Procesy bump.exe i cmd.exe - 100% procesora

**Posty:** 76 · przez **kerli** 21 Lut 2012, 11:20

Od pewnego czasu jak uruchamiam system to w proces cmd.exe wali 100% procesora i dopiero jak go zamknę to spada. W logu gamera coś znalazło, podaje logi :

Kod: Zaznacz wszystko: GMER 1.0.15.15641 - http://www.gmer.net Rootkit quick scan 2012-02-21 09:41:48 Windows 6.1.7601 Service Pack 1 Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1 WDC_WD32 rev.11.0 Running: 1i3yb1wr.exe; Driver: C:\Users\Pitero\AppData\Local\Temp\kxddipow.sys ---- Devices - GMER 1.0.15 ---- AttachedDevice \Driver\kbdclass \Device\KeyboardClass0 Wdf01000.sys (Aparat wykonawczy struktury sterowników trybu jądra/Microsoft Corporation) AttachedDevice \Driver\kbdclass \Device\KeyboardClass1 Wdf01000.sys (Aparat wykonawczy struktury sterowników trybu jądra/Microsoft Corporation) ---- Processes - GMER 1.0.15 ---- Process cmd.exe (*** hidden *** ) 4084 ---- EOF - GMER 1.0.15 ----

gamer2 :

Kod: Zaznacz wszystko: GMER 1.0.15.15641 - http://www.gmer.net Rootkit scan 2012-02-21 09:53:11 Windows 6.1.7601 Service Pack 1 Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1 WDC_WD32 rev.11.0 Running: 1i3yb1wr.exe; Driver: C:\Users\Pitero\AppData\Local\Temp\kxddipow.sys ---- Kernel code sections - GMER 1.0.15 ---- .text ntkrnlpa.exe!ZwSaveKey + 13D1 82E4B369 1 Byte [06] .text ntkrnlpa.exe!KiDispatchInterrupt + 5A2 82E84D52 19 Bytes [E0, 0F, BA, F0, 07, 73, 09, ...] {LOOPNZ 0x11; MOV EDX, 0x97307f0; MOV CR4, EAX; OR AL, 0x80; MOV CR4, EAX; RET ; MOV ECX, CR3} .text C:\Windows\system32\DRIVERS\atikmdag.sys section is writeable [0x91040000, 0x2D5526, 0xE8000020] ---- User code sections - GMER 1.0.15 ---- .text C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe[336] kernel32.dll!SetUnhandledExceptionFilter 7642F4FB 4 Bytes [C2, 04, 00, 00] ---- Devices - GMER 1.0.15 ---- AttachedDevice \Driver\kbdclass \Device\KeyboardClass0 Wdf01000.sys (Aparat wykonawczy struktury sterowników trybu jądra/Microsoft Corporation) AttachedDevice \Driver\kbdclass \Device\KeyboardClass1 Wdf01000.sys (Aparat wykonawczy struktury sterowników trybu jądra/Microsoft Corporation) Device \Driver\ACPI_HAL \Device\00000048 halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation) AttachedDevice \Driver\volmgr \Device\HarddiskVolume1 fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation) AttachedDevice \Driver\volmgr \Device\HarddiskVolume1 rdyboost.sys (ReadyBoost Driver/Microsoft Corporation) AttachedDevice \Driver\volmgr \Device\HarddiskVolume2 fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation) AttachedDevice \Driver\volmgr \Device\HarddiskVolume2 rdyboost.sys (ReadyBoost Driver/Microsoft Corporation) AttachedDevice \Driver\volmgr \Device\HarddiskVolume3 fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation) AttachedDevice \Driver\volmgr \Device\HarddiskVolume3 rdyboost.sys (ReadyBoost Driver/Microsoft Corporation) ---- Processes - GMER 1.0.15 ---- Process cmd.exe (*** hidden *** ) 4084 ---- Registry - GMER 1.0.15 ---- Reg HKLM\SYSTEM\CurrentControlSet\services\BTHPORT\Parameters\Keys\002258e8d2fe Reg HKLM\SYSTEM\ControlSet002\services\BTHPORT\Parameters\Keys\002258e8d2fe (not active ControlSet) ---- Files - GMER 1.0.15 ---- File C:\Users\Pitero\AppData\Local\Temp\53AA.tmp\32 (size mismatch) 811520/325632 bytes executable ---- EOF - GMER 1.0.15 ----

olt:
http://wklej.org/id/693094/?hl=perl
extras:
http://wklej.org/id/693096/
malware:
http://wklej.org/id/693097/

**Posty:** 18165 · przez **wojtas** 21 Lut 2012, 14:33

a więc tak widzę tutaj aktywację Systemu Windows, która powoduje ten problem

Uruchom OTL i w sekcji własne opcje skanowania / skrypt wklej:

:OTL
PRC - [2012-02-18 19:03:40 | 002,169,856 | -HS- | M] () -- C:\Windows\System32\hale.exe
O4 - HKLM..\Run: [Chew7Hale] C:\Windows\System32\hale.exe ()
[2012-02-18 19:04:10 | 000,004,741 | ---- | M] () -- C:\Windows\System32\cwlog.dtl

:Commands
[emptytemp]
[emptyflash]

Kliknij wykonaj skrypt. I potwierdź reset komputera .

Następnie uruchamiasz OTL z opcją skanuj. Pokazujesz nowy log OTL.txt oraz raport z czyszczenia (zawartość notatnika, która otworzy się po restarcie), daj też nowego Gmera.

gdy ponownie aktywujesz sobie Windowsa problem powróci

**Posty:** 76 · przez **kerli** 21 Lut 2012, 17:12

wszystko wróciło do normy a to logi:

Kod: Zaznacz wszystko: GMER 1.0.15.15641 - http://www.gmer.net Rootkit quick scan 2012-02-21 16:05:11 Windows 6.1.7601 Service Pack 1 Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1 WDC_WD32 rev.11.0 Running: 1i3yb1wr.exe; Driver: C:\Users\Pitero\AppData\Local\Temp\kxddipow.sys ---- Devices - GMER 1.0.15 ---- AttachedDevice \Driver\kbdclass \Device\KeyboardClass0 Wdf01000.sys (Aparat wykonawczy struktury sterowników trybu jądra/Microsoft Corporation) AttachedDevice \Driver\kbdclass \Device\KeyboardClass1 Wdf01000.sys (Aparat wykonawczy struktury sterowników trybu jądra/Microsoft Corporation) ---- EOF - GMER 1.0.15 ----

olt:
http://wklej.org/id/693312/
extras
http://wklej.org/id/693314/

**Posty:** 18165 · przez **wojtas** 21 Lut 2012, 21:40

wydaje się być ok