Вид для печати
Нaблюдается такая вот ситуация
В процессах висит некий процесс "C:\TEMP\svchost.exe" -o http://bugivugi_xz66:[email protected]:80 -t 0 -x socks=127.0.0.1:9457 который плавно в течении минут 10-15 наращивает нагрузку на ГП до 100%. Явно видно что кто-то что-то майнит. Убивание процесса и удаление не приносит никакого результата - после ребута они снова появляются на том же месте и снова начинается процесс.
Гугление сводится к сканированию всякими антивирусами, которые ничего не находят.
WTF?
1. AVZ пробовал?
igorfiv, естественно.
Самое интересное что исходя из Отменить связь - должен быть батник сапускающий эту фигню, но автозагрузка девственно чиста
В разделе реестра ....\Winlogon - ничего подозрительного?Цитата:
Сообщение от ShUmMy Отменить связь
А также .... \Policies\Explorer ?
Запустил Autoruns. Просмотрел все что может быть подозрительное с обязательным сканированием всех интересных объектов нод32. Результата - ноль.
Поотключал все что как по мне не является критическим. И оно сработало
ты хоть отпиши людям какой имеено процесс в автозапуске был.
ShUmMy, Отменить связь ознакомьтесь. Там есть подробное описание, как сделать полный лог загрузки. Там же пример отслеживания действия трояна. Думаю вам пригодится.
DAntES, комп ушел как есть. С уведомлением клиента обо всех деталях. Из-за срочного наступления дубля второго зимних каникул. Школоте заняться нечем - воют на стены, просят комп срочно.
igorfiv, отключил winmail, пару странных dll-лок, все ярлыки указывающие на отсутствующие файлы. Все что мне казалось со странными именами и непонятным расположением объектов. Сделал листинг в Autoruns - но он неудобоваримочитаемый.
Особо под подозрение попал некий VBS скрипт из папки сис32. Просканировал его всем чем мог. Просмотрел содержимое - но там более 200 строк, весьма общий, без каких-то упоминаний файлов и путей которые грузили ГПУ. но тоже отключил. Вобщем мистика. Было бы больше времени на исследования - можно было бы поиграться.
А вообще люди где-то аж через неделю начали раздражаться тормозами рабочего стола. А тормозило прилично. Причем хитро - не сразу после загрузки системы а постепенно набирая обороты в течении 10-15 минут (на графике загрузки ГПУ четко видно было)
ShUmMy, Dr.Web LiveCD пробовали?
Каспер, NoD32, AVZ
недавно так же поймал майнер, он успешно "установился" , но поддельный svchost.exe убивала Авира и нагрузки не было. Скан AVZ показал подозрительные файлы в Program Files/Mesa_3d и левую ддл-ку в system32 . Их удаление устранило проблему. п.с. Автозагрузка была чиста, майнер запускал 3 ехе, но только 1 убивал антивирус, другие нагрузки не создавали.
Теж недавно така как була у клієнта.Цитата:
Сообщение от OdiN Отменить связь