Активность svchost.exe

@mc_super · Регистрация: 27.10.2021

Студворк — интернет-сервис помощи студентам

Добрый день.
На файловом сервере запускается процесс svchost.exe и загружает 50% ЦП. Во вкладке быстродействие видно, что процесс загружает каждое второе ядро на 100 процентов. Если процесс выгрузить или сопоставить ему только одно ядро, то спустя какое-то время он перезапускается и все возвращается на исходную.
Касперский определяет MEM:Trojan.Win32.SEPEH.gen в System Memory, затем вроде его удаляет. Но при повторной проверке вирус снова обнаруживается.
Логи по правилам оформления во вложении

@mc_super · 24.11.2021, 13:36 **[ТС]**

Сообщение от Sandor

Проверьте, пожалуйста, это происходит при подключенной сети? А при отключенной?

При подключенной. При отключенной проверить невозможно, т.к. сервер на удаленке, я сам там по RDP сижу.
Сслыка мертвая, но по названию подозреваю, что по удаленке такое сделать вряд ли возможно...

@Sandor · 24.11.2021, 14:46

Сообщение от mc_super

Сслыка мертвая

Нет, там примечание есть в скобках.

Да, по удалёнке такое не сделать.

Добавлено через 1 час 8 минут
Подготовьте лог uVS.

@mc_super · 25.11.2021, 13:02 **[ТС]**

Сообщение от Sandor

Подготовьте лог uVS

Не могу... Теперь все приложения зависают (как было с FSRT и KVRT) и выгрузить их через диспетчер задач не удается

@Sandor · 25.11.2021, 17:09

Тогда боюсь, что без вашего физического доступа к компьютеру вылечить не получится.

Добавлено через 3 часа 52 минуты
mc_super, попробуйте запустить uVS не через start.exe, а через startf.exe

@mc_super · 26.11.2021, 07:48 **[ТС]**

Сообщение от Sandor

а через startf.exe

К сожалению тоже не получилось. При запуске startf, она отрубила все службы кроме стандартных, однако потом тоже зависла наглухо

@Sandor · 26.11.2021, 09:30

Пробуем ещё так:

Скачайте архив TDSSKiller.zip и распакуйте его в отдельную папку;
Запустите файл TDSSKiller.exe.
Нажмите кнопку "Начать проверку". Не меняйте настройки сканирования по умолчанию.
В процессе проверки могут быть обнаружены объекты двух типов:
- вредоносные (точно было установлено, какой вредоносной программой поражен объект);
- подозрительные (тип вредоносного воздействия точно установить невозможно).
По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием.
Для вредоносных объектов утилита автоматически определяет действие: Лечить или Удалить.
Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию Пропустить).
Самостоятельно без указания консультанта ничего не удаляйте!!!
После нажатия кнопки Продолжить утилита выполняет выбранные действия и выводит результат.
Прикрепите лог утилиты к своему следующему сообщению.

По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt
Например, C:\TDSSKiller.3.1.0.28_11.10.2020_15.52. 14_log.txt

@mc_super · 26.11.2021, 09:46 **[ТС]**

Получилось! Архив с логом во вложении

@Sandor · 26.11.2021, 09:59

Повторите сканирование и удалите только:

Code
1
12:45:36.0050 0x1980  Ms2E4AA882App ( UDS:DangerousObject.Multi.Generic ) - User select action: Skip

Лог прикрепите.

Перезагрузите компьютер и сделайте ещё одно контрольное сканирование TDSSKiller. Лог прикрепите.

@mc_super · 26.11.2021, 10:21 **[ТС]**

В этот раз ничего не нашел. Лог во вложении

@Sandor · 26.11.2021, 10:37

Отлично! Загрузка нормализовалась?

@mc_super · 26.11.2021, 10:39 **[ТС]**

ну если честно, то svchost перестал загружаться на каком-то из этапов ранее... Думаю сейчас прогнать для проверки KVRT свежий, но боюсь что зависнет... Стоит попробовать?

@Sandor · 26.11.2021, 10:45

Да, попробуйте.

@mc_super · 26.11.2021, 11:06 **[ТС]**

KVRT прошел проверку до конца, не завис, никаких проблем не обнаружил! Видимо на этом всё? Большое вам спасибо!

@Sandor · 26.11.2021, 11:14

Да, отлично!

В завершение:

Выполните скрипт в AVZ при наличии доступа в интернет:

Code
var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else 
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) 
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.
В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Понадобится перезагрузка!

Остальные утилиты лечения и папки можно просто удалить.

На заметку: Рекомендации после удаления вредоносного ПО

@mc_super · 26.11.2021, 11:31 **[ТС]**

[микропрограмма лечения]> изменен параметр DisableATMFD ключа HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

А с этим пунктом рекомендаций из AVZ что делать?

@Sandor · 26.11.2021, 11:37

Такой параметр в этом ключе есть? Какое значение?
Сделайте экспорт ключа и в архиве прикрепите.

@mc_super · 26.11.2021, 11:39 **[ТС]**

Такого параметра там нет
Ключ во вложении

@mc_super · 26.11.2021, 11:44 **[ТС]**

Code
1
2
3
4
5
6
7
8
9
ОТКЛЮЧИТЬ ATMFD ЧЕРЕЗ РЕДАКТОР РЕЕСТРА
Для этого:
 
открываем Редактор реестра Windows (жмем Windows+R, пишем regedit и жмем Enter, если надо, то подтверждаем доступ к учетке);
в окне Редактора реестра (слева) проходим HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows;
кликаем правой кнопкой мыши по папке Windows;
в появившемся меню жмем «Создать«, затем — «Параметр DWORD (32 бита)«;
новому параметру (он появится в окне справа) прописываем название DisableATMFD и жмем Enter;
двойным кликом по параметру DisableATMFD открываем окошко его свойств, в поле «Значение» должно быть 1 (если вдруг 0, то пишем 1) и жмем ОК.

Оно?

@Sandor · 26.11.2021, 11:47

Установите это обновление MS.

@mc_super · 26.11.2021, 12:08 **[ТС]**

Все получилось! После перезагрузки скрипт сказал, что уязвимостей не найдено, пока все работает стабильно!
Еще раз огромное вам спасибо!!!

Новые блоги и статьи Все статьи Все блоги /
Как у меня протекала болезнь zorxor 27.08.2026 Здравствуйте, друзья! Эта запись блога предназначена именно для вас - для моих дорогих друзей, которые знали меня лично. Чтобы ответить на вопрос - а что же со мной произошло на самом деле? Я учился. . .	Нашел вот забавное видео о измерениях. Лучшее что я видел на эту тему kumehtar 26.08.2026 ILETXiw9bMQ Основная суть и тезисы по измерениям: 0D (Нулевое измерение): точка, не имеющая длины, ширины, высоты или объема. Объект не может перемещаться в 0D. 1D (Первое измерение):. . .	[EasyBuilder Pro] Памятка по разработке для панелей Weintek ФедосеевПавел 26.08.2026 Памятка по разработке для панелей Weintek ВВЕДЕНИЕ Ранее, при реализации проектов основное внимание уделял разработке управляющей программы для контроллера, а панели оператора доставалось время. . .	Модель по догадкам anaschu 25.08.2026 Прошло две недели. Я уже рассказывал, как разговаривал с сотрудниками у сортировки и как понял, что главная ветка — не про приёмку, а про отбор. Но тогда я думал, что понял механику. На этой неделе я. . .
Запись в регистр сведений независимо от заполненности табличной части Maks 25.08.2026 Реализация из решения ниже выполнена на нетиповом документе с несколькими табличными частями, разработанного в КА2. Задача: Обеспечить запись документа в регистр сведений независимо от. . .	Ноутбук Альфария kumehtar 24.08.2026 Встретился тут в сети ноутбук Альфария, примарха Альфа-Легиона. Хотя возможно, это ноутбук Омегона, разумеется. Ну как вам?	Мастера простых решений DevAlt 23.08.2026 В сишарп стэках winforms, да и wpf существует сложная система связывания источниках данных и элементов формы(текстовые поля и метки), опирается все это на технологию событий и мета. . .	Цена ошибки DevAlt 23.08.2026 Человек я беспокойный и потому заинтересовался OCaml, в чате форсили функторы модулей как суперфичу. Пытаясь отдуплить концепт, наткнулся на тутор с простым примером. А главный принцип обучения от. . .

@Sandor 22544 / 15980 / 3100 Регистрация: 08.10.2012 Сообщений: 65,116
	25.11.2021, 17:09
	Тогда боюсь, что без вашего физического доступа к компьютеру вылечить не получится. Добавлено через 3 часа 52 минуты mc_super, попробуйте запустить uVS не через start.exe, а через startf.exe 0

@Sandor 22544 / 15980 / 3100 Регистрация: 08.10.2012 Сообщений: 65,116
	26.11.2021, 09:30
	Сообщение было отмечено mc_super как решение Решение Пробуем ещё так: Скачайте архив TDSSKiller.zip и распакуйте его в отдельную папку; Запустите файл *TDSSKiller.exe. Нажмите кнопку "Начать проверку". Не меняйте настройки сканирования по умолчанию. В процессе проверки могут быть обнаружены объекты двух типов: вредоносные (точно было установлено, какой вредоносной программой поражен объект); подозрительные (тип вредоносного воздействия точно установить невозможно). По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием. Для вредоносных объектов утилита автоматически определяет действие: Лечить* или Удалить. Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию Пропустить). Самостоятельно без указания консультанта ничего не удаляйте!!! После нажатия кнопки Продолжить утилита выполняет выбранные действия и выводит результат. Прикрепите лог утилиты к своему следующему сообщению. По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\). Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt Например, C:\TDSSKiller.3.1.0.28_11.10.2020_15.52. 14_log.txt 1

@Sandor 22544 / 15980 / 3100 Регистрация: 08.10.2012 Сообщений: 65,116
	26.11.2021, 10:37
	Отлично! Загрузка нормализовалась? 1

@mc_super 1 / 1 / 0 Регистрация: 27.10.2021 Сообщений: 21
	26.11.2021, 10:39 [ТС]
	ну если честно, то svchost перестал загружаться на каком-то из этапов ранее... Думаю сейчас прогнать для проверки KVRT свежий, но боюсь что зависнет... Стоит попробовать? 0

@Sandor 22544 / 15980 / 3100 Регистрация: 08.10.2012 Сообщений: 65,116
	26.11.2021, 10:45
	Да, попробуйте. 1

@mc_super 1 / 1 / 0 Регистрация: 27.10.2021 Сообщений: 21
	26.11.2021, 11:06 [ТС]
	KVRT прошел проверку до конца, не завис, никаких проблем не обнаружил! Видимо на этом всё? Большое вам спасибо! 0

@Sandor 22544 / 15980 / 3100 Регистрация: 08.10.2012 Сообщений: 65,116
	26.11.2021, 11:14
	Да, отлично! В завершение: Выполните скрипт в AVZ при наличии доступа в интернет: Code var LogPath : string; ScriptPath : string; begin LogPath := GetAVZDirectory + 'log\avz_log.txt'; if FileExists(LogPath) Then DeleteFile(LogPath); ScriptPath := GetAVZDirectory +'ScanVuln.txt'; if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!'); exit; end; end; if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false) end. После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader. Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут). Перезагрузите компьютер. Снова выполните этот скрипт и убедитесь, что уязвимости устранены. Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Понадобится перезагрузка! Остальные утилиты лечения и папки можно просто удалить. На заметку: Рекомендации после удаления вредоносного ПО 1

@mc_super 1 / 1 / 0 Регистрация: 27.10.2021 Сообщений: 21
	26.11.2021, 11:31 [ТС]
	[микропрограмма лечения]> изменен параметр DisableATMFD ключа HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows А с этим пунктом рекомендаций из AVZ что делать? 0

@Sandor 22544 / 15980 / 3100 Регистрация: 08.10.2012 Сообщений: 65,116
	26.11.2021, 11:37
	Такой параметр в этом ключе есть? Какое значение? Сделайте экспорт ключа и в архиве прикрепите. 1

@Sandor 22544 / 15980 / 3100 Регистрация: 08.10.2012 Сообщений: 65,116
	26.11.2021, 11:47
	Установите это обновление MS. 1

@mc_super 1 / 1 / 0 Регистрация: 27.10.2021 Сообщений: 21
	26.11.2021, 12:08 [ТС]
	Все получилось! После перезагрузки скрипт сказал, что уязвимостей не найдено, пока все работает стабильно! Еще раз огромное вам спасибо!!! 0

Активность svchost.exe

Решение