Решена Процессы "Утилита сравнения файлов DOS5" нагружает память

[DrozD_G]

Добрый день, давно пытаюсь побороть водоносное ПО с нагруженной памятью из-за процесса, своими силами не получается решить проблему, помогите пожалуйста, логи прикрепляю

 

[Sandor]

Здравствуйте!

AdwCleaner - официальная версия 8.4 является портативной и не устанавливается в систему.
У вас в перечне установленных видна

AdwCleaner, версия 7.2.1

То есть, неофициальная сборка. Деинсталлируйте её.

DAEMON Tools Lite - если используется только для монтирования iso образов, можете тоже деинсталлировать. Windows 10 умеет это без дополнительных программ (правой кнопкой на iso файле - Подключить).
Перезагрузите компьютер.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('c:\windows\System32\mobsync.dll', '');
 QuarantineFile('C:\WINDOWS\SysWOW64\mobsync.dll', '');
 DeleteFile('c:\windows\System32\mobsync.dll', '');
 DeleteFile('C:\WINDOWS\SysWOW64\mobsync.dll', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\MobSyncBrokerSvc_db995a\Parameters', 'ServiceDll', '64');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

begin
 DeleteFile(GetAVZDirectory+'quarantine.7z');
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Полученный архив quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.




Для повторной диагностики запустите снова AutoLogger.
Прикрепите к следующему сообщению свежий CollectionLog.

 

[DrozD_G]

При выполнении скрипта

 

[akok]

Ничего не прикрепилось.

 

[DrozD_G]

При выполнении скрипта в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

выдаёт

Удаление файла: D:\Torrent\AV_block_remover\quarantine.7z

>>Для удаления файла D:\Torrent\AV_block_remover\quarantine.7z необходима перезагрузка

Запуск приложения D:\Torrent\AV_block_remover\7za.exe a -mx9 -pmalware quarantine .\Quarantine\*

Данный архив quarantine.zip до 2-ой перезагрузки был пуст.
Попробовал, исходя из просьбы утиллиты перезагрузиться, после чего родной антивирус выдал 2 угрозы, если правильно понял, ругается на утилиту AVZ
! 2 скриншота во вложении !
Прикрепляю лог после проделанных процедур

PS: После выполнения всех манипуляций процессы больше не запускаются, специально прождал немного времени т. к. раньше спустя минуты 2-3 мин. ПК начинал куда-то взлетать

 

[Sandor]

У Защитника ложное срабатывание на AVbr, не обращайте внимания.

Далее:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[DrozD_G]

готово

 

[Sandor]

В процессе сбора логов и выполнения скриптов все остальные запущенные программы крайне желательно закрывать.
В частности сейчас у вас зачем-то запущен AVbr (в вашем случае он вообще не нужен).

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  
  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-3512997619-2306060917-1127000683-1001\...\MountPoints2: {bef99aaa-4158-11ed-868b-5ce42a4ab04f} - "E:\setup.exe" 
  GroupPolicy: Ограничение - Windows Defender <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  Task: {2519F17B-C7A2-4286-8A28-7CFE026EED62} - \Lenovo\ImController\TimeBasedEvents\b7124a1f-5484-4d96-a6d0-c4d56db47f91 -> Нет файла <==== ВНИМАНИЕ
  Task: {504E0412-72E7-4A02-ADDE-846D01456E7C} - \Lenovo\ImController\TimeBasedEvents\b1611730-0d1b-4e27-8cf2-167d27bf73fb -> Нет файла <==== ВНИМАНИЕ
  Task: {55308B4B-247B-441F-B868-2AD38196F83E} - \Lenovo\ImController\Lenovo iM Controller Scheduled Maintenance -> Нет файла <==== ВНИМАНИЕ
  Task: {98D6C0E3-4EBE-4ED8-AE38-A6311306F238} - \Lenovo\ImController\TimeBasedEvents\f5c75765-5e74-4304-9b05-143b2ede34cb -> Нет файла <==== ВНИМАНИЕ
  Task: {C0F552F9-5D3F-4335-B3D0-37A44C017490} - \Lenovo\ImController\Plugins\LenovoSystemUpdatePlugin_WeeklyTask -> Нет файла <==== ВНИМАНИЕ
  Task: {CE965492-264D-47AB-850B-45805CEA4913} - \Lenovo\ImController\Lenovo iM Controller Monitor -> Нет файла <==== ВНИМАНИЕ
  S1 WinSetupMon; system32\DRIVERS\WinSetupMon.sys [X]
  2023-08-05 01:13 C:\ProgramData\RDP Wrapper
  AlternateDataStreams: C:\WINDOWS\system32\Drivers\gfsbyoqc.sys:changelist [300]
  FirewallRules: [{24445F56-2F4F-4682-8761-818D368616FE}] => (Allow) C:\Program Files (x86)\DriverPack\tools\aria2c.exe => Нет файла
  FirewallRules: [{EA102695-FF1B-4FBD-8D3D-292E09011A59}] => (Allow) C:\Users\Lenovo-G5437\AppData\Local\Programs\AnyDesk\Downloads\AnyDesk.exe => Нет файла
  FirewallRules: [{E76E1985-6646-4163-B1D7-0203E0D51C58}] => (Allow) C:\Users\Lenovo-G5437\AppData\Local\Programs\AnyDesk\Downloads\AnyDesk.exe => Нет файла
  FirewallRules: [{BDA509E8-9BAF-4ACB-BCC6-9E1A63713415}] => (Allow) C:\Users\Lenovo-G5437\AppData\Local\Programs\AnyDesk\Downloads\AnyDesk.exe => Нет файла
  FirewallRules: [{3EE2F783-26E9-4C7C-8367-3973D3A8AD44}] => (Allow) C:\Users\Lenovo-G5437\AppData\Local\Programs\AnyDesk\Downloads\AnyDesk.exe => Нет файла
  FirewallRules: [{6926342E-CCB1-477F-B7A6-6999A0DB37EE}] => (Allow) C:\Users\Lenovo-G5437\AppData\Local\Programs\AnyDesk\Downloads\AnyDesk.exe => Нет файла
  FirewallRules: [{92CA0C5E-32F6-4DB4-87AB-23A5907B01AA}] => (Allow) C:\Users\Lenovo-G5437\AppData\Local\Programs\AnyDesk\Downloads\AnyDesk.exe => Нет файла
  FirewallRules: [{9C9649CD-44A0-49AF-9163-AEF99CD5C9D5}] => (Allow) D:\SteamLibrary\steamapps\common\Deep Rock Galactic\Legacy\FSD.exe => Нет файла
  FirewallRules: [{365F5736-6622-4113-8124-FDB8609BEB4D}] => (Allow) D:\SteamLibrary\steamapps\common\Deep Rock Galactic\Legacy\FSD.exe => Нет файла
  FirewallRules: [{3D734BC2-59EF-40FA-B314-4A4D44D7490A}] => (Allow) C:\Users\Lenovo-G5437\AppData\Local\Temp\utorrent\utorrent.exe => Нет файла
  FirewallRules: [{CD0545E8-4F1F-402F-9A9F-9BFBAE3F5AB4}] => (Allow) C:\Users\Lenovo-G5437\AppData\Local\Temp\utorrent\utorrent.exe => Нет файла
  FirewallRules: [{E6ABB75E-E3E3-43A8-A044-C2F531963D69}] => (Allow) 㩃啜敳獲䱜湥癯ⵯ㕇㌴尷灁䑰瑡屡潒浡湩屧潴屣㈷慕⹓硥e => Нет файла
  FirewallRules: [{4DF0E9A8-C3E9-4489-826E-E3A9E2BA6A5B}] => (Allow) 㩃啜敳獲䱜湥癯ⵯ㕇㌴尷灁䑰瑡屡潒浡湩屧潴屣档潲敭牤癩牥攮數 => Нет файла
  FirewallRules: [{91627D35-B53C-4A40-BF49-FBC1EC68368B}] => (Allow) 㩃啜敳獲䱜湥癯ⵯ㕇㌴尷灁䑰瑡屡潒浡湩屧潴屣桃潲敭䅜灰楬慣楴湯䍜牨浯⹥硥e => Нет файла
  FirewallRules: [{1E1C28C5-D22B-4D90-B427-DBDBBAA669D1}] => (Allow) 㩃啜敳獲䱜湥癯ⵯ㕇㌴尷灁䑰瑡屡潒浡湩屧潴屣啕硁攮數 => Нет файла
  FirewallRules: [{8835C2B9-E516-4F1F-9671-274EBF2ABAD2}] => (Allow) C:\Program Files\360\Total Security\360TsLiveUpd.exe => Нет файла
  FirewallRules: [{76546F71-C4CD-4660-B30E-504B213AC425}] => (Allow) C:\Program Files\360\Total Security\360TsLiveUpd.exe => Нет файла
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::
• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[DrozD_G]

готово

 

[Sandor]

Хорошо, что сейчас с проблемой?

 

[DrozD_G]

работает стабильно, спасибо за помощь

 

[Sandor]

Отлично, в завершение, пожалуйста:

1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[Sandor]

Прошу прощения, ещё один скрипт выполните, пожалуйста:

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  
  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  Task: {B9647917-B9A2-4386-AFA8-F611E630AF9D} - System32\Tasks\AdLock Update Task-S-1-5-21-3512997619-2306060917-1127000683-1001 => C:\WINDOWS\System32\msiexec.exe [176128 2022-05-07] (Microsoft Windows -> Microsoft Corporation) -> /i "C:\Users\Lenovo-G5437\AppData\Local\Programs\ivanovsasha224\7b590ae2fc.msi" /quiet CHROME=1
  C:\Users\Lenovo-G5437\AppData\Local\Programs\ivanovsasha224\7b590ae2fc.msi
  2023-12-27 20:00 - 2023-12-27 20:00 - 000000000 __SHD C:\ProgramData\RateMark-ca1e4e10-e15b-474d-96f3-bdcdf6a2b9c7
  Reboot:
  End::
• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.