Nt kernel system майнер как удалить
Перейти к содержимому

Nt kernel system майнер как удалить

  • автор:

Майнер NT Kernel & System

Author24 — интернет-сервис помощи студентам

Скачал визуалки vcredist и пошло поехало. Грузит проц. При открытии диспетчера прячется и освобождает процессор, потом закрывает диспетчер через некоторое время и снова вылезает (еле успел словить скрин диспетчера задач). Там еще мб в логах будет мой майнер, на ночь карту оставляю на эфире, желательно его оставить, конечно

CollectionLog-2021.10.19-23.42.zip (86.8 Кб, 13 просмотров)

Лучшие ответы ( 1 )

Здесь вы можете заказать любую студенческую или школьную работу.

94731 / 64177 / 26122
Регистрация: 12.04.2006
Сообщений: 116,782
Ответы с готовыми решениями:

Майнер MicrosoftHost(NT Kernel & System)
Добрый день. Поймал беду, антивирь взахлеб все пытается удалять файлы из папок WindowsTask, RunDLL.

Майнер маскируется под NT Kernel & System
Добрый день! Столкнулся с проблемой, которая уже описывалась на форуме. В простое ЦП загружается на.

Нагружает ЦП до 50-80 % вирус-майнер NT Kernel & System
Помогите как удалить. Находиться в папке C/Windows/System32, хотя у меня 64. Почитал форум, увидел.

Realtek HD Audio и NT Kernel & System майнер
Брат Скачал игру из-за которой попал майнер, нагружая ЦП на 100%, маскируется под процесс Realtek.

Вирусоборец

21390 / 15367 / 2961
Регистрация: 08.10.2012
Сообщений: 62,506

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV_br.exe
В результате работы утилиты появится отчёт AV_block_remove.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.

Регистрация: 27.04.2020
Сообщений: 38

Здравствуйте, сайт сейфзоны не работает, у Вас есть другие ссылки? Чтоб щас не подцепить еще чего нибудь в самостоятельном поиске

Регистрация: 27.04.2020
Сообщений: 38

Короче, зашел по прикреплённой Вами ссылке с телефона — сайт открылся, майнер не давал открыть очевидно, чет сразу не допёр, перекинул себе утилиту на комп и запустил. Прикрепляю оба лога. По поводу проца — терь вроде ниче его не хавает

AV_block_remove.log (5.1 Кб, 21 просмотров)
CollectionLog-2021.10.20-22.29.zip (70.8 Кб, 11 просмотров)

Вирусоборец

21390 / 15367 / 2961
Регистрация: 08.10.2012
Сообщений: 62,506
Пофиксите в HijackThis следующие строчки:

O22 - Task: VKDJ - C:\ProgramData\VК_DJ\VК_DJ.exe /H (file missing)

1. Выполните процедуру, описанную на этой странице.
Ссылку на результат анализа приведите здесь, пожалуйста.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Регистрация: 27.04.2020
Сообщений: 38

SecurityCheck.txt (7.1 Кб, 4 просмотров)

Вирусоборец

21390 / 15367 / 2961
Регистрация: 08.10.2012
Сообщений: 62,506

Лучший ответ

Сообщение было отмечено Slendson как решение

Решение

————————— [ OtherUtilities ] —————————-
Microsoft Visual Studio Code (User) v.1.56.2 Внимание! Скачать обновления
Microsoft .NET Framework 1.1 v.1.1.4322 Данная программа больше не поддерживается разработчиком.
——————————— [ Java ] ———————————
Java 8 Update 271 (64-bit) v.8.0.2710.9 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u301-windows-x64.exe)^
————————— [ AdobeProduction ] —————————
Adobe Flash Player 9 ActiveX v.9.0.115.0 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее.

Добавлено через 52 минуты
Если ещё существует в системе папка

C:\Users\DarkP\appdata\roaming\drpsu\

удалите её вместе с содержимым.

После чего можно пройтись AdwCleaner.

Регистрация: 27.04.2020
Сообщений: 38

Спасибо. Еще DriverPack Cloud есть, drpsu удалил. Удалить утилиты, которые были использованы в ходе лечения сейчас уже можно? Так же вопрос, у меня после слёта винды и её переустановки (была и есть на ссд) полетел почему-то жесткий диск и я не могу открыть скрины/фотки/картинки через обычную прогу Фотографии, только через пейнт. Посоветуйте куда можно обратиться, пожалуйста

Вирусоборец

21390 / 15367 / 2961
Регистрация: 08.10.2012
Сообщений: 62,506

ЦитатаСообщение от Slendson Посмотреть сообщение

Еще DriverPack Cloud есть

ЦитатаСообщение от Slendson Посмотреть сообщение

Посоветуйте куда можно обратиться

Добавлено через 38 секунд

ЦитатаСообщение от Slendson Посмотреть сообщение

Удалить утилиты, которые были использованы в ходе лечения сейчас уже можно?
Да, можно просто удалить, следов не оставляют.
87844 / 49110 / 22898
Регистрация: 17.06.2006
Сообщений: 92,604
Помогаю со студенческими работами здесь

Очередной майнер маскируется под NT Kernel & System
Примерно месяц не обращал на это внимания, пока комп в режиме простоя не начинал гудеть, как под.

Подхватил скрытый майнер NT Kernel & System. Не могу удалить
Всем доброго времени суток. Подхватил майнер. Через минуту закрывает диспетчер. Установить.

Майнер, который маскируется под NT Kernel & System и Realtek HD audio
Здравствуйте, чёрт его знает, как подхватил, но уверен в том, что это майнер. Заметил NT Kernel &.

Майнер NT Kernel System
Сразу оговорюсь, что я не программист, поэтому прошу объяснить, как для дошкольника. У меня.

Появился майнер RealtekHD и NT kernel system
Скачивая что-то в интернете, обнаружил ухудшение работы, полез в диспетчер задач увидел появились.

Kernel & Systems вирус майнер
Добрый день! Вирус грузит процессор, температура до 90 градусов поднимается. Открываю диспетчер.

Или воспользуйтесь поиском по форуму:

Вирус-майнер NT Kernel & System ⁠ ⁠

Видел посты о способах, как избавиться от этого вируса, но там всё мегамуторно и сложно.

Кратко как я избавился от вируса:

1. Загуглил «Доктор веб курейт».
2. Зашёл сюда https://free.drweb.ru/download+cureit+free/ . Надеюсь ссылка рабочая.

3. Поставил галочки, ввёл почту, отправил себе антивирус.

4. Ссылка на скачивание приходит на вашу почту, которую вы указали. Сообщение от доктора веба может оказаться в рассылках или спаме, будьте внимательны.
5. Скачал файл по ссылке. Не бойтесь, он безопасен. И да, имя у него — набор букв и цифр. Весит файл не более 300 мб.
6. Это сразу готовый антивирус. Запускаете поиск и всё. Вирус у меня нашёлся сразу в диске системы, у меня это было три файла.
7. Можете полностью просканировать систему, но я остановил поиск и удалил файлы.
8. Перезагрузил компьютер.
Конец.

Вирус-майнер NT Kernel & System Вирус, Избавиться, Майнеры, Антивирус

Немного о самом вирусе. Это майнер, который берёт название у системной программы. При открытии диспетчера задач он перестаёт работать, но через время закрывает диспетчер.

ЕСЛИ СПОСОБ НЕ ПОМОГ, вирус можно обезвредить на сеанс за компом(пока не выключите). После каждого запуска компьютера включаете диспетчер задач, открываете расширенную версию(если не включена. Снизу в окошке будет стрелочка с подписью «подробнее»), переходите во вкладку «производительность», и снизу будет следующая кнопка «открыть монитор ресурсов»:

Вирус-майнер NT Kernel & System Вирус, Избавиться, Майнеры, Антивирус

Открывается окно. В нём ищите все процессы с описанием NT Kernel & System, затем тыкаем пкм по строчке и нажимаем приостановить процесс. Так делаем со всеми подобными штуками.
ВНИМАНИЕ. На скрине показан системный процесс. Образ у него системы и ид процесса маленький в отличии от вируса, по крайней мере у меня. У вас остановить его не получится и это не обязательно.
После перезагрузки компьютера процесс придётся делать заново.

Вирус-майнер NT Kernel & System Вирус, Избавиться, Майнеры, Антивирус

Спасибо за прочтение. Надеюсь, что кому-то помог.

1 год назад
Опять реклама. ЪУЪ.
Похожие посты
9 дней назад

Майнер, маскирующийся под Realtek HD и taskhost⁠ ⁠

Итак, симптомы этой гадости:

1. А че мой ноут звучит как боинг на взлете?
2. Ля, а почему игра лагает?
3. Кто такой этот ваш COM Surrogate и нахрена он грузит мне процессор?
4. А че у меня антивирус не встает, потому что мне системный администратор запретил? Этож домашний комп.
5. АЛЯРМА, у меня сайты сами закрываются и проводник и вообще все.
6. У меня нет плиты, потому что я жарю яичницу на крышке ноутбука
7. И тому подобное.

Копаем глубже, разъясняем про майнера:

Кто-то когда-то (конечно же не ты) смотрел много порнухи и качал всякий шлак. Подцепил майнера, ублюдка такого, который на твоих мощностях криптовалюту добывает. Бывает. Главное чтобы мама не спалила.
Суть такая, в папке «‘C:\ProgramData\RealtekHD» лежит файлик taskhost.exe. И смело маскируется в диспетчере задач под COM Surrogate, запускаемый dllhost»ом, который в свою очередь должен лежать в «»C:\Windows\System32». Подозрительно? Я тоже так считаю. Вот этот шлак и есть тот самый вирусняк.

Собственно, помимо этого он:
1. Создает папки в «‘C:\ProgramData», которые создали бы топ 10 антивирусов при установке, делает их скрытыми (ну вот прям совсем скрытыми, чуть ли не с признаком «системная») и блокирует к ним доступ достопочтенному тебе и системе. На опережение в общем действует гаденыш.
2. Эта хитрая жопа лезет в твой регистр и банит тебе там возможности рабоать с проводником, таск менеджером и прочими полезными вещами. Причем как бы не совсем банит, надо же не спалиться, а так, чуть чуть:
2.1. Установка антивирусов — пошел в жопу, этого нам тут не хватало
2.2. Зайти и удалить файл вируса — ты что, с дуба рухнул? ЗАБАНЕНО
2.3. Слишком долго шаришься по проводнику? — не ешь мои мощности для майнинга, курва.
3. Он решает, что зайти на сайты, которые помогут тебе решить проблему, скачать антивирус и так далее — это плохая затея, поэтому ограждает тебя от этих плохих действий, внося в файл HOSTS небольшие корректировки (где-то 80 штук).

Так, а делать то мы с этим че будем?

Тут все изи, по шагам, по минутам:
1. Жмякаем Win+R тыкаем по клавиатуре «msconfig.exe» ну и на Enter ткнуть не забываем
2. Вкладочка «Загрузка», галочка «Безопасный режим» и ребутнемся
Теперь мы этому говну не по зубам, он же под службу маскируется, а мы их отключили (обязательно потирать руки или гладить кота, как злодей из бондианы)
3. Опять наш любимый Win+R пальчиками набираем «regedit» жмякаем Enter
4. Смело идем в «HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer'»
Там еще может быть папочка «DisallowRun»» — Вот оно то нам и надо, оно банит нам запуск программ (в нашем случае — антивирусов).
5. Если там много хлама — проделки вируса, удаляем их (там обычно написано, что он банит)
6. Выходим из безопасного режима (Шаг 1-2, только безопасный режим наоборот отключаем)
Финишная прямая.
7. Как нибудь через три пды колено (флешка, телефон, телеграм, да пофиг) закидываем себе на комп малюсенький дистрибутив Rkill. Эта штука при запуске ненадолго остановит уродца и поубивает его процессы.
8. Собственно, нахрена нужен предыдущий шаг? Если есть желание поиграть в самого быстрого стрелка на диком западе — можешь попробовать запустить Rkill, а потом сразу зайти и удалить приложуху с вирусом. Если нет — запускаем, качаем антивирус (я обычно докторвеба для таких вещей использую), устанавливаем, стартуем проверочку. Найдет пару измененных этой штукой файлов и починит или удалит.
9. Файлик «hosts.sys» может быть не починить. Залезаем к нему домой по адресу «C:\Windows\System32\drivers\etc», открываем в блокнотике и удаляем все строки без # первым символом. сохраняем как «hosts»», меняем расширение с «.txt» на «.sys»

Сейчас вместе думаем «Да сколько уже можно?!», но верим в лучшее, осталось чутка.

10. Заходим в «‘C:\ProgramData», ищем папки с названиями антивирусов
11. ПКМ на них нещадно -> Свойства -> Безопасность -> Дополнительно
12. Находим своего юзера, видим напротив него «полный доступ» и «запрещено»
Сильно зло думаем «Скотина, как он имеет право хозяйничать на моем компе. «
13. Нажимаем на себя, изменить и, спасибо что вирус тупой, просто нажимаем разрешить.
14. Удаляем нахер папку, радуемся жизни.
15. Вуаля, готово, дан, качай порнуху дальше. Скринов не будет, мне лень.

На всякий на тебе ссыль на докторвеба и на полезную статейку на ремонтке

UPD:

Тут по прочитанным комментам — есть бесплатная утилитка DrWeb cureit ссылка вот

Показать полностью
9 месяцев назад

Rutracker и модераторы в доле с майнерами⁠ ⁠

На известном нам сайте с недавних пор пошли непонятные движения, и некоторые раздачи модераторы Намеренно игнорируют, несмотря на очевидные факты

Например раздача на программу Malwarebytes repack by Emir Cardan

169 / 8 на момент написания поста

После установки программы начинаются заметные тормоза системы и кулер набирает обороты улетая в космос.

Хорошо, сносим программу через панель управления, но эффекта ноль.

В диспетчере задач появляется несколько интересных процессов taskhos, taskhostw которые ведут в подпапку RealtekAudio, с которой нельзя просто так взаимодействовать через консоль cmd или в проводнике, она скрыта не обычным способом Windows, и просто так с ней ничего не сделать

Так вот , загрузка цп 100% в простое

При заходе в диспетчер стремительно падает, и при попытке открыть расположение вредных процессов закрывается диспетчер задач и окно папки появляется на долю секунды

При попытке установить антивирусники или спец софт для удаления подобной поеботы Майнер создаёт нам проблемы — закрытия, ошибки и т.д

Всплывают также разные процессы интересные связанные с вирус и один фейк svchost

Система дымит и лагает но

Модераторы сайта глубоко наплевать на вас, они видимо в доле или по братской любви разрешают таким раздачам висеть

Решается быстрой заморозкой всех связанных процессов в process hacker и успеть за 5 секунд открыть расположение фейкового taskhost процесса который откроет ProgramData/RealtekAudio

Windows покажет нам что тут пусто, это не так. Выделенные в process hacker процессы убиваем и сразу несём папку в корзину из «пути» и очищаем ее

После запускаем восстановление системы методами Windows или методом с cyberforum где есть много сообщений о подобном вирус

Показать полностью
1 год назад

Вирусов нет⁠ ⁠

Вирусов нет Юмор, Картинка с текстом, Мемы, Вирус, Антивирус

Показать полностью 1
Поддержать
1 год назад

Ответ на пост «Как удалить скрытый майнер»⁠ ⁠

1. Файл хост скрыт и его не открыть. Ищем его содержание в инете, вставляем в блокнот, сохраняем с названием host, и вставляем в папку etc с заменой.

2. Майнер блокирует запуск всех ехе, и не дает запуск антивируса? Скачиваем RogueKiller. Прога написанная на основе браузера инернетэкплорер. Запускается при ЛЮБЫХ запретах, и чистит их. После чего запускаем уже антивирус.

1 год назад

Как удалить скрытый майнер⁠ ⁠

Попался мне сегодня пост

Шутки шутками, но недавно столкнулся с такой ситуацией, когда после перезагрузки мой далеко не слабый комп вдруг в простое начал шуметь, температура процессора сразу поднялась до 70 градусов, как при игре. Открываю диспетчер задач, нагрузка резко падает, и всё становится как обычно. После закрытия диспетчера задач вдруг опять вентиляторы начинают шуметь, процесс начинает греться, открываю диспетчер задач, история повторяется. Если открыть Диспетчер задач и быстро отсортировать по нагрузке на процессор, то становится видно, что систему грузит программа MicrosoftHost.exe, которая находится в папке C:\ProgramData\WindowsTask\. Сразу первым делом пытаюсь зайти на сайт Dr.Web, чтобы скачать CureIt, но при переходе на сайт, меня вдруг перекидывает на страницу 8.8.8.8 вроде, или что-то такое было. Ну после этого я сразу понял, что подцепил какой-то вирус, если погуглить по названию процесса, то пишут, что это скрытый майнер, что объясняет почему там грузит систему одна программа. Притом, если скачать CureIt с телефона и запустить на компе, то CureIt находит вирус и удаляет, как будто бы. Но после перезагрузки всё остаётся также.

Решил написать, как почистить данный вирус, если знать что делать, то времени занимает немного, но поначалу я часа полтора сидел, пока всё почистил. Но некоторые моменты сделаны довольно хитро, если не очень хорошо ориентируешься в компах, то фиг почистишь этот вирус.

В общем для того, чтобы эту бяку полностью вычистить надо проделать следующие шаги.

Сразу говорю, я точно уже не помню, как назывались процессы и т.д., и это действия только для того типа скрытого майнера, который я поймал, у других могут отличаться. Но думаю сама последовательность действий может помочь.

1. Первым делом включаем отображение системных файлов, потому что папки с вирусом созданы как системные. И включаем отображение скрытых файлов. После всех действий можно обратно выключить. Нужно сделать как на скрине.

Как удалить скрытый майнер Майнеры, Компьютерный вирус, Антивирус, Компьютерная помощь, Windows, Длиннопост

2. После этого открываем файл hosts, который находится в папке C:\Windows\System32\drivers\etc\. Там будет видно много строк наподобие такой

Не помню точно, на какой адрес было перенаправление, но в файле будет куча подобных строк, с адресами всех популярных антивирусов. Удаляем все эти строки, и сохраняем файл hosts. Редактировать надо в режиме администратора, иначе прав не хватит.

3. Теперь надо найти все процессы вируса. Было несколько папок с вирусом, которые лежали в папке C:\ProgramData\. Чтобы наверняка их найти, открываем Диспетчер задач, и включаем отображение столбца Командная строка, и ищем процессы, которые находятся в папке C:\ProgramData\. Например, помню был один вирус, который назывался Realtek HD, он был со значком динамика, т.е. маскировался под звуковые драйвера, но запущен он был не из папки C:\Windows\System32\, а из папки C:\ProgramData\.

Как удалить скрытый майнер Майнеры, Компьютерный вирус, Антивирус, Компьютерная помощь, Windows, Длиннопост

Если нашли такой процесс, нажимаем правой кнопкой на процесс, далее Свойства, и открываем вкладку Цифровые подписи, у нормальных драйверов и процесс будут подписи, у вируса их не будет.

Как удалить скрытый майнер Майнеры, Компьютерный вирус, Антивирус, Компьютерная помощь, Windows, Длиннопост

Находим все такие процесс, которые лежат в папках внутри C:\ProgramData\ и останавливаем их, иначе не получится удалить папку, пока программа внутри неё запущена.

4. Далее заходим в папку C:\ProgramData\. Там видим кучу системных папок, среди которых будут папки с именами известных антивирусов (думаю из-за этого CureIt и не мог ничего сделать, потому что не было прав на папку), и папки, в которых лежат процессы, которые мы остановили. Сделать с этими папками мы ничего не можем, т.к. при попытке открыть или что-то сделать, нам пишет, что нет прав, даже если у нас права администратора.

С каждой папкой нам необходимо сделать следующие действия:

Нажимаем правой кнопкой -> Свойства -> Безопасность -> Дополнительно.

В открывшемся окне мы видим, что у этой папки нет владельца. Нажимаем Изменить и указываем свою учетную запись владельцем.

Как удалить скрытый майнер Майнеры, Компьютерный вирус, Антивирус, Компьютерная помощь, Windows, Длиннопост

И обязательно ставим галочку для дочерних объектов. После этого везде нажимаем ОК, чтобы сохранить. Теперь спокойно удаляем эту папку. Это нужно сделать со всеми папками с именами антивирусов и с процессами, которые мы ранее удалили. После этого надо в зайти в папки

C:\Program Files (x86)\

И точно также изменить владельца и удалить папки с именами антивирусов и различных программ от вирусов. Мне к 20 папке надоело проделывать все эти действия, поэтому можно сделать проще, через командную строку. Можно сразу в блокноте подготовить список всех папок и выполнить

takeown /F C:\ProgramData\Avira\ /R /D Y

takeown /F C:\ProgramData\DrWeb\ /R /D Y

Как удалить скрытый майнер Майнеры, Компьютерный вирус, Антивирус, Компьютерная помощь, Windows, Длиннопост

5. Готово. После этого можно скачать тот же CureIt и всё проверить, также можно обратно скрыть системные файлы. И ещё этот майнер добавил свои папки в исключения Защитника Windows, на всякий случай надо тоже оттуда удалить эти папки.

Показать полностью 5
1 год назад

Как избавиться от вируса-майнера?⁠ ⁠

Проблема заключается в том, что где-то раз в плюс-минус 5 минут комп чуток подвисает — идёт 100% загрузка проца и, скорее всего, видюхи, судя по работе её кулера. Ну, и естественно, что эти тормоза не приносят ничего приятного в пользование компом.

Непосредственно перед этим скачком автоматически закрывается диспетчер задач, если он был до этого открыт.

Я пробовал гуглить проблему и вышел на киберфорум, где нашёлся топик со схожими симптомами. Там говорят, что это майнер и советуют скачать AVZ и в нём выполнить некий скрипт. Далее проблема стала за тем, что я просто не смог запустить AVZ, так как после открытия программы она тут же автоматически закрывается. В итоге я запустил её и выполнил скрипт из безопасного режима, однако это вообще ничего не дало.

Тогда я попробовал зарегиться на форуме и создать тему уже непосредственно по своему случаю, но сразу после авторизации браузеры стали автоматически закрываться 🙁

Также пробовал использовать ESET и Avast, но с ними та же беда, что с AVZ: я просто не могу их установить — они закрываются.

Винду переустанавливал месяц назад — это тоже не помогло. Встроенные в винду брандмауэр и защитник у меня если что включены, настройки параметров выдачи уведомлений о вносимых в ОС изменениях тоже включены и ничего не показывают. Кстати, что характерно, загрузка проца и подвисания не такие жёсткие, когда отсутствует доступ к инету.

В общем, я не знаю, что делать и надеюсь, что мне тут подскажут решение этой проблемы.

Кажись, нашёл гадёныша:

В папке C — ProgramData — RealtekHD находится файл taskhostw, который запускает периодически процесс taskhost с описанием COM surrogate!

При попытке зайти в папку место хранения файла папка тут же закрывается.

Гугл выдаёт, что это таки майнер (ситуация вообще 1 в 1 как у меня)

Показать полностью
1 год назад

Как я чинил компьютер⁠ ⁠

Небольшой офис, чуток компов. Один из них начинает неадекватно себя вести. Нет прав на эксплорер, нет прав на диспетчер задач, глюки в ворде, тормозит, работать невозможно. Хозяйка компа говорит, что началось всё после тыкания в него флешкой. Ну, ок, вирус, думаю. Просканировал поверхность диска на всякий, качнул в сторонке лив сиди от каспера и запустил скан.

Тут приходит вторая мадам и говорит, что ей край нужно чота отправить в госорганы при помощи ЭЦП, которая на той самой флешке. Предупреждаю, что на ней, скорее всего, вирус, и тыкать ею в комп (ноут) нельзя. Но она говорит ,что сёдня — это крайний день для этого. Ну, ок, я предупредил..

Пока я гляжу на результаты сканирования, приходит эта вторая мадам и говорит могильным голосом, что у неё всё то же самое. Я про себя удовлетворённо подумал, что это хорошо, это, значит, точно вирус, а ей сказал встать в очередь. Между тем я понимаю, что сканирование затягивается и предлагаю разойтись. Все кто куда, а я домой с её ноутом подмышкой.

Дома я начинаю вникать в происходящее. Первым делом пытаюсь запустить сканирование ноута. Не выходит ничо. Каспер лив сиди пишет, что диск смонтирован только для чтения, и лечение будет невозможно, а дрвеб лив сиди при загрузке просит ввести логин и пасс при старте дебиана (на нём его лив сиди основан). Что за логин — неизвестно. Неудача.

Начинаю уже понемногу психовать. Думаю, выну диск, подрублю к своему компу и просканирую. Открываю крышку ноута — диска нет. Понимаю, что диск ССД М2. Нужно разбирать дальше. Разобрал дальше, воткнул таки себе, прогнал вебом, каспером. Нету вирусов.

Продолжаю психовать и начинаю нервничать.

Собрал всё взад, включаю. Всё по-прежнему. Обратил внимание, что в винде нет пункта «выключение», есть только «выход». Нажал. Логично появилось окно для авторизации и с полем для ввода пароля. Понимаю, что пароля не знаю. Выяснил, что его не было вовсе. Понимаю, что не понимаю, что делать.

Сварганил флешку с утилиткой Dism, прибиваю пасс, перезагружаюсь..

Нашёл в инете, как убрать пасс при помощи реестра и дистриба виндовс. Проделываю это вот всё, но на этапе net user мне cmd сообщает, что запрос отклонён, нет прав доступа.

Ладно. Стартую снова c dism, активирую задизабленную учётку Администратор. Перезагружаюсь. Выбираю Админа. Хоба! Просит ввести пароль.

Какой в ж0пу пароль? Ладно. Убираю пароль у админа. Перезагружаюсь. Снова не помогло. Пароль при загрузке чудом возвращается.

Понимаю, что это уже вызов, ибо подобного не встречал. Всякое было, от cabanas и до шифровальщиков, но тогда хотя бы знал, кто передо мной. Тут же гранды антивирусописательства говорят, что вируса-то нет. Но, тем не менее, кто-то при загрузке что-то делает..

Тут звонит владелица ноута и просит его вернуть. Хочет отдать его другому челу, а меня умоляет заняться тем, первым компом, ибо в пнд он позарез будет нужен. Он основной, там 1С и прочая требуха. Ну, ок. Отвёз ноут, стал долбиться с компом. Напомню, поведение у них идентичное.

Ради статистики решил загрузиться в безопасном режиме. Внезапно, но комп загрузился. Хм. Стал тупо перебирать всё, что запускается при старте. Стал отключать всякие обновления адобе, драйверы принтеров, службы, названия которых я не знаю ) Внезапно натыкаюсь, что служба сбора статистики (дословно не помню) Аваст отключаться не хочет. Пишет, что отказано в доступе. Немного поколебавшись, сношу Аваст. Перезагружаюсь. Вытаращив глаза, понимаю, что всё работает. Звоню товарищу, которому отдали ноут, прошу снести Аваст. И у него тоже всё заработало.

Вишенка на торте: Аваст у них был Про. Платный.

Итого угробил я на это всё полторы суток практически.

Как подозреваю, флешка была ни при чём, просто авасты обновились одновременно. А флешка — совпадение.

Потом я её пихал куда ни попадя и проверял всем подряд — никаких последствий.

Что это было со стороны Аваста — так и не понял. Но был немножечко в ..недоумении.

Такая вот история выходного дня.

Показать полностью
1 год назад

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть»⁠ ⁠

Для отслеживания подозрительных процессов очень удобен продвинутый менеджер процессов от самой майкрософт, называется ProcessExplorer.

Качается отсюда: https://docs.microsoft.com/en-us/sysinternals/downloads/proc. (сам сайт майкрософта, так что источник безопасен).

После запуска в меню выбираем эти два пункта:

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

И соглашаемся на условия конфиденциальности вирустотала.

Бинго, теперь у вас появится новая колонка в списке процессов, где отображается результат проверки на вирустотале, плюс проверка цифровой подписи запущенного файла. По нажатию на цифры сработки откроется страница вирустотала с отчётом.

ВАЖНО: сами файлы не передаются в вирустотал, он просто ищет там готовые результаты на файл с таким же хешем, так что особо мощный интернет не нужен! Если такого файла найденно не будет, то так и будет написано в данной колонке, и только по нажатию файл будет залит для проверки!

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

Так же, из полезных бонусов данной программы:

1) процессы отображаются в виде дерева, то есть вы видите, какими процессами они запущенны (на скрине показал кнопку активации данного режима)

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

2) можно вывести графики загрузки (память, проц, диск, видяха итд) для каждого процесса в таблице (правой кнопкой на название колонок, там выбрать пункты с «history» — это и есть графики)

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

3) Можно заменить этой программой встроенный менеджер процессов (для этого надо не просто открыть файл из архива, а сохранить его где-нибудь на компе)

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

4) продвинутые графики загрузки системы, открываются по нажатию на главный график сверху окна программы

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

Надеюсь, кому-то эта информация будет полезна. Сам использую данный инструмент уже лет 8, родной виндовый менеджер уже кажется убогим.

Показать полностью 5
1 год назад

Как удалить прячущийся майнер и понять что он вообще есть⁠ ⁠

Предисловие: не все майнеры загружают цп на 100, бывает им хватает 10, 20, 30 %.
Прекрасным днём играл я в доту, все как бы работает вопросов нет, играю я по несколько часов подряд, и компьютер время от времени начинал гудеть сильнее чем стабильно в игре(системник), и тут мы с другом решили проверить, у кого сколько FPS в игре( качество плавности изображения кадров в секунду), и на моей RTX 2060 оказалось меньше чем на его GTX1050ti. Разгоном дело не решилось, скачали оба MSI Afterburner, и в игре решили тестить. У него стабильно 100-110, у меня то 120-130 то 80-90. Я открыл дисперчер задач и вернулся в игру, и оп)- фпс то подрос на 3-4 минуты) Открыл диспечер задач а там ничего нету( Подождав 4 минуты в игре открыл диспечер и стал смотреть убегающие процессы( по нагрузке),нашёл подозрительный процесс NT Kernel & System, отправил его в Virustotal(онлайн сайт) проверки вирусов, и попадание) скрин прилагаю мож кому поможет( маскируется под звуковую карту Realtek) На скрине слева процесс майнера, справа сводка по файлу после анализа. Удаляться просто так не захотел, скачал прогу Unlocker, и с помощью ней через перезагрузку удалил) В моем случае он потреблял 20-30% примерно. В папке файлы были невидимые. Оба улетели. Забыл добавить: при открытии диспечера задач он приостанавливает деятельность на 3-4 минуты, потом Сам закрывает диспечер задач)

Как удалить прячущийся майнер и понять что он вообще есть Компьютер, Вирус, Майнеры

Как удалить прячущийся майнер и понять что он вообще есть Компьютер, Вирус, Майнеры

Показать полностью 2
2 года назад

Ответ на пост «Вирус майнер nt kernel system и как с ним бороться. ( Когда открываю диспетчер задач фпс повышается )»⁠ ⁠

Эхх. где ты раньше был.
Тоже напоролся на этот вирус, пришлось долго мучаться, но всё же смог его удалить.
Если кому поможет, то боролся я с ним так: Пока искал инфу про этот вирус, напоролся на этот сайт: https://it-tehnik.ru/virus/virus-close-browser.html С него я скачал старую версию Касперского. Т.к. сайт не официальный, то вирус его не закрывал. Позже в самом Касперском я обновил его до актуальной версии и просто провёл сканирование и последующую очистку компа.

А теперь немного про сам вирус — это майнер, который весьма хорошо прячется. Как и многие другие вирусы, как только включаешь диспетчер задач, он перестаёт нагружать комп. Но он сам выключает диспетчер задач раз в минуту-две (точное время не засекал). Мой Windows Defender (винда не лицензионная) его практически не засекал. Всё что он находил — один файл, который после удаления он находил снова. и снова. и снова. Можно скачать другой антивирус, но при входе на официальный сайт он просто закрывал браузер. Казалось бы, можно скачать с другого сайта, либо с внешнего носителя, но и тут может выйти облом — этот вирус может не дать открыть некоторые антивирусы, либо не дать им провести проверку.

Может мой способ не самый лучший, но я всё равно хочу его опубликовать, мало ли кому поможет.

2 года назад

Вирус майнер nt kernel system и как с ним бороться. ( Когда открываю диспетчер задач фпс повышается )⁠ ⁠

Привет пикабушники. Вчера задефал свой ПК от этого злое***его вируса. Гори в аду его создатель.
Хочу поделиться с вами как его обнаружить и удалить. Подойдет для неопытных юзеров.

Итак. Проверяем есть ли он у вас.
Первым делом попробуйте зайти на официальный сайт антивирусов таких как nod32 и касперский. Если не пускает и сбрасывает соединение, значит у вас вирус.
Далее. Открываете диспетчер задач(Ctrl+shift+ESC), сортируете задачи по имени и нажимаете на клаве кнопки NT. Если есть процесс nt kernel system, значит это та самая хрень.
Объясню. Этот вирус скрывается в процессах ненагружая пк когда диспетчер задач открыт.
Как только вы его закроете, он начинает сильно нагружать видеокарту, особенно когда играете. Я лично играл в Varhammer vermintide 2 и там было 30 фпс на ЛЮБЫХ настройках игры.
Когда я запускал диспетчер задач, фпс сразу возрастал до 60.
Если диспетчер будет открыт более пол минуты, вирус сам его закрывает.

У этой дряни есть активная фаза. Когда вы начнете гуглить его название в браузере, или же устанавливать антивирус, он будет всячески мешать. НО его можно в диспетчере на секунд 5-10 отключить клавишей delete. Если попробуете открыть расположение файла процесса, то вас кинет в несуществующую директорию local/realtec HD. Да, он маскируется еще и под драва звука.

Итак, у вас уже горит задний проход. ЧТО ДЕЛАТЬ?!

1. открываете через инкогнито браузер, ищете «доктор веб». Он его детектит.
2.Качаете дока. достаточно демо версии Security Space.
3. Устанавливаете, вызываете диспетчер задач, находите процесс кнопками NT(сортировка по имени) и постоянно удаляете когда он появляется, пока не установите доктора. (диспетчер задач не закроется пока вы будете постоянно удалять этот процесс, их кстати у меня было 2. Это активная фаза вируса)
4. Антивирус попросит перезапустить пк. Подчиняемся.
5. После перезапуска запускаем ярлык на раб столе «сканировать»
6. Ждем.
Готово. Антивирус напишет название файла в котором нашел вирус, у меня это был Auslogic defrag. Дефрагментировал комп называется. И так же он покажет пораженные файлы. Жмем излечить и комп здоров.
Удачи.

Показать полностью
2 года назад

Майнер NT Kernel & System под видом Realtek HD⁠ ⁠

Дело было одним вечером, сижу я значит ничего не заподозрив, понимаю что уж сильно начал шуметь мой компьютер.
Подумал ну Яндекс браузер кушает процессор плюс видео в ютубе, ай да забыл я об этом.

Вдруг 4-ый день этого жёсткого звука меня пробило насквозь. Что-то тут не так.
При запуске компьютер только только появился рабочий стол процессор шумит с видеокартой на максимум.
Беру дело в руки открываю диспетчер для просмотра активности вижу спокойный результат.
Уши не обманешь слышу как кулеры в ПК становятся тише.

АГА ЗНАЧИТ ВОТ ОНО КАК, сразу в голову приходит мысль что тут что-то ведь не ладное.
Открываю я значит программу для просмотра FPS в играх (там ещё показывается температура, нагрузка всех цепей), закрываю диспетчер задач, вижу опа через секунд 15, что процессор что видеокарта идут в разрыв, понимаю что нада копать глубже.

Значит тут понимаю нужно смотреть резко в диспетчере тут опа вижу приложение которое всё кушало — NT Kernel & System, знаю есть такое в виндовсе решил копнуть глубже вижу что данная система отвечает за режим системы. Открыв информацию о нём, решил просмотреть где сидит данный процесс и получаю путь Program Data/Realtek HD

Я понимаю что программа виндовса которая отвечает за прерывание находится в папке с звуковыми драйверами, к тому же она полностью пустая. Вижу как мой диспетчер закрылся сам по себе.

Тут я уже всё понял и знал куда копать начал проверку на вирусы делать, нет ничего абсолютно.
Проверял я Microsoft Defender доверия к нему больше. В итоге 0

ставлю на скачку Dr.Web при установке выдавало ошибку постоянно.

Вирус начал закрывать установщик я психанул открыл диспетчер и просто закрывал этот вирусняк. В общем я установил его он запросил перезагрузку, я с вздохом перезагружаю ПК

Господи он начал сам перезагружаться 6 раз

На 7 выдало ошибку какую-то (жаль нету фоток)
Я с горем пополам вижу справа в углу мою любимую службу которую он заблокировал.

Читатели этого поста не задерживайтесь с проверкой на вирусы..
И берегите свои видеокарты от каких-то тварюк !

Майнер NT Kernel & System под видом Realtek HD Майнеры, Вирус, Компьютер

Майнер NT Kernel & System под видом Realtek HD Майнеры, Вирус, Компьютер

Показать полностью 2
2 года назад

Скрытый майнер⁠ ⁠

Ни для кого не новость, что сейчас все «эти ваши интернеты» кишат вирусами-майнерами. Но зная об этом я всё равно такой где-то как-то словил. А заметил я его деятельность только потому, что он не умел прятаться в диспетчере задач. Естественно он шифровался под системные процессы, но делал это как-то палевно, ибо ну не может процесс GREP (утилита поиска строк) отжирать на 99% процессор. Ну загуглил что это за процесс такой и просто его удалил из системы, ибо мне он не нужен. Но при следующем же запуске этот майнер шифранулся под другим системным процессом, точно уже не помню, что-то связанное со справкой Windows. Ну также загуглил, также удалил из системы и так повторялось раз 5. Пока он не стал шифроваться уже под нужный мне процесс. Здесь я понял что, так до синего экрана доудаляюсь, и решил что-то придумать. Так как систему переустанавливать было в лом, да и слишком много было установлено программ для работы, решил это дело создав простую задачу в планировщике задач Windows. (Система у меня Windows 10, естественно, купленная за пиастры).
Благо если грохнуть процесс за которым прячется майнер, то он не возобновлял свою деятельность до следующей загрузки системы. Скопипастил простой скрипт на завершение процесса, подставил нужный процесс и разместил задание в планировщике, чтобы скрипт срабатывал через три минуты после старта системы (майнер стартовал каждый раз через разное время после пуска винды, но не позднее трёх минут) и вопрос был решён. Стоит оговориться, что перепробовал все типы антизаразы (антивирусы, антималвары и иже с ними, включая загрузочные флешки) и ниодна программа не смогла найти что-то подозрительное.
Ну вопщем жизнь продолжилась, я на коне, «великий победун майнера без переустановки винды».
Но в один прекрасный момент ребёнок сел посмотреть мультики в ютюбе и через пару минут системник просто вырубился. Никакой реакции на кнопку включения. Прохожу все основные этапы «Ничё не понимаю», в материнке остаётся только процессор, но кнопка питания также не оказывает никакого воздействия. И вот только когда я откинул питание процессора, материнка пыталась стартануть, мгновенно покрутив куллерами. Ну у меня сразу два подозрения, либо блок питания, либо материнка (процессор вне подозрения, ибо мировая статистика гласит, что шанс выхода его из строя нуль целых хрен десятых). Проверяю бп на рабочей системе, всё окай. Остаётся материнка. Тащу на работу админам мать и проц. Выясняется, что именно проц и накрылся (второй раз мне так везёт, причём первый раз amd 6000+ накрылся много веков назад, в этот раз Intel i5 4570). Ну делать нечего, наконец-то решаюсь перейти на Рязань. Собрал систему, винду не переустанавливал. Ну и естественно после перехода с 4х ядер на 6 двухпоточных, захотелось помериться пипирками с друзьями. Первым делом запускаю Aida64 и врубаю оверлей на температуру и загрузку процессора и немного прифигеваю. Только что я запускал тяжёлую игру и через диспетчер задач процессор грузился максимум на 7%. А тут я на рабочем столе, в фоне ничего не запущено, а аидовский оверлей мне показывает загрузку процессора 100% и температуру под 90 градусов! Открываю диспетчер задач, аидовский оверлей моментально показывает 1% загрузки и температура падает до 40 градусов. Закрываю диспетчер задач, нагрузка моментально 100%. Ради интереса попробовал несколько сторонних диспетчеров задач, история повторялась. В общем у меня был ещё один майнер, но уже по умнее другого. Он вообще не палился любым диспетчером. Но почему-то спалился именно аидой. Видимо эта тварь мне постоянно насиловала процессор и он в итоге сгорел. Остаётся загадкой какого хрена проц не тротлил или не вырубился по защите от перегрева? Ну и естественно проц забрал с собой на тот свет один канал оперативной памяти. Саму оперативку пока нет возможности проверить. В итоге винду всё-таки пришлось переустановить. И ещё есть подозрение, что майнер был подхвачен через те самые пиастры за которые «приобреталась» windows (но это не точно). Аиду поставил в автозагрузку. Надеюсь моя статья кому-нибудь спасёт процессор. Всем бобра!
P. S. Извиняюсь за велик и могуч русская языка!

Майнер NT Kernel & System под видом Realtek HD ⁠ ⁠

Дело было одним вечером, сижу я значит ничего не заподозрив, понимаю что уж сильно начал шуметь мой компьютер.
Подумал ну Яндекс браузер кушает процессор плюс видео в ютубе, ай да забыл я об этом.

Вдруг 4-ый день этого жёсткого звука меня пробило насквозь. Что-то тут не так.
При запуске компьютер только только появился рабочий стол процессор шумит с видеокартой на максимум.
Беру дело в руки открываю диспетчер для просмотра активности вижу спокойный результат.
Уши не обманешь слышу как кулеры в ПК становятся тише.

АГА ЗНАЧИТ ВОТ ОНО КАК, сразу в голову приходит мысль что тут что-то ведь не ладное.
Открываю я значит программу для просмотра FPS в играх (там ещё показывается температура, нагрузка всех цепей), закрываю диспетчер задач, вижу опа через секунд 15, что процессор что видеокарта идут в разрыв, понимаю что нада копать глубже.

Значит тут понимаю нужно смотреть резко в диспетчере тут опа вижу приложение которое всё кушало — NT Kernel & System, знаю есть такое в виндовсе решил копнуть глубже вижу что данная система отвечает за режим системы. Открыв информацию о нём, решил просмотреть где сидит данный процесс и получаю путь Program Data/Realtek HD

Я понимаю что программа виндовса которая отвечает за прерывание находится в папке с звуковыми драйверами, к тому же она полностью пустая. Вижу как мой диспетчер закрылся сам по себе.

Тут я уже всё понял и знал куда копать начал проверку на вирусы делать, нет ничего абсолютно.
Проверял я Microsoft Defender доверия к нему больше. В итоге 0

ставлю на скачку Dr.Web при установке выдавало ошибку постоянно.

Вирус начал закрывать установщик я психанул открыл диспетчер и просто закрывал этот вирусняк. В общем я установил его он запросил перезагрузку, я с вздохом перезагружаю ПК

Господи он начал сам перезагружаться 6 раз

На 7 выдало ошибку какую-то (жаль нету фоток)
Я с горем пополам вижу справа в углу мою любимую службу которую он заблокировал.

Читатели этого поста не задерживайтесь с проверкой на вирусы..
И берегите свои видеокарты от каких-то тварюк !

Майнер NT Kernel & System под видом Realtek HD Майнеры, Вирус, Компьютер

Майнер NT Kernel & System под видом Realtek HD Майнеры, Вирус, Компьютер

2 года назад
Качаем Live usb от того же dr.web заливаем на флешку, грузимся с нее и проверяем комп
раскрыть ветку
2 года назад

Любые действия с заражённой ФС производятся в её не активном состоянии, это аксиома.

раскрыть ветку
2 года назад

Майнеры бил и бью двумя прогами: Process Explorer (диспетчер) и autoruns (проверяет автозапуск)

раскрыть ветку
2 года назад

У тебя дало скачать DrWeb — слабый майнер. У меня все сайты DrWeb`а были в «такой» момент недоступны.
Кстати, самая лучшая проверка на вирусы — доступны ли вам сайты антивирусников)

2 года назад

качнул проверил такая же куйня, да кто му же, что то крысило 10-15 мбит/c канала, по договору 100мбит/c а по факту 80-90 уже который замер, провайдер говорил про +-10% по этому не придал значения, посмотрел после антивира 99< , прогара в хату вам майнеры ипучие

раскрыть ветку
Похожие посты
9 дней назад

Майнер, маскирующийся под Realtek HD и taskhost⁠ ⁠

Итак, симптомы этой гадости:

1. А че мой ноут звучит как боинг на взлете?
2. Ля, а почему игра лагает?
3. Кто такой этот ваш COM Surrogate и нахрена он грузит мне процессор?
4. А че у меня антивирус не встает, потому что мне системный администратор запретил? Этож домашний комп.
5. АЛЯРМА, у меня сайты сами закрываются и проводник и вообще все.
6. У меня нет плиты, потому что я жарю яичницу на крышке ноутбука
7. И тому подобное.

Копаем глубже, разъясняем про майнера:

Кто-то когда-то (конечно же не ты) смотрел много порнухи и качал всякий шлак. Подцепил майнера, ублюдка такого, который на твоих мощностях криптовалюту добывает. Бывает. Главное чтобы мама не спалила.
Суть такая, в папке «‘C:\ProgramData\RealtekHD» лежит файлик taskhost.exe. И смело маскируется в диспетчере задач под COM Surrogate, запускаемый dllhost»ом, который в свою очередь должен лежать в «»C:\Windows\System32». Подозрительно? Я тоже так считаю. Вот этот шлак и есть тот самый вирусняк.

Собственно, помимо этого он:
1. Создает папки в «‘C:\ProgramData», которые создали бы топ 10 антивирусов при установке, делает их скрытыми (ну вот прям совсем скрытыми, чуть ли не с признаком «системная») и блокирует к ним доступ достопочтенному тебе и системе. На опережение в общем действует гаденыш.
2. Эта хитрая жопа лезет в твой регистр и банит тебе там возможности рабоать с проводником, таск менеджером и прочими полезными вещами. Причем как бы не совсем банит, надо же не спалиться, а так, чуть чуть:
2.1. Установка антивирусов — пошел в жопу, этого нам тут не хватало
2.2. Зайти и удалить файл вируса — ты что, с дуба рухнул? ЗАБАНЕНО
2.3. Слишком долго шаришься по проводнику? — не ешь мои мощности для майнинга, курва.
3. Он решает, что зайти на сайты, которые помогут тебе решить проблему, скачать антивирус и так далее — это плохая затея, поэтому ограждает тебя от этих плохих действий, внося в файл HOSTS небольшие корректировки (где-то 80 штук).

Так, а делать то мы с этим че будем?

Тут все изи, по шагам, по минутам:
1. Жмякаем Win+R тыкаем по клавиатуре «msconfig.exe» ну и на Enter ткнуть не забываем
2. Вкладочка «Загрузка», галочка «Безопасный режим» и ребутнемся
Теперь мы этому говну не по зубам, он же под службу маскируется, а мы их отключили (обязательно потирать руки или гладить кота, как злодей из бондианы)
3. Опять наш любимый Win+R пальчиками набираем «regedit» жмякаем Enter
4. Смело идем в «HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer'»
Там еще может быть папочка «DisallowRun»» — Вот оно то нам и надо, оно банит нам запуск программ (в нашем случае — антивирусов).
5. Если там много хлама — проделки вируса, удаляем их (там обычно написано, что он банит)
6. Выходим из безопасного режима (Шаг 1-2, только безопасный режим наоборот отключаем)
Финишная прямая.
7. Как нибудь через три пды колено (флешка, телефон, телеграм, да пофиг) закидываем себе на комп малюсенький дистрибутив Rkill. Эта штука при запуске ненадолго остановит уродца и поубивает его процессы.
8. Собственно, нахрена нужен предыдущий шаг? Если есть желание поиграть в самого быстрого стрелка на диком западе — можешь попробовать запустить Rkill, а потом сразу зайти и удалить приложуху с вирусом. Если нет — запускаем, качаем антивирус (я обычно докторвеба для таких вещей использую), устанавливаем, стартуем проверочку. Найдет пару измененных этой штукой файлов и починит или удалит.
9. Файлик «hosts.sys» может быть не починить. Залезаем к нему домой по адресу «C:\Windows\System32\drivers\etc», открываем в блокнотике и удаляем все строки без # первым символом. сохраняем как «hosts»», меняем расширение с «.txt» на «.sys»

Сейчас вместе думаем «Да сколько уже можно?!», но верим в лучшее, осталось чутка.

10. Заходим в «‘C:\ProgramData», ищем папки с названиями антивирусов
11. ПКМ на них нещадно -> Свойства -> Безопасность -> Дополнительно
12. Находим своего юзера, видим напротив него «полный доступ» и «запрещено»
Сильно зло думаем «Скотина, как он имеет право хозяйничать на моем компе. «
13. Нажимаем на себя, изменить и, спасибо что вирус тупой, просто нажимаем разрешить.
14. Удаляем нахер папку, радуемся жизни.
15. Вуаля, готово, дан, качай порнуху дальше. Скринов не будет, мне лень.

На всякий на тебе ссыль на докторвеба и на полезную статейку на ремонтке

UPD:

Тут по прочитанным комментам — есть бесплатная утилитка DrWeb cureit ссылка вот

Показать полностью
5 месяцев назад

Не о чем рассказать⁠ ⁠

Давным давно, когда трава была зеленее, а грудь задорнее, я была достаточно юна, чтоб стесняться некоторых посещаемых мной сайтов.
Компьютер тогда для меня был шайтан-машиной с чудесами со всего света.

«Лучшее порно только для вас!» И довольно занятные гифки. И над всей этой красотой извещение о том, что Винда заблокирована, но вот вам номер телефона.

Кровь застыла в жилах, а пот увлажнил одежду похлеще любых интересных видео. Благо, был у меня знакомый знакомого моего знакомого, к которому я помчалась, зная, что ему глубоко пох на мою активность в интернете.
Как же он смеялся.
Славный парень. Я ему три литра пива, он мне ликбез про вирусы и несколько полезных программулек и команд на всякий случай.

Месяца два спустя моя мама, женщина предпенсионного возраста, шепотом попросила меня посмотреть её компьютер.

О! Знакомые гифки)

Мама искала аудиосказки для моего племянника. Ну а я пару месяцев назад как раз неудачно скачала музыку. В общем, не нам друг друга осуждать.
У меня, конечно, уже было лекарство.

Спустя почти двадцать лет с моего первого знакомства с компьютерными вирусами.

Вычищая намедни хрень с компа ребенка, взгрустнулось мне. Не те нынче вирусы, без задора. Я лечу их, даже не купив три литра пива парнишке, у которого материнка прикручена к стене. Хотя нет, есть у меня парнишка на крайний случай, но он берет деньгами и не делится секретами.

Без огонька работают современные вирусоделы. Не о чем рассказать.

Показать полностью
8 месяцев назад

Вирусная рассылка, маскирующуаяся под «электронную повестку»⁠ ⁠

Вчера наша, и многие другие компании получили письма следующего вида:

Внимание! Письмо не открывать, вложения не открывать, и тем более не запускать исполняемые файлы из него!

Вирусная рассылка, маскирующуаяся под

Если вы обнаружили следы вредоносного ПО немедленно отключите компьютер от локальной сети и свяжитесь с Вашим системным администратором!

Проверить что компьютер заражен можно открыв в проводнике папку «%appdata%\..\Local», например
В ней будет лежать скрипт вида 93e90a923.js
Имя файла будет варьироваться. Так-же, в планировщике задач есть задание следующего вида

Вирусная рассылка, маскирующуаяся под

Для системных администраторов следует заблокировать IP адрес 185.203.119.240.
Если у вас есть соединения на этот IP — в Вашей сети есть зараженные ПК.

Изначальный скрипт соединяется с сейрвером по одному из 60-ти доменных имен или с одним из 300-та генерируемых в зависимости от текущей даты. Скрипт содержит в себе кейлоггер и другие инструменты получения информации о системе. Далее запускается код, полученный с сервера. В нашем случае это был кейлоггер со сбором информации о цифровых подписях. кейлоггер запускался в виде закодированого скрипта через powershell.
Если на вашем ПК были электронные подписи — крайне рекомендую обратится в удостоверяющий центр для их отозыва и выпуска новых.

Для деактивации требуется:

  1. Удалить задачу из планировщика заданий
  2. Завершить все процессы wscript.exe, powershell.exe, а так же другие подозрительные процессы.
  3. Проверить ветку реестра [HKEY_CURRENT_USER\Software\Microsoft\Windows\DWM] — в ней хранятся последние данные работы скрипта, лог нажатий клавиш, электронные ключи и другие данные.

Рекомендую так же удалить все файлы, созданные в момент создания скрипта .js

В данный момент активен только один из доменов указанных в скрипте: 3A60DC39_ONLINE
Еще один не оплачен: 3a60dc39_fun. Полный список доменных имен на 10.05.23 https://pastebin.com/wu9D79Cv

Показать полностью 2
9 месяцев назад

Rutracker и модераторы в доле с майнерами⁠ ⁠

На известном нам сайте с недавних пор пошли непонятные движения, и некоторые раздачи модераторы Намеренно игнорируют, несмотря на очевидные факты

Например раздача на программу Malwarebytes repack by Emir Cardan

169 / 8 на момент написания поста

После установки программы начинаются заметные тормоза системы и кулер набирает обороты улетая в космос.

Хорошо, сносим программу через панель управления, но эффекта ноль.

В диспетчере задач появляется несколько интересных процессов taskhos, taskhostw которые ведут в подпапку RealtekAudio, с которой нельзя просто так взаимодействовать через консоль cmd или в проводнике, она скрыта не обычным способом Windows, и просто так с ней ничего не сделать

Так вот , загрузка цп 100% в простое

При заходе в диспетчер стремительно падает, и при попытке открыть расположение вредных процессов закрывается диспетчер задач и окно папки появляется на долю секунды

При попытке установить антивирусники или спец софт для удаления подобной поеботы Майнер создаёт нам проблемы — закрытия, ошибки и т.д

Всплывают также разные процессы интересные связанные с вирус и один фейк svchost

Система дымит и лагает но

Модераторы сайта глубоко наплевать на вас, они видимо в доле или по братской любви разрешают таким раздачам висеть

Решается быстрой заморозкой всех связанных процессов в process hacker и успеть за 5 секунд открыть расположение фейкового taskhost процесса который откроет ProgramData/RealtekAudio

Windows покажет нам что тут пусто, это не так. Выделенные в process hacker процессы убиваем и сразу несём папку в корзину из «пути» и очищаем ее

После запускаем восстановление системы методами Windows или методом с cyberforum где есть много сообщений о подобном вирус

Показать полностью
1 год назад

Эволюция как она есть⁠ ⁠

Порой так интересно наблюдать за эволюцией компьютерных вирусов. Вот так подхватишь какую-то дрянь, начинаешь разбираться и так увлекаешься этим делом, прямо чувствуешь себя Дроздовым. И ведь каждый раз найдешь что-то новенькое, уловки любой ценой защититься от всяких там юзверей.

Немного пояснения: в виду своей деятельности и лени пришлось раскурочать свою винду в решето. Понятно, что никаких антивирусов она и не видела никогда, да и тот же win defender отправлен в вечный сон реестром и гпо, открытая удаленка и вседоверяющий файервол. Никакой адекватной защиты в трёх словах.

Но и соответственно отлов вирусов, в частности майнеров, для меня не в новинку.

История: как-то заметил, что система стала виснуть на ровном месте. Лезем в диспетчер задач загрузка 100% и через секунду 10%. Классика.
Ну, думаю, приключение на 20 минут.
Лезу качать DrWeb cureit. Открываю сайт, браузер крашится. Ага. Знаем, проходили.
Лезем качать ProcessLasso. Любимый softportal, и тут нате переадресация на домен гугла.
Это дело тоже не в новинку: лезем искать файл hosts, и вот тут пошли интересности. А файла-то нету. Тут я списал на свою глупость, что вдруг где-то не там искал, все-равно к тому моменту cureit уже была скачана на ноут и перекинута на шару.
Ставим сканить систему, а параллельно находим ProcessLasso на другом сайте и начинаем выискивать процессы, которые как-то неадекватно кушают ресурсы. Таких оказалось несколько taskhost, который в диспетчере именовался COM Surrogate, audiodg и ещё парочка, которые позже cureit пачкой и почистил.
Что в этом оказалось интересного. При попытке открыть расположение файла происходил краш проводника и диспетчера задач, но во время фриза системы удалось углядеть путь до файла: C:/program data/realtek hd
Лезем туда напрямую, и. папки нет(видимость всех скрытых файлов папок включена). Не отчаиваемся, открываем консоль и пробуем искать оттуда. Все прекрасно видит, и даже позволяет залезть и полистать файлики.

По итогу cureit все почистил. И тут я вспомнил про hosts, полез туда же консолькой и о чудо, файлик-то на месте, открываем, удаляем тонну строк переадресации на 8.8.8.8, сохраняем, заменяем, радуемся жизни.

Позже узнал, что данный вирь сидит в новых репаках от «xatab’a». Что за люди. Ничего святого в них нет.

На этом я думал, что все и порешилось, пока на моих же глазах в систему удаленно не вошёл некий John — скрытая, как позже выяснилось, учетка с правами администратора. Но об этом уже в следующий раз, если кому-то будет это интересно.

Показать полностью
1 год назад

Как избавиться от вируса-майнера?⁠ ⁠

Проблема заключается в том, что где-то раз в плюс-минус 5 минут комп чуток подвисает — идёт 100% загрузка проца и, скорее всего, видюхи, судя по работе её кулера. Ну, и естественно, что эти тормоза не приносят ничего приятного в пользование компом.

Непосредственно перед этим скачком автоматически закрывается диспетчер задач, если он был до этого открыт.

Я пробовал гуглить проблему и вышел на киберфорум, где нашёлся топик со схожими симптомами. Там говорят, что это майнер и советуют скачать AVZ и в нём выполнить некий скрипт. Далее проблема стала за тем, что я просто не смог запустить AVZ, так как после открытия программы она тут же автоматически закрывается. В итоге я запустил её и выполнил скрипт из безопасного режима, однако это вообще ничего не дало.

Тогда я попробовал зарегиться на форуме и создать тему уже непосредственно по своему случаю, но сразу после авторизации браузеры стали автоматически закрываться 🙁

Также пробовал использовать ESET и Avast, но с ними та же беда, что с AVZ: я просто не могу их установить — они закрываются.

Винду переустанавливал месяц назад — это тоже не помогло. Встроенные в винду брандмауэр и защитник у меня если что включены, настройки параметров выдачи уведомлений о вносимых в ОС изменениях тоже включены и ничего не показывают. Кстати, что характерно, загрузка проца и подвисания не такие жёсткие, когда отсутствует доступ к инету.

В общем, я не знаю, что делать и надеюсь, что мне тут подскажут решение этой проблемы.

Кажись, нашёл гадёныша:

В папке C — ProgramData — RealtekHD находится файл taskhostw, который запускает периодически процесс taskhost с описанием COM surrogate!

При попытке зайти в папку место хранения файла папка тут же закрывается.

Гугл выдаёт, что это таки майнер (ситуация вообще 1 в 1 как у меня)

Показать полностью
1 год назад

Случаи из практики 129⁠ ⁠

Мужчина 32 года:

— Скажите, а вы можете упрятать меня в психбольницу? – боязливо спросил мужчина, так крепко удерживая в руках сумку, что у него побелели костяшки пальцев.

— У меня не больше власти чем у обычного гражданина, — совершенно спокойным голосом ответила я. – Так что можете не переживать.

— Это хорошо, — кивнул он, — а то у меня жена и ребенок. Так они могут остаться без кормильца. Плюс, вряд ли босс оставит мне работу после того, как узнает, что меня упрятали в дурку.

— Понимаю… Может быть расскажете, что привело вас ко мне?

— В начале прошлого месяца у меня началась суточная смена – я работаю в службе поддержки одного большого корпоративного продукта. То есть можно спать в ночное время, но если вдруг что-то случится, то мне позвонят и нужно будет быстро найти решение. Работенка не пыльная, платят хорошо, но во время дежурств часто приходится просыпаться посреди ночи и садиться за компьютер. Так что в эти дни я ухожу спать на кухню вместе с ноутбуком, чтобы не мешать жене.

— В ту ночь вы именно так и сделали?

— И очень об этом пожалел… — замогильным голосом произнес он. – Мне позвонил оператор, сказал, что часть клиентов не может получить доступ к некоторым функциям и необходимо что-нибудь придумать. Делать нечего: умылся холодной водой, поставил кофеварку и сел за комп. Где-то через час стало клонить в сон, но я взял себя в руки и доделал задачу, после чего начали происходить странные вещи… Экран замерцал и на нем появилось полупрозрачное женское лицо. От страха я чуть не перевернул стол, отпрыгнул в сторону и снова посмотрел туда. Лицо виднелось поверх всех окон и стало чуть ярче, а потом из динамиков послышался тихий стон и шепот: «Зря ты это сделал». Я попятился назад, но зацепил ногой порожек между кухней и коридором и упал.

— Надеюсь вы ничего не сломали?

— Только набил шишку на голове, — хмыкнул он. – Проснулся только утром, причем на диване, с открытым на столе ноутбуком. И если бы не кровоподтек, то я бы подумал, что это просто такой сон и все. Но в итоге решил, что видимо переработался, стукнулся где-то, а потом на автомате заснул. И все было хорошо ровно три дня, пока у меня по графику снова не наступило дежурство. На этот раз вставать приходилось два раза: в двенадцать и в три ночи.

— Вы снова увидели странное лицо?

— Жуткое мертвенно-бледное женское лицо, — клиента буквально трясло у меня на глазах. – Оно неожиданно появилось на экране и тихо-тихо засмеялось. Меня проняло так, что аж сердце остановилось и тут оно заговорило: «Беги…». Кажется, в этой фразе было еще что-то, но я уже не расслышал, пытаясь как можно быстрее покинуть кухню. Прибежал к жене, разбудил ее, попросил пойти проверить. Она поначалу не поверила и просто отвернулась к стене, но я все не унимался, и она таки встала…

— Ничего, в том то и дело. Короче, я уже не мог работать за ноутбуком, поэтому сел за второй компьютер, подключился и доделал дело. Жену при этом попросил не ложиться без меня. Она только сказала, что мне нужно больше отдыхать или, еще лучше, поехать в отпуск, которого у меня уже давно не было. В итоге мы улеглись, и я до конца ночи не смог сомкнуть глаз.

— После этого это лицо еще появлялось?

— Еще дважды, причем в последний раз я плюнул и остался с женой, чтобы потом работать не на ноутбуке. И что вы думаете – эта тварь добралась до меня и там! Вы представляете?! Я кинулся к жене, растолкал ее, но пока она проснулась – на экране ничего не осталось. Короче, она сказала, что у меня что-то не в порядке с головой и предложила вызвать скорую, но я сразу же отказался, прекрасно понимая к чему это ведет. Если бы меня упекли в психушку, то жена бы осталась одна с дитем на руках. Поэтому-то я и решил для начала пойти к частному специалисту.

— Разумно, — задумчиво сказала я. – Скажите, Георгий – у кого-нибудь из ваших родственников были похожие инциденты? Или может быть психические заболевания?

— Да вроде нет: отец с матерью живы-здоровы, один дедушка умер от инфаркта, второй много пил, обе бабушки дожили до глубокой старости — ничего подозрительного.

— А как дела в семье, дружно ли вы живете?

— Ну, после родов мы с Настей немного отдалились друг от друга, но это нормально – вы же понимаете, ребенок забирает большую часть ее времени.

— А сколько вашему малышу?

— Скоро пять лет, вовсю ходит в садик и даже английский знает лучше меня – настоящий вундеркинд.

— Чем занимается ваша супруга?

— Она домохозяйка, ну еще плетет всякие там ожерелья из бусин и продает через онлайн-магазины, но это не особо прибыльное дело.

— Понимаю… А что насчет работы – много ли стрессовых ситуаций, может быть тяжелый руководитель?

— Нет, нет, Николай – отличный мужик. С коллегами все тоже ровно, мы даже частенько собираемся все вместе – укрепляем коллектив, так сказать.

— То есть, подытожив все вами сказанное – живете вы неплохо, и нет ничего такого, что могло бы вызвать стресс такого размера, что у вас начались галлюцинации?

— Вроде того… И что это может значить?

— Что вам, для начала, нужно обратиться к специалисту по компьютерам – пусть он проверит, нет ли в системе каких-либо вредоносных программ. Только прошу вас, сделайте это незаметно ото всех. Зайдите или позвоните в какую-нибудь контору и попросите все проверить. Помимо этого, вам следует сдать некоторые анализы – существуют прецеденты, когда людям начинали мерещится всякие образы из-за дефицита некоторых веществ. Сейчас я вам все распишу.

— Было бы здорово, если бы всему виной оказался вирус или нехватка витаминов – а то мне через три дня опять на дежурство, а я уже на грани срыва.

— Не волнуйтесь, мы с вами во всем разберемся…

Показать полностью
Поддержать
1 год назад

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть»⁠ ⁠

Для отслеживания подозрительных процессов очень удобен продвинутый менеджер процессов от самой майкрософт, называется ProcessExplorer.

Качается отсюда: https://docs.microsoft.com/en-us/sysinternals/downloads/proc. (сам сайт майкрософта, так что источник безопасен).

После запуска в меню выбираем эти два пункта:

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

И соглашаемся на условия конфиденциальности вирустотала.

Бинго, теперь у вас появится новая колонка в списке процессов, где отображается результат проверки на вирустотале, плюс проверка цифровой подписи запущенного файла. По нажатию на цифры сработки откроется страница вирустотала с отчётом.

ВАЖНО: сами файлы не передаются в вирустотал, он просто ищет там готовые результаты на файл с таким же хешем, так что особо мощный интернет не нужен! Если такого файла найденно не будет, то так и будет написано в данной колонке, и только по нажатию файл будет залит для проверки!

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

Так же, из полезных бонусов данной программы:

1) процессы отображаются в виде дерева, то есть вы видите, какими процессами они запущенны (на скрине показал кнопку активации данного режима)

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

2) можно вывести графики загрузки (память, проц, диск, видяха итд) для каждого процесса в таблице (правой кнопкой на название колонок, там выбрать пункты с «history» — это и есть графики)

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

3) Можно заменить этой программой встроенный менеджер процессов (для этого надо не просто открыть файл из архива, а сохранить его где-нибудь на компе)

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

4) продвинутые графики загрузки системы, открываются по нажатию на главный график сверху окна программы

Ответ на пост «Как удалить прячущийся майнер и понять что он вообще есть» Компьютер, Вирус, Майнеры, Windows, Компьютерная помощь, Ответ на пост, Длиннопост

Надеюсь, кому-то эта информация будет полезна. Сам использую данный инструмент уже лет 8, родной виндовый менеджер уже кажется убогим.

Показать полностью 5
1 год назад

Как удалить прячущийся майнер и понять что он вообще есть⁠ ⁠

Предисловие: не все майнеры загружают цп на 100, бывает им хватает 10, 20, 30 %.
Прекрасным днём играл я в доту, все как бы работает вопросов нет, играю я по несколько часов подряд, и компьютер время от времени начинал гудеть сильнее чем стабильно в игре(системник), и тут мы с другом решили проверить, у кого сколько FPS в игре( качество плавности изображения кадров в секунду), и на моей RTX 2060 оказалось меньше чем на его GTX1050ti. Разгоном дело не решилось, скачали оба MSI Afterburner, и в игре решили тестить. У него стабильно 100-110, у меня то 120-130 то 80-90. Я открыл дисперчер задач и вернулся в игру, и оп)- фпс то подрос на 3-4 минуты) Открыл диспечер задач а там ничего нету( Подождав 4 минуты в игре открыл диспечер и стал смотреть убегающие процессы( по нагрузке),нашёл подозрительный процесс NT Kernel & System, отправил его в Virustotal(онлайн сайт) проверки вирусов, и попадание) скрин прилагаю мож кому поможет( маскируется под звуковую карту Realtek) На скрине слева процесс майнера, справа сводка по файлу после анализа. Удаляться просто так не захотел, скачал прогу Unlocker, и с помощью ней через перезагрузку удалил) В моем случае он потреблял 20-30% примерно. В папке файлы были невидимые. Оба улетели. Забыл добавить: при открытии диспечера задач он приостанавливает деятельность на 3-4 минуты, потом Сам закрывает диспечер задач)

Как удалить прячущийся майнер и понять что он вообще есть Компьютер, Вирус, Майнеры

Как удалить прячущийся майнер и понять что он вообще есть Компьютер, Вирус, Майнеры

Показать полностью 2
1 год назад

Ответ на пост «Ничего личного.Просто бизнес»⁠ ⁠

Предлагаю список «Коллектор, риэлтор и похоронный агент» — пополнить списком — «Продавец из ДНС «. Это перекуп в квадрате «Пользуется должностным положением (бронирует видяхи ещё до поступления), не выполняет своих обязанностей (не продаёт по цене магазина), портит обычным людям жизнь (перепродаёт видяхи по двойной-тройной цене).

Ответ на пост «Ничего личного.Просто бизнес» Мемы, Дефицит, Видеокарта, Майнеры, Перекупщики, DNS, Компьютер, Ответ на пост

2 года назад

Ответ на пост «Вирус майнер nt kernel system и как с ним бороться. ( Когда открываю диспетчер задач фпс повышается )»⁠ ⁠

Эхх. где ты раньше был.
Тоже напоролся на этот вирус, пришлось долго мучаться, но всё же смог его удалить.
Если кому поможет, то боролся я с ним так: Пока искал инфу про этот вирус, напоролся на этот сайт: https://it-tehnik.ru/virus/virus-close-browser.html С него я скачал старую версию Касперского. Т.к. сайт не официальный, то вирус его не закрывал. Позже в самом Касперском я обновил его до актуальной версии и просто провёл сканирование и последующую очистку компа.

А теперь немного про сам вирус — это майнер, который весьма хорошо прячется. Как и многие другие вирусы, как только включаешь диспетчер задач, он перестаёт нагружать комп. Но он сам выключает диспетчер задач раз в минуту-две (точное время не засекал). Мой Windows Defender (винда не лицензионная) его практически не засекал. Всё что он находил — один файл, который после удаления он находил снова. и снова. и снова. Можно скачать другой антивирус, но при входе на официальный сайт он просто закрывал браузер. Казалось бы, можно скачать с другого сайта, либо с внешнего носителя, но и тут может выйти облом — этот вирус может не дать открыть некоторые антивирусы, либо не дать им провести проверку.

Может мой способ не самый лучший, но я всё равно хочу его опубликовать, мало ли кому поможет.

2 года назад

Вирус майнер nt kernel system и как с ним бороться. ( Когда открываю диспетчер задач фпс повышается )⁠ ⁠

Привет пикабушники. Вчера задефал свой ПК от этого злое***его вируса. Гори в аду его создатель.
Хочу поделиться с вами как его обнаружить и удалить. Подойдет для неопытных юзеров.

Итак. Проверяем есть ли он у вас.
Первым делом попробуйте зайти на официальный сайт антивирусов таких как nod32 и касперский. Если не пускает и сбрасывает соединение, значит у вас вирус.
Далее. Открываете диспетчер задач(Ctrl+shift+ESC), сортируете задачи по имени и нажимаете на клаве кнопки NT. Если есть процесс nt kernel system, значит это та самая хрень.
Объясню. Этот вирус скрывается в процессах ненагружая пк когда диспетчер задач открыт.
Как только вы его закроете, он начинает сильно нагружать видеокарту, особенно когда играете. Я лично играл в Varhammer vermintide 2 и там было 30 фпс на ЛЮБЫХ настройках игры.
Когда я запускал диспетчер задач, фпс сразу возрастал до 60.
Если диспетчер будет открыт более пол минуты, вирус сам его закрывает.

У этой дряни есть активная фаза. Когда вы начнете гуглить его название в браузере, или же устанавливать антивирус, он будет всячески мешать. НО его можно в диспетчере на секунд 5-10 отключить клавишей delete. Если попробуете открыть расположение файла процесса, то вас кинет в несуществующую директорию local/realtec HD. Да, он маскируется еще и под драва звука.

Итак, у вас уже горит задний проход. ЧТО ДЕЛАТЬ?!

1. открываете через инкогнито браузер, ищете «доктор веб». Он его детектит.
2.Качаете дока. достаточно демо версии Security Space.
3. Устанавливаете, вызываете диспетчер задач, находите процесс кнопками NT(сортировка по имени) и постоянно удаляете когда он появляется, пока не установите доктора. (диспетчер задач не закроется пока вы будете постоянно удалять этот процесс, их кстати у меня было 2. Это активная фаза вируса)
4. Антивирус попросит перезапустить пк. Подчиняемся.
5. После перезапуска запускаем ярлык на раб столе «сканировать»
6. Ждем.
Готово. Антивирус напишет название файла в котором нашел вирус, у меня это был Auslogic defrag. Дефрагментировал комп называется. И так же он покажет пораженные файлы. Жмем излечить и комп здоров.
Удачи.

Показать полностью
2 года назад

Скрытый майнер⁠ ⁠

Ни для кого не новость, что сейчас все «эти ваши интернеты» кишат вирусами-майнерами. Но зная об этом я всё равно такой где-то как-то словил. А заметил я его деятельность только потому, что он не умел прятаться в диспетчере задач. Естественно он шифровался под системные процессы, но делал это как-то палевно, ибо ну не может процесс GREP (утилита поиска строк) отжирать на 99% процессор. Ну загуглил что это за процесс такой и просто его удалил из системы, ибо мне он не нужен. Но при следующем же запуске этот майнер шифранулся под другим системным процессом, точно уже не помню, что-то связанное со справкой Windows. Ну также загуглил, также удалил из системы и так повторялось раз 5. Пока он не стал шифроваться уже под нужный мне процесс. Здесь я понял что, так до синего экрана доудаляюсь, и решил что-то придумать. Так как систему переустанавливать было в лом, да и слишком много было установлено программ для работы, решил это дело создав простую задачу в планировщике задач Windows. (Система у меня Windows 10, естественно, купленная за пиастры).
Благо если грохнуть процесс за которым прячется майнер, то он не возобновлял свою деятельность до следующей загрузки системы. Скопипастил простой скрипт на завершение процесса, подставил нужный процесс и разместил задание в планировщике, чтобы скрипт срабатывал через три минуты после старта системы (майнер стартовал каждый раз через разное время после пуска винды, но не позднее трёх минут) и вопрос был решён. Стоит оговориться, что перепробовал все типы антизаразы (антивирусы, антималвары и иже с ними, включая загрузочные флешки) и ниодна программа не смогла найти что-то подозрительное.
Ну вопщем жизнь продолжилась, я на коне, «великий победун майнера без переустановки винды».
Но в один прекрасный момент ребёнок сел посмотреть мультики в ютюбе и через пару минут системник просто вырубился. Никакой реакции на кнопку включения. Прохожу все основные этапы «Ничё не понимаю», в материнке остаётся только процессор, но кнопка питания также не оказывает никакого воздействия. И вот только когда я откинул питание процессора, материнка пыталась стартануть, мгновенно покрутив куллерами. Ну у меня сразу два подозрения, либо блок питания, либо материнка (процессор вне подозрения, ибо мировая статистика гласит, что шанс выхода его из строя нуль целых хрен десятых). Проверяю бп на рабочей системе, всё окай. Остаётся материнка. Тащу на работу админам мать и проц. Выясняется, что именно проц и накрылся (второй раз мне так везёт, причём первый раз amd 6000+ накрылся много веков назад, в этот раз Intel i5 4570). Ну делать нечего, наконец-то решаюсь перейти на Рязань. Собрал систему, винду не переустанавливал. Ну и естественно после перехода с 4х ядер на 6 двухпоточных, захотелось помериться пипирками с друзьями. Первым делом запускаю Aida64 и врубаю оверлей на температуру и загрузку процессора и немного прифигеваю. Только что я запускал тяжёлую игру и через диспетчер задач процессор грузился максимум на 7%. А тут я на рабочем столе, в фоне ничего не запущено, а аидовский оверлей мне показывает загрузку процессора 100% и температуру под 90 градусов! Открываю диспетчер задач, аидовский оверлей моментально показывает 1% загрузки и температура падает до 40 градусов. Закрываю диспетчер задач, нагрузка моментально 100%. Ради интереса попробовал несколько сторонних диспетчеров задач, история повторялась. В общем у меня был ещё один майнер, но уже по умнее другого. Он вообще не палился любым диспетчером. Но почему-то спалился именно аидой. Видимо эта тварь мне постоянно насиловала процессор и он в итоге сгорел. Остаётся загадкой какого хрена проц не тротлил или не вырубился по защите от перегрева? Ну и естественно проц забрал с собой на тот свет один канал оперативной памяти. Саму оперативку пока нет возможности проверить. В итоге винду всё-таки пришлось переустановить. И ещё есть подозрение, что майнер был подхвачен через те самые пиастры за которые «приобреталась» windows (но это не точно). Аиду поставил в автозагрузку. Надеюсь моя статья кому-нибудь спасёт процессор. Всем бобра!
P. S. Извиняюсь за велик и могуч русская языка!

Вирус майнер taskhostw.exe, NT Kernel — System ↓

Вопрос будет не про то как его удалить, скорее почти, я удалил его с помощью Dr. Web, при следующем запуске пк, появился самораспаковывающий архив (вроде так) и эта мразота снова появилась, что делать? Более глубокую проверку в Dr Web?

Лучший ответ

Здравствуйте! У вас на компьютере остались остатки и последствия пребывания скрытого майнера (вот почему я не рекомендую удалять его вручную). Выполните следующее: Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV9r.exe (или любое другое имя).
Как вариант, можно воспользоваться версией со случайным именем.
Если и так не сработает, то запускайте утилиту в безопасном режиме с поддержкой сети. После её успешной отработки в безопасном режиме — обратно перезагрузите ПК в обычный режим.
В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, его оставьте и НЕ удаляйте, далее он вам понадобится. Затем выполните это по порядку:

1) На специальном форуме прочитайте и выполните «Порядок оформления запроса о помощи» (пропустив первый пункт, если утилиты не скачиваются/не запускаются). В нём описывается процесс сбора логов и подробное объяснение (второй пункт), вот его внимательно прочтите и выполните.

3) Начните создание новой темы в разделе «Помощь в удалении вирусов». Заголовок напишите примерно такой: «Очистка от остатков майнера». Тег можно написать «майнер» или «троян». Внутри подробно опишите вашу ситуацию и прикрепите собранные логи, в том числе и лог по правилам форума, и тот лог, созданный AVbr’ом (AV_block_remove_дата-время.log), также не забудьте упомянуть, что перед этим вы использовали AVbr. Далее ожидайте ответа консультанта и выполняйте всё, о чём он будет вас просить.

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *