[решено] Powershell.exe грузит систему

[TokyoTaMao]

Здравствуйте. Столкнулся с проблемой, которую здесь уже вы решали, а именно с этим powershell.exe. Ноутбук Acer Predator Helios 300. Проблема такая же, как и у многих: ЦП грузится до 70% просто так, когда ничего не делаю. До этого ещё и powershell включал внешнюю видеокарту, но в последнее время перестал это делать. При открытии диспетчера задач, эта служба сразу пропадает, но смог увидеть её через сторонний диспетчер задач. К тому же, Защитник Виндоус уже отключен (видимо этим вирусом), пишет в Защитнике, что отключён администратором, и включить его не получается, ползунок просто не активен. В принципе, с включённым диспетчером задач можно сидеть, всё нормально, но то, что антивирус не работает, это вызывает сомнения по поводу дальнейшей жизни ПК. Проверял ПК через CureIt, ничего не выявил. ПК не тормозится, даже если нагружается ЦП, просто нагревается и кулера на ноуте начинают быстрее работать.

Сам вирус появился недавно, я вроде случайно разрешил нежелательный процесс, и после этого пошло поехало. Думал решить проблему из соседних веток с такой же проблемой, но заметил, что везде разные процессы активируют данный вирус, так что решил не рисковать.

Логи прикрепил.

[Sandor]

Здравствуйте!

так что решил не рисковать. »
Вы правильно поступили, т.к. рекомендации здесь пишутся индивидуально.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО (http://safezone.cc/forum/showthread.php?t=18577).

Выполните скрипт в АВЗ (http://forum.oszone.net/post-1430637-4.html) (Файл - Выполнить скрипт):

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\ProgramData\Windows\Profile\1.vbs', '');
DeleteSchedulerTask('Microsoft\Windows\Maintenance\WinDAT');
DeleteSchedulerTask('Microsoft\Windows\Maintenance\WinNAT');
DeleteSchedulerTask('Microsoft\Windows\Power Efficiency Diagnostics\Power Efficiency Diagnostics');
DeleteFile('C:\ProgramData\Windows\Profile\1.vbs', '64');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'tokyo', '32');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'tokyo', '64');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.


Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью формы отправки карантина (http://dragokas.com/virusnet/) или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.



Повторите логи по правилам (http://forum.oszone.net/thread-98169.html). Для повторной диагностики запустите снова Autologger.
Прикрепите свежий CollectionLog.

[akok]

del

[TokyoTaMao]

Проблема разрешилась, хоть и когда запустил скрипт, там были сообщения красным. Подумал, что что-то не то сделал, но проблема решилась и процессор просто так не нагружается теперь. Спасибо вам большое, за ваш труд!

Отправляю обновлённые логи.

Файл quarantine.7z отправил через форму отправки. Прислали название файла, на всякий случай сюда выложу, может вам это необходимо: 2021.11.01_quarantine_f13f9d32f50c982f90aaee2501c418f1.7z

[Sandor]

Да, в логах тоже порядок.

В завершение и на будущее:

Загрузите SecurityCheck by glax24 & Severnyj (https://safezone.cc/resources/security-check-by-glax24.25/), сохраните утилиту на Рабочем столе и извлеките из архива.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

[TokyoTaMao]

Ещё раз, Спасибо вам огромное, вы очень помогли.

Прикрепил securitycheck файл.

[Sandor]

------------------------------- [ Windows ] -------------------------------
User Account Control enabled
The elevation prompt for administrators disabled
^It is recommended to enable (default): Win+R typing UserAccountControlSettings and Enter^
--------------------------- [ OtherUtilities ] ----------------------------
Microsoft Silverlight v.5.1.30214.0 Warning! This software is no longer supported.
calibre 64bit v.4.5.0 Warning! Download Update (https://calibre-ebook.com/download)
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.50 (64-разрядная) v.5.50.0 Warning! Download Update (https://www.rarlab.com/download.htm)
--------------------------------- [ P2P ] ---------------------------------
qBittorrent 4.3.5 v.4.3.5 Warning! Download Update (https://www.qbittorrent.org/download.php)
--------------------------------- [ SPY ] ---------------------------------
Radmin Viewer 3.5.2 v.3.52.1.0000 Warning! RAT!.
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 51 (64-bit) v.8.0.510 Warning! Download Update (https://java.com/download/manual.jsp)
Uninstall old version and install new one (jre-8u311-windows-x64.exe).
-------------------------------- [ Media ] --------------------------------
iTunes v.12.10.7.3 Warning! Download Update (https://www.apple.com/itunes/download/)
^Please use Apple Software Update tool.^
AIMP v.v4.70.2248, 04.04.2021 Warning! Download Update (https://aimp.ru/files/windows/builds/aimp_5.00.2338.exe)
HandBrake 1.0.7 v.1.0.7 Warning! Download Update (https://handbrake.fr/downloads.php)
QuickTime 7 v.7.79.80.95 Warning! This software is no longer supported. Please uninstall it (https://support.apple.com/HT205771) and use another software.
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Shockwave Player + Authorware Web Player v.v12.1.2.152 Warning! This software is no longer supported. Please uninstall it.
Adobe Acrobat Reader DC MUI v.20.009.20065 Warning! Download Update (http://get.adobe.com/reader/otherversions)
^Please run Acrobat Reader DC and go Help - Check for updates...^
------------------------------- [ Browser ] -------------------------------
Google Chrome v.95.0.4638.54 Warning! Download Update (https://www.google.com/intl/en/chrome/browser/desktop/index.html)
---------------------------- [ UnwantedApps ] -----------------------------
Auslogics BoostSpeed v.v5.5.1.0 Warning! Suspected demo version of anti-spyware, driver updater or optimizer (https://support.microsoft.com/en-us/help/2563254/microsoft-support-policy-for-the-use-of-registry-cleaning-utilities). If this program is not familiar to you it is recommended to uninstall it and execute PC scanning using Malwarebytes Anti-Malware (https://www.malwarebytes.org/mwb-download/). Possible you became a victim of fraud or social engineering.


Читайте Рекомендации после лечения. (http://forum.oszone.net/post-1838507-9.html)

[TokyoTaMao]

Спасибо за проверку. Не знаю что такое Auslogics BoostSpeed, он и не удаляется. В списке Программ и компонентов он есть, но папки такой нет (может когда-то пытался удалить его вручную). Скачал Malwarebytes Anti-Malware, но он не ругался на эту программу, так что думаю, что всё нормально. Спасибо большое!

[Sandor]

не удаляется. В списке Программ и компонентов он есть, но папки такой нет »
Удалите принудительно через Geek Uninstaller (http://www.geekuninstaller.com/geek.zip)