Решена Cmd.exe грузит цп

[Eureka]

Здравствуйте cmd.exe нагружает процессор в простое, при открытие диспетчера задач сразу перестает, похоже на майнер я полагаю. Логи прилагаю

 

[akok]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ из папки Autologger (Файл - Выполнить скрипт):

  begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
  SearchRootkit(true, true);
  SetAVZGuardStatus(True);
  end;
  SetServiceStart('sys64', 4);
 QuarantineFile('C:\Users\Champion\Desktop\AntiZapret\tools\winws.exe','');
 QuarantineFile('C:\Users\Champion\AppData\Roaming\Sys64\wlansinf\svcsys64.exe','');
 DeleteFile('C:\Users\Champion\AppData\Roaming\Sys64\wlansinf\svcsys64.exe','64');
 DeleteService('sys64');
   BC_Activate;
  ExecuteSysClean;
  ExecuteWizard('SCU', 2, 3, true);
 BC_ImportALL;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O4 - HKCU\..\Run: [RiotClient] = C:\SSD\Riot Games\Riot Client\RiotClientServices.exe --launch-background-mode (file missing)

Пополните, пожалуйста, базу безопасных файлов антивирусной утилиты AVZ:

1. Запустите AVZ.
2. Запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины).
3. В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт №8 ("VirusInfo.Info: Скрипт сбора файлов для экспресс-анализа ПК") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке с AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_auto_<имя_ПК>.zip
4. Закачайте полученный архив, как описано на этой странице.
5. Если размер архива превышает 250 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: Яндекс.Диск, My-Files.SU, MediaFire, Files.FM, Pixeldrain или karelia.ru - этот последний не желательно, он урезает скорость) и укажите ссылку на скачивание в своём следующем сообщении.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[Eureka]

Помогло процесс пропал, после перезагрузки ничего нет. quarantine.7z отправил на почту. Virusinfo загрузил

 

[akok]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  2024-11-11 01:15 - 2024-11-11 01:15 - 000000000 ____D C:\Users\Champion\AppData\Roaming\Sys64
  AlternateDataStreams: C:\ProgramData\ace-drc.dat:3A612465FA [3442]
  AlternateDataStreams: C:\ProgramData\ace-drc.dat:A0EB9E5270 [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AmneziaVPN.lnk:D19B7375C9 [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AmneziaWG.lnk:9D5798B91D [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\desktop.ini:41964AA945 [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Epic Games Launcher.lnk:BE32D07BC5 [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Excel.lnk:B96E9B8455 [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\foobar2000.lnk:6A9F97D342 [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Microsoft Edge.lnk:E77773B271 [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PowerPoint.lnk:1DC1525F34 [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Word.lnk:7AD7FA8AB1 [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WSL Settings.lnk:974A9F9DDD [4298]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WSL.lnk:E1AB424631 [4298]
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Помогло процесс пропал, после перезагрузки ничего нет.

Отлично, тогда сразу рекомендации после лечения.

Желательно:

Для автоматического обновления всех установленных программ ознакомьтесь с этой инструкцией.

Обязательно
Подготовьте лог лог SecurityCheck by glax24 посмотрим, что осталось не обновлённого с прошлого шага.

 

[Eureka]

Сделал fix 2 раза, в первый раз был не уверен что выполнил верно

 

[akok]

Раз проблемы больше не наблюдаем, то финализируем
Чтобы автоматически удалить все файлы и папки, созданные FRST, в том числе сам инструмент, переименуйте FRST/FRST64.exe в uninstall.exe и запустите его. Процедура требует перезагрузки системы.


Ознакомьтесь: Рекомендации после лечения

Исправьте по возможности
--------------------------- [ OtherUtilities ] ----------------------------
Microsoft Office LTSC профессиональный плюс 2021 - ru-ru v.16.0.14332.20493 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office.^
Среда выполнения Microsoft Edge WebView2 Runtime v.130.0.2849.80 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.40.33810 v.14.40.33810.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.40.33810 v.14.40.33810.0 Внимание! Скачать обновления
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 23.01 (x64) v.23.01 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9157 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9157 Внимание! Скачать обновления
---------------------------- [ ProxyAndVPNs ] -----------------------------
AmneziaVPN v.4.8.0.4 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
qBittorrent v.4.6.5 Внимание! Скачать обновления
-------------------------------- [ Media ] --------------------------------
foobar2000 v2.1.5 (x64) v.2.1.5 Внимание! Скачать обновления
K-Lite Codec Pack 18.5.0 Full v.18.5.0 Внимание! Скачать обновления

Удачи