Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] Powershell.exe грузит систему (http://forum.oszone.net/showthread.php?t=349924)

TokyoTaMao 01-11-2021 16:52 2970318
Powershell.exe грузит систему
 
Вложений: 1
Здравствуйте. Столкнулся с проблемой, которую здесь уже вы решали, а именно с этим powershell.exe. Ноутбук Acer Predator Helios 300. Проблема такая же, как и у многих: ЦП грузится до 70% просто так, когда ничего не делаю. До этого ещё и powershell включал внешнюю видеокарту, но в последнее время перестал это делать. При открытии диспетчера задач, эта служба сразу пропадает, но смог увидеть её через сторонний диспетчер задач. К тому же, Защитник Виндоус уже отключен (видимо этим вирусом), пишет в Защитнике, что отключён администратором, и включить его не получается, ползунок просто не активен. В принципе, с включённым диспетчером задач можно сидеть, всё нормально, но то, что антивирус не работает, это вызывает сомнения по поводу дальнейшей жизни ПК. Проверял ПК через CureIt, ничего не выявил. ПК не тормозится, даже если нагружается ЦП, просто нагревается и кулера на ноуте начинают быстрее работать.

Сам вирус появился недавно, я вроде случайно разрешил нежелательный процесс, и после этого пошло поехало. Думал решить проблему из соседних веток с такой же проблемой, но заметил, что везде разные процессы активируют данный вирус, так что решил не рисковать.

Логи прикрепил.

Sandor 01-11-2021 17:11 2970320
Здравствуйте!

Цитата:
Цитата TokyoTaMao
так что решил не рисковать. »
Вы правильно поступили, т.к. рекомендации здесь пишутся индивидуально.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:
begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Windows\Profile\1.vbs', '');
 DeleteSchedulerTask('Microsoft\Windows\Maintenance\WinDAT');
 DeleteSchedulerTask('Microsoft\Windows\Maintenance\WinNAT');
 DeleteSchedulerTask('Microsoft\Windows\Power Efficiency Diagnostics\Power Efficiency Diagnostics');
 DeleteFile('C:\ProgramData\Windows\Profile\1.vbs', '64');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'tokyo', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'tokyo', '64');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

Код:
begin
 DeleteFile(GetAVZDirectory+'quarantine.7z');
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.
Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.



Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.
Прикрепите свежий CollectionLog.

akok 01-11-2021 17:15 2970321
del

TokyoTaMao 01-11-2021 18:26 2970334
Вложений: 1
Проблема разрешилась, хоть и когда запустил скрипт, там были сообщения красным. Подумал, что что-то не то сделал, но проблема решилась и процессор просто так не нагружается теперь. Спасибо вам большое, за ваш труд!

Отправляю обновлённые логи.

Файл quarantine.7z отправил через форму отправки. Прислали название файла, на всякий случай сюда выложу, может вам это необходимо: 2021.11.01_quarantine_f13f9d32f50c982f90aaee2501c418f1.7z

Sandor 01-11-2021 20:22 2970340
Да, в логах тоже порядок.

В завершение и на будущее:
  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

TokyoTaMao 02-11-2021 12:39 2970405
Вложений: 1
Ещё раз, Спасибо вам огромное, вы очень помогли.

Прикрепил securitycheck файл.

Sandor 02-11-2021 15:11 2970430
------------------------------- [ Windows ] -------------------------------
User Account Control enabled
The elevation prompt for administrators disabled
^It is recommended to enable (default): Win+R typing UserAccountControlSettings and Enter^
--------------------------- [ OtherUtilities ] ----------------------------
Microsoft Silverlight v.5.1.30214.0 Warning! This software is no longer supported.
calibre 64bit v.4.5.0 Warning! Download Update
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.50 (64-разрядная) v.5.50.0 Warning! Download Update
--------------------------------- [ P2P ] ---------------------------------
qBittorrent 4.3.5 v.4.3.5 Warning! Download Update
--------------------------------- [ SPY ] ---------------------------------
Radmin Viewer 3.5.2 v.3.52.1.0000 Warning! RAT!.
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 51 (64-bit) v.8.0.510 Warning! Download Update
Uninstall old version and install new one (jre-8u311-windows-x64.exe).
-------------------------------- [ Media ] --------------------------------
iTunes v.12.10.7.3 Warning! Download Update
^Please use Apple Software Update tool.^
AIMP v.v4.70.2248, 04.04.2021 Warning! Download Update
HandBrake 1.0.7 v.1.0.7 Warning! Download Update
QuickTime 7 v.7.79.80.95 Warning! This software is no longer supported. Please uninstall it and use another software.
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Shockwave Player + Authorware Web Player v.v12.1.2.152 Warning! This software is no longer supported. Please uninstall it.
Adobe Acrobat Reader DC MUI v.20.009.20065 Warning! Download Update
^Please run Acrobat Reader DC and go Help - Check for updates...^
------------------------------- [ Browser ] -------------------------------
Google Chrome v.95.0.4638.54 Warning! Download Update
---------------------------- [ UnwantedApps ] -----------------------------
Auslogics BoostSpeed v.v5.5.1.0 Warning! Suspected demo version of anti-spyware, driver updater or optimizer. If this program is not familiar to you it is recommended to uninstall it and execute PC scanning using Malwarebytes Anti-Malware. Possible you became a victim of fraud or social engineering.


Читайте Рекомендации после лечения.

TokyoTaMao 03-11-2021 18:24 2970611
Спасибо за проверку. Не знаю что такое Auslogics BoostSpeed, он и не удаляется. В списке Программ и компонентов он есть, но папки такой нет (может когда-то пытался удалить его вручную). Скачал Malwarebytes Anti-Malware, но он не ругался на эту программу, так что думаю, что всё нормально. Спасибо большое!

Sandor 03-11-2021 21:08 2970644
Цитата:
Цитата TokyoTaMao
не удаляется. В списке Программ и компонентов он есть, но папки такой нет »
Удалите принудительно через Geek Uninstaller


Время: 21:43.

Время: 21:43.
© OSzone.net 2001-