PTT數位生活區 / AntiVirus (防毒)

[求救] CPU和記憶體使用率100% (已解決)

看板AntiVirus (防毒)作者 (HeeHee)時間12年前 (2013/11/19 20:47), 編輯推噓19(19推 0噓 46→)
留言65則, 7人參與, 最新討論串1/1
1. 敘述問題： 啟動電腦時 (不一定每次開機都會出現) 會有一隻程式(如:jh1d.exe)佔用大量的 cpu 及 memory 資源 造成電腦運行速度緩慢 這隻程式通常出現在 C:\temp 下 就算刪除它，下次重開機這隻程式還是會跑出來 請問要如何解決呢? 謝謝各位! 以下是蒐集到的.exe檔 Virus.zip:http://www.sendspace.com/file/jn9ab7 解壓縮密碼:ptt 2. 系統資料： Windows 7 64 位元 家用進階版 ESET NOD32 Antivirus 3. 分析報告：(11/22 03:57) Combofix報告:http://www.sendspace.com/file/f3s9yv Hijackthis :http://www.sendspace.com/file/njiwmq SRENG :http://www.sendspace.com/file/wqbg6t 謝謝大家!!! -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 36.239.128.59 ※ 編輯: tomuser 來自: 36.239.128.59 (11/19 20:48)
推
11/19 21:01, , 1F
分析作業開始
11/19 21:01, 1F
推
11/19 21:04, , 2F
請重新開機 確保該程式正在執行後重新產生三個報表
11/19 21:04, 2F
推
11/19 21:06, , 3F
另外請勿手動開啟其他程式，以免影響判定。
11/19 21:06, 3F
好 我重新再跑一次
推
11/19 23:42, , 4F
判定為jh1病毒之變種。
11/19 23:42, 4F
推
11/19 23:55, , 5F
已經發送水球 若未看到請按Ctrl+U+L查看紀錄
11/19 23:55, 5F
→
11/20 00:18, , 6F
已發水球但未獲回應......
11/20 00:18, 6F
問題解決了，謝謝 r 大!!
推
11/20 01:22, , 7F
剛剛收到工程師報告了
11/20 01:22, 7F
→
11/20 01:22, , 8F
除了說問題排除外，還說因為病毒來源未知，不排除再次中
11/20 01:22, 8F
→
11/20 01:23, , 9F
毒，明天上班日會直接寫個檔案，方便日後殺毒。
11/20 01:23, 9F
那我這幾天再觀察一下有沒有發生 CPU 被佔用的情形
推
11/20 01:42, , 10F
麻煩了
11/20 01:42, 10F
→
11/20 22:56, , 11F
新問題?
11/20 22:56, 11F
感覺問題還是一樣，會有隻程式佔用系統資源
推
11/21 00:37, , 12F
原PO是否有使用Google瀏覽器出現廣告的問題?
11/21 00:37, 12F
沒有遇到這個問題耶!
→
11/21 09:18, , 13F
可以用Live光碟將那檔案刪掉 再增加相同檔名的資料夾看看
11/21 09:18, 13F
→
11/21 09:21, , 14F
之後可利用Comodo、Kaspersky、TrendMicro-HouseCall掃描
11/21 09:21, 14F
→
11/21 09:22, , 15F
因為檔案上傳到Virustotal 只有這三家有反應
11/21 09:22, 15F
檔案刪除後，下次開機還是有可能會跑出來 我先試看看那三個掃毒軟體
→
11/22 08:26, , 16F
我的意思是在pts5a.exe原本位置新增叫pts5a.exe的資料夾
11/22 08:26, 16F
→
11/22 08:31, , 17F
阻止pts5a.exe出現 原理跟隨身碟放Autorun.inf資料夾一樣
11/22 08:31, 17F
→
11/22 08:32, , 18F
jh1d.exe也可以這樣試
11/22 08:32, 18F
Comodo有偵測出來，但也只有把jh1d.exe刪除而已
→
11/22 14:15, , 19F
jh1有至少26個變種，這樣做效果不大。
11/22 14:15, 19F
推
11/22 14:37, , 20F
求解決方法，這個問題困擾我很久了!
11/22 14:37, 20F
推
11/22 14:40, , 21F
樓上請閱讀置底文 然後發文並附上三個報表
11/22 14:40, 21F
→
11/22 17:04, , 22F
找出問題前先把占資源的程式砍掉 我想先治標可能比較好
11/22 17:04, 22F
目前還是找不到病毒來源 也就是說重開機後jh1d.exe或其他檔名的程式依然會佔用系統資源
→
11/22 17:22, , 23F
新增同名資料夾沒用嗎
11/22 17:22, 23F
看來沒用，剛跑出一個 wc1a.exe 程式照樣佔用系統資源
→
11/22 17:33, , 24F
去抓最新的Dr.Web CureIt!做全機掃瞄 應該可以抓到一些
11/22 17:33, 24F
沒抓出什麼東西，到是把學校的 vpn 軟體砍掉了
→
11/22 17:36, , 25F
ra大可能要你置底的程式再跑一次 那就再跑看看
11/22 17:36, 25F
→
11/22 17:40, , 26F
好的
11/22 17:40, 26F
→
11/22 17:43, , 27F
看錯 ra大是要ka大跑 你可以上網搜尋RunScanner 有教學
11/22 17:43, 27F
→
11/22 17:46, , 28F
他有線上分析 我也比較習慣他的報告方式 掃完再上傳
11/22 17:46, 28F
剛跑完 RunScanner 了 runscanner.log :http://www.sendspace.com/file/32zp0r runscanner.run :http://www.sendspace.com/file/kjkexr online malware analysis report :http://ppt.cc/uHSH
推
11/22 23:03, , 29F
汗顏 難怪我都找不到jh1d 下次先跑SRENG
11/22 23:03, 29F
推
11/23 08:00, , 30F
目前所需報表樣本不足，檔案樣本則是還在分析中。
11/23 08:00, 30F
→
11/23 08:20, , 31F
你有一些系統檔案看不到公司名稱 不知道是不是被替換
11/23 08:20, 31F
→
11/23 08:24, , 32F
有裝winrar的話順便砍掉 你有7-zip應該還好
11/23 08:24, 32F
→
11/23 08:31, , 33F
然後在system32下找nvvsvc.exe並壓縮上傳
11/23 08:31, 33F
nvvsvc.exe:http://www.sendspace.com/file/ad0olx 解壓縮密碼:ptt
推
11/23 08:37, , 34F
樓上的意思是? N家的顯卡有這檔案屬正常
11/23 08:37, 34F
→
11/23 08:38, , 35F
C:\Program Files\mutualpublic 樓主請將該資料夾整個製
11/23 08:38, 35F
→
11/23 08:38, , 36F
成壓縮檔上傳到免空
11/23 08:38, 36F
mutualpublic.zip:http://www.sendspace.com/file/7tby3u 解壓縮密碼:ptt
→
11/23 08:51, , 37F
我知道阿 只是報表沒顯示公司 想確認一下
11/23 08:51, 37F
→
11/23 09:12, , 38F
了解
11/23 09:12, 38F
推
11/23 09:18, , 39F
糗了 我手邊的工具沒辦法分析Monitor.exe
11/23 09:18, 39F
剛剛打開SRENG出現這個訊息說 AppInit_DLLs 被修改為非正常值 圖:http://ppt.cc/s3i6
→
11/23 10:17, , 40F
跑一份報表看被改成什麼值
11/23 10:17, 40F
→
11/23 10:26, , 41F
N牌顯卡用走而已 先不理會
11/23 10:26, 41F
→
11/23 10:32, , 42F
原PO先將電腦重開，連上網路後按左下角開始。
11/23 10:32, 42F
→
11/23 10:32, , 43F
在搜尋欄輸入cmd，在找到的程式按滑鼠右鍵"以系統管理員
11/23 10:32, 43F
→
11/23 10:33, , 44F
身分執行" 而後在跳出來的視窗輸入netstat -a -n
11/23 10:33, 44F
→
11/23 10:33, , 45F
將結果拍照上傳上來。在操作期間請勿開任何網頁或會使用
11/23 10:33, 45F
→
11/23 10:34, , 46F
網路的程式，以免影響判斷。
11/23 10:34, 46F
推
11/23 11:16, , 47F
未發現可疑的連線，不過這讓我想起數據機中毒那件。
11/23 11:16, 47F
家中其他電腦沒有出現異常情況
推
11/23 11:51, , 48F
你用掃描Rootkit的程式例如GMER之類的看有沒有隱藏的東西
11/23 11:51, 48F
看不懂... GMER.log:http://www.sendspace.com/file/tpu22v
→
11/23 12:14, , 49F
然後以 http://ppt.cc/PweC 敘述修正系統檔 有些怪怪的
11/23 12:14, 49F
→
11/23 12:17, , 50F
修正完後再用runscanner掃一次
11/23 12:17, 50F
runscanner.log:http://www.sendspace.com/file/r9i74t runscanner.run:http://www.sendspace.com/file/rrb3fl online malware analysis : http://ppt.cc/O5uO
→
11/23 20:00, , 51F
還是找不到T.T 最後抓HitmanPro來掃(需連網) 最後一步了
11/23 20:00, 51F
HitmanPro_20131124_0027.log:http://www.sendspace.com/file/9ea2rc 什麼都沒掃出來Q_Q
→
11/24 00:50, , 52F
用Process Monitor追蹤看看存取的檔案/機碼？
11/24 00:50, 52F
Process Monitor所產生的log檔如下: (三個檔案都一樣，只有格式不同而以) Logfile.csv:http://www.sendspace.com/file/bre1qf Logfile.PML:http://www.sendspace.com/file/rm92nq Logfile.XML:http://www.sendspace.com/file/m5ptq5 這次是jh1e.exe這隻程式在佔用系統資源 可以幫忙看一下嗎? 謝謝
→
11/24 16:29, , 53F
spiderman.pts1 奇怪的東西
11/24 16:29, 53F
→
11/24 16:30, , 54F
是由cmd呼叫jh1e.exe執行spiderman.pts1 jh1e似乎非本體
11/24 16:30, 54F
→
11/24 16:31, , 55F
jh1e.exe似乎只是服務宿主(像svhost)之類的
11/24 16:31, 55F
推
11/24 18:50, , 56F
最近小弟我也中類似的病毒, 自己手動清除了一些東西,
11/24 18:50, 56F
→
11/24 18:51, , 57F
不知道有沒有關聯, service 的 wincompute
11/24 18:51, 57F
→
11/24 18:51, , 58F
然後 c:\program files\ 底下的 mutualpublic 資料夾
11/24 18:51, 58F
→
11/24 18:52, , 59F
我把整個資料夾都砍了, 因為我發現裡面的 monitor.exe
11/24 18:52, 59F
→
11/24 18:52, , 60F
一直在執行, 目前過了兩天還未復發
11/24 18:52, 60F
→
11/24 18:52, , 61F
之前只刪 wincompute service 時仍會復發
11/24 18:52, 61F
→
11/24 21:44, , 62F
樓上說的沒錯，所以我才會要求原PO提供這檔案。
11/24 21:44, 62F
謝謝Cri大的資訊
推
11/25 01:16, , 63F
請原PO來信告知可進行遠端的時間，將聯絡工程師處理。
11/25 01:16, 63F
→
11/25 01:17, , 64F
這大概是我最後一個案子了，接下來我要請假一段時間。
11/25 01:17, 64F
謝謝 ra065311 大大的幫忙 我這幾天會持續觀察是否有複發的情況
推
11/26 01:08, , 65F
不用客氣。基本上不會復發了，因為源頭已被清除。
11/26 01:08, 65F
※ 編輯: tomuser 來自: 1.173.52.125 (11/26 16:54)
‣ 更多 tomuser 的文章
文章代碼(AID): #1IYrtDI7 (AntiVirus)
AntiVirus 近期熱門文章
更多 近期熱門文章 >>
PTT數位生活區 即時熱門文章
更多 即時熱門文章 >>
‣ 更多 tomuser 的文章
文章代碼(AID): #1IYrtDI7 (AntiVirus)