Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] Троян(Майнер), Загрузка ЦП 50+% (http://forum.oszone.net/showthread.php?t=326274)

MeShuRa 25-04-2017 02:35 2732113
Троян(Майнер), Загрузка ЦП 50+%
 
Вложений: 1
Здравствуйте.
Началось все пару дней назад, поймав 3 различных БСОДа, я начал гуглить коды ошибок. Найдя множество советов про проблемы с ОЗУ и пару советов про вирусы, не обратив на последние особого внимания, я решил что просто нужно почистить от пыли ОЗУ да и сам компьютер заодно. На третий день БСОДов не наблюдалось и я решив, что все в порядке, решил немного пострелять в комп. игры. Фризы и низкий фпс не давали мне покоя. Случайно заглянув в диспетчер задач, я обнаружил загрузку ЦП в 50%, виной тому был процесс под именем acnom.exe. Вооружившись верным гуглом, я пришел к выводу, что это не системный процесс, хотя и очень похож по имени на acmon.exe, который гугл мне так яростно предлагал. Из множества способов борьбы с вирусами на ум пришли только Касперский и CureIT, со второго то я и решил начать.

Проверка CureIT(в обычном режиме) нашла 3 угрозы, собственно сам acnom.exe, его напарник из той же папки control.exe и какие-то изменения в файле HOSTS. Лечение с перезапуском не помогло, файлы вернулись в двойном объеме если верить CureIT(появились копии каждого в других папках). Не зная что делать, решил попробовать ваш форум, много раз попадал сюда через гугл, но никак не решался зарегистрироваться. Очень уж не дружелюбно выглядит сайт для чайников вроде меня. :)
Большинство рекомендует лечить Майнеры путем удаления всех файлов связанных с данными процессами и чисткой автозапуска + запланированных задач. Я решил не рисковать и сначала проконсультироваться у вас.
Прочитав правила форума, добавил информацию о ПК и прикрепил Autolog файл к данному сообщению.
С нетерпением жду дальнейших инструкций и надеюсь на вашу скорую помощь!

Sandor 25-04-2017 08:44 2732133
Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\windows\registration\regdrv.exe');
 TerminateProcessByName('c:\sysdata\control.exe');
 TerminateProcessByName('C:\SysData\acnom.exe');
 TerminateProcessByName('C:\ProgramData\Chr0me.exe');
 TerminateProcessByName('c:\programdata\windowsupgrade.exe');
 QuarantineFile('c:\windows\registration\regdrv.exe','');
 QuarantineFile('c:\sysdata\control.exe','');
 QuarantineFile('C:\SysData\acnom.exe','');
 QuarantineFile('C:\ProgramData\Chr0me.exe', '');
 QuarantineFile('c:\programdata\windowsupgrade.exe', '');
 ExecuteFile('schtasks.exe', '/delete /TN "RegUpdate" /F', 0, 15000, true);
 DeleteFile('C:\SysData\acnom.exe','32');
 DeleteFile('c:\sysdata\control.exe','32');
 DeleteFile('c:\windows\registration\regdrv.exe','32');
 DeleteFile('C:\ProgramData\Chr0me.exe', '32');
 DeleteFile('c:\programdata\windowsupgrade.exe', '32');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Registry Driver');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Registry Driver');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','WindowsUpgrade');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.



Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.



Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

MeShuRa 25-04-2017 12:17 2732165
Вложений: 1
Сделано.

Sandor 25-04-2017 12:33 2732175
В логах порядок. Проблема решена?

MeShuRa 25-04-2017 12:50 2732179
Вроде бы да, если конечно при дальнейших перезагрузках он опять не вылезет...

Sandor 25-04-2017 12:52 2732180
Проверьте уязвимые места:
  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

MeShuRa 25-04-2017 12:58 2732183
Вложений: 1
Сделано.

Sandor 25-04-2017 13:05 2732186
------------------------------- [ Windows ] -------------------------------
Internet Explorer 11.0.9600.17239 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^
Контроль учётных записей пользователя отключен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено
Дата установки обновлений: 2014-08-19 15:27:57
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Windows (MpsSvc) - Служба работает
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
--------------------------------- [ IM ] ----------------------------------
Skype™ 7.33 v.7.33.105 Внимание! Скачать обновления
^Необязательное обновление.^
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.4.9.42973 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 14 ActiveX v.14.0.0.176 Внимание! Скачать обновления
Adobe Flash Player 14 Plugin v.14.0.0.179 Внимание! Скачать обновления
------------------------------- [ Browser ] -------------------------------
Google Chrome v.57.0.2987.133 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Google Chrome!^
---------------------------- [ UnwantedApps ] -----------------------------
Pando Media Booster v.2.6.0.7 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.


Прочтите и выполните Рекомендации после лечения.

MeShuRa 25-04-2017 13:09 2732187
Спасибо, сделаем.

MeShuRa 25-04-2017 17:37 2732243
Вложений: 2
Все сделано.
На всякий случай еще раз сделал и выложил SecuirityCheck и CollectionLog. Создал новую точку восстановления, удалил все старые, произвел все необходимые рекомендации. Скайп обновил и он пишет, что используется последняя версия, но SecuirityCheck твердит обратное, а так все вроде в порядке.
Если у вас нету никаких замечаний, я готов вас поблагодарить и закрыть тему. :)

Sandor 26-04-2017 08:21 2732383
Цитата:
Цитата MeShuRa
используется последняя версия, но SecuirityCheck »
Как Вы заметили, это было необязательное обновление. В разных регионах обновления приходят по разному, так что это нормально.

Замечаний нет, будьте бдительны. Удачи!

MeShuRa 26-04-2017 09:32 2732395
Еще раз огромное спасибо!
Проблема решена, тема закрыта.


Время: 22:44.

Время: 22:44.
© OSzone.net 2001-