[решено] Загрузка ЦП при закрытом диспетчере задач.

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

Загрузка ЦП при закрытом диспетчере задач.

Здравствуйте.

ЦП загружается на 50-60% в простое, заметил при просмотре через Aida64, но при открытии диспетчера задач, это загрузка резко падает до 1-8% Антивирусы не нашли ничего. Лог прикрепил.

Прошу помочь с этой проблемой.

Здравствуйте!

Через Панель управления (Параметры) - Удаление программ (Приложения и возможности) - удалите нежелательное ПО:

Цитата:

MediaGet

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

{Перед использованием скрипта убедиться, что в системе не установлены упомянутые в скрипте антивирусы. Автор скрипта: regist}

var

ProgramData, ProgramFiles, ProgramFiles86, fname, OSVer: string;

PD_folders, PF_folders, O_folders : TStringList;



procedure FillList;

begin

 PD_folders := TStringList.Create;

 PD_folders.Add('360TotalSecurity');

 PD_folders.Add('360safe');

 PD_folders.Add('AVAST Software');

 PD_folders.Add('Avg');

 PD_folders.Add('Avira');

 PD_folders.Add('ESET');

 PD_folders.Add('Indus');

 PD_folders.Add('Kaspersky Lab Setup Files');

 PD_folders.Add('Kaspersky Lab');

 PD_folders.Add('MB3Install');

 PD_folders.Add('Malwarebytes');

 PD_folders.Add('McAfee');

 PD_folders.Add('Norton');

 PD_folders.Add('grizzly');

 PD_folders.Add('RealtekHD');

 PD_folders.Add('RunDLL');

 PD_folders.Add('Setup');

 PD_folders.Add('System32');

 PD_folders.Add('Windows');

 PD_folders.Add('WindowsTask');

 PD_folders.Add('install');

 PF_folders := TStringList.Create;

 PF_folders.Add('360');

 PF_folders.Add('AVAST Software');

 PF_folders.Add('AVG');

 PF_folders.Add('ByteFence');

 PF_folders.Add('COMODO');

 PF_folders.Add('Cezurity');

 PF_folders.Add('Common Files\McAfee');

 PF_folders.Add('ESET');

 PF_folders.Add('Enigma Software Group');

 PF_folders.Add('GRIZZLY Antivirus');

 PF_folders.Add('Kaspersky Lab');

 PF_folders.Add('Malwarebytes');

 PF_folders.Add('Microsoft JDX');

 PF_folders.Add('Panda Security');

 PF_folders.Add('SpyHunter');

 PF_folders.Add('RDP Wrapper');

 O_folders := TStringList.Create;

 O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\AdwCleaner'));

 O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\KVRT_Data'));

 O_folders.Add(NormalDir('%windir%'+'\NetworkDistribution'));

 O_folders.Add(NormalDir('%windir%'+'\speechstracing'));

 O_folders.Add(NormalDir('%windir%'+'\Fonts\Mysql'));

end;



procedure Del_folders(path:string; AFL : TStringList);

var

i : integer;

begin

 for i := 0 to AFL.Count - 1 do

 begin

  fname := NormalDir(path + AFL[i]);

  if DirectoryExists(fname) then

          begin

                  QuarantineFileF(fname, '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);

                  DeleteFileMask(fname, '*', true);

                  DeleteDirectory(fname);

          end;

 end;

end;



procedure swprv;

begin

 ExecuteFile('sc.exe', 'create "swprv" binpath= "%SystemRoot%\System32\svchost.exe -k swprv" type= own start= demand depend= RPCSS', 0, 15000, true);

 RegKeyParamDel ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'wow64');

 RegKeyStrParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'Description', '@%SystemRoot%\System32\swprv.dll,-102');

 RegKeyStrParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'DisplayName', '@%SystemRoot%\System32\swprv.dll,-103');

 RegKeyIntParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'ServiceSidType', '1');

 RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%Systemroot%\System32\swprv.dll');

 OSVer := RegKeyStrParamRead('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion','CurrentVersion');

 if OSVer > '6.1' then RegKeyIntParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv\Parameters', 'ServiceDllUnloadOnStop', '1');;

 ExecuteFile('sc.exe', 'privs "swprv" SeBackupPrivilege/SeChangeNotifyPrivilege/SeCreateGlobalPrivilege/SeCreatePermanentPrivilege/SeImpersonatePrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeIncreaseBasePriorityPrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeTcbPrivilege', 0, 15000, true);

 ExecuteFile('net.exe', 'start "swprv"', 0, 15000, true);

end;



procedure  AV_block_remove;

begin

 clearlog;

 FillList;

 ProgramData := GetEnvironmentVariable('ProgramData');

 ProgramFiles := NormalDir('%PF%');

 ProgramFiles86 := NormalDir('%PF% (x86)');

 Del_folders(ProgramData +'\', PD_folders);

 Del_folders(ProgramFiles, PF_folders);

 Del_folders(ProgramFiles86, PF_folders);

 Del_folders('', O_folders);

 ExpRegKey('HKCU','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun','DisallowRun_backup.reg');

 RegKeyDel('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun');

 RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\services\TermService\Parameters', 'ServiceDlll', 'REG_EXPAND_SZ', '%SystemRoot%\System32\termsrv.dll');

 swprv;

 if MessageDLG('Удалить пользователя "John" ?'+ #13#10 + 'Если пользователь с таким именем вам не знаком, то нажмите "Да".', mtConfirmation, mbYes+mbNo, 0) = 6 then

        ExecuteFile('net.exe', 'user john /delete', 0, 15000, true);

 SaveLog(GetAVZDirectory +'AV_block_remove.log');

 PD_folders.Free;

 PF_folders.Free;

 O_folders.Free;

 ExecuteWizard('SCU', 2, 3, true);

 ExecuteSysClean;

end;



begin

 AV_block_remove;

 ExecuteRepair(13);

RebootWindows(true);

end.

Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

Код:

begin

 DeleteFile(GetAVZDirectory+'quarantine.7z');

 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);

end.

Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

Sandor, файл quarantine.7z превышает лимит в 10 мб отправки через http://dragokas.com/virusnet/ и лимит в 25 мб через почту.

Ладно, просто его удалите и продолжайте.

Вот результаты скана.

Примите к сведению - после выполнения скрипта все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

Отключите до перезагрузки антивирус.
Выделите следующий код:

Код:

Start:: SystemRestore: On CreateRestorePoint: HKLM\...\Run: [Realtek HD Audio] => C:\ProgramData\RealtekHD\taskhostw.exe <==== ATTENTION HKU\S-1-5-21-913620400-203814966-1364314930-1001\...\Policies\Explorer: [DisallowRun] 1 GroupPolicy: Restriction ? <==== ATTENTION Task: {0032161D-90F2-4D7F-BD29-D40A5D213008} - System32\Tasks\Microsoft\Windows\Wininet\Cleaner => C:\Programdata\WindowsTask\winlogon.exe <==== ATTENTION Task: {00D13E39-9FDB-4482-AD26-77EB655B1679} - System32\Tasks\Microsoft\Windows\Wininet\Taskhostw => C:\Programdata\RealtekHD\taskhostw.exe <==== ATTENTION Task: {1236D711-26CB-44F4-BAF3-45F18C83FC16} - System32\Tasks\Microsoft\Windows\Wininet\RealtekHDControl => C:\Programdata\RealtekHD\taskhost.exe <==== ATTENTION Task: {37EF7AFB-C102-44EE-8305-9B3832B2194E} - System32\Tasks\Microsoft\Windows\Wininet\RealtekHDStartUP => C:\Programdata\RealtekHD\taskhost.exe <==== ATTENTION Task: {F4692F95-1DA8-41CA-BBC7-F78FA9320397} - System32\Tasks\Microsoft\Windows\Wininet\Taskhost => C:\Programdata\RealtekHD\taskhostw.exe <==== ATTENTION 2020-10-29 14:05 - 2020-08-03 19:46 - 000000000 __SHD C:\ProgramData\Windows 2020-10-29 14:05 - 2020-08-03 19:46 - 000000000 ___HD C:\Program Files\RDP Wrapper 2020-10-29 14:05 - 2020-08-03 19:35 - 000000000 __SHD C:\Users\Все пользователи\WindowsTask 2020-10-29 14:05 - 2020-08-03 19:35 - 000000000 __SHD C:\ProgramData\WindowsTask 2020-10-29 14:05 - 2020-08-03 19:35 - 000000000 __SHD C:\ProgramData\RealtekHD 2020-05-08 17:52 - 2017-12-27 20:20 - 001460224 _____ (Stas'M Corp.) C:\ProgramData\RDPWinst.exe FirewallRules: [{76F722E6-3DCA-4E4B-8C8E-23261C6A5127}] => (Allow) LPort=80 FirewallRules: [{5704477F-C3E9-4E02-BDC1-A0398F9E14E1}] => (Allow) LPort=80 FirewallRules: [{571A9F2E-4837-46FF-BC1B-515A6C870DD5}] => (Allow) LPort=3389 FirewallRules: [{362F0154-F4D5-4893-8507-988EC39E3912}] => (Allow) C:\ProgramData\Windows\rutserv.exe => No File FirewallRules: [{2223209D-33F5-469D-9B5A-87DA61F5079A}] => (Allow) C:\Users\dojik\MediaGet2\mediaget.exe => No File FirewallRules: [{43591741-27E9-4A6F-B5F1-F3F43412979D}] => (Allow) C:\Users\dojik\MediaGet2\mediaget.exe => No File ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions EmptyTemp: Reboot: End::
Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

А код для чего нужно было копировать?

Чтобы он выполнился из буфера обмена.

Цитата:

Цитата Sandor

Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению »

Цитата:

Цитата Sandor

Примите к сведению - после выполнения скрипта все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены. »

Только правда этого не произошло (Opera GX)

Что с проблемой?

Вроде как все решилось, спасибо огромное. :happy:

Завершающие шаги:
1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

------------------------------- [ Windows ] -------------------------------
Internet Explorer 11.388.19041.0 Внимание! Скачать обновления
Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Защитника Windows (mpssvc) - Служба работает
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
--------------------------- [ OtherUtilities ] ----------------------------
NVIDIA GeForce Experience 3.20.4.14 v.3.20.4.14 Внимание! Скачать обновления
Microsoft OneDrive v.19.043.0304.0013 Внимание! Скачать обновления
TeamViewer v.15.7.7 Внимание! Скачать обновления
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 15.14 (x64) v.15.14 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45790 Внимание! Клиент сети P2P с рекламным модулем!.
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 66 (64-bit) v.8.0.660.17 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u271-windows-x64.exe)^
Java 8 Update 66 v.8.0.660.17 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u271-windows-i586.exe)^
-------------------------------- [ Media ] --------------------------------
K-Lite Mega Codec Pack 15.6.0 v.15.6.0 Внимание! Скачать обновления

Установите антивирус. Читайте Рекомендации после лечения.