
Цитата:
Цитата Igoreha
C:\Users\pc\AppData\Roaming\97282\ - пусто. »
тоже удаляйте.

насчёт музыки и т.д. попробуйте переустановить флеш плеер.

+ скачайте отсюда Оперу и проверьте проблему в ней.

и какие проблемы сейчас остались?

Igoreha 17-03-2014 09:29 2324698
Доброе утро.
Папку 97282 удалил.
С музыкой разобрался, отключив плагины ScriptSafe и Edit This Cookie. Нареканий на работу компьютера нет. Все работает без сбоев. Компьютер вчера при выключении обновил Windows. Все загружается без проблем.
Спасибо Вам огромное за помощь!
P.S. Что делать дальше? Пометить тему как решенная?


Время: 20:36.

Время: 20:36.
© OSzone.net 2001-