Koparka podszywająca się pod proces explorer.exe

Anonimowe

Witam,

mam prośbę o pomoc w usunięciu szkodliwego oprogramowania, którego nie wykrywają ani nie potrafią usunąć żadne antywirusy ani inne programy służące do tego celu.

Wydaje mi się, że jest to jakaś koparka, działa aktywnie tylko przy wyłączonym Menadżerze Zadań, kiedy włączę podgląd uruchomionych procesów natychmiast przestaje obciążać procesor.

Kiedy działa obciąża 25% procesora i powoduje zwiększone zużycie energii o 50W. Udało mi się zlokalizować proces za pomocą Windows gadgets.

Tak to wygląda przy wyłączonym Menadżerze zadań

Posiada dziwny kod w Command Line przypominający base64

Łączy się z jakimiś serwerami

Bez problemu można zabić ten proces, ale powraca po kilku godzinach.

Proszę o pomoc, może ktoś wie z czym mam do czynienia.

Pytanie zablokowane. To pytanie zostało zmigrowane ze społeczności pomocy technicznej firmy Microsoft. Możesz zagłosować, czy pytanie jest pomocne, ale nie możesz dodawać komentarzy ani odpowiedzi, ani też śledzić pytania.

Komentarze: 0

Odpowiedzi: 32

Anonimowe

2022-05-16T12:00:17+00:00

Korzystamy z usług tłumaczeniowych, by wesprzeć naszych użytkowników. Przepraszamy za wszelkie błędy gramatyczne.

Poczekaj, aż kolejni doradcy odpowiedzą na tę wiadomość.
Czy ta odpowiedź była pomocna?

Komentarze: 0 Brak komentarzy
Anonimowe

2022-05-16T16:51:26+00:00

Korzystamy z usług tłumaczeniowych, by wesprzeć naszych użytkowników. Przepraszamy za wszelkie błędy gramatyczne.

Cześć Marek(yupiii),

Jestem Paul i jestem tutaj, aby pomóc ci w twojej trosce.

Proponuję sprawdzić, czy explorer.exe jest legalnym plikiem Windows.

Otwórz Menedżera zadań > kliknij prawym przyciskiem myszy eksploratora.exe > kliknij polecenie Otwórz lokalizację pliku > (Powinno otworzyć C:/Windows/explorer.exe) > kliknij prawym przyciskiem myszy eksploratora.exe > kliknij polecenie Właściwości, > sprawdzić informacje o prawach autorskich i nazwie produktu na karcie Szczegóły.

Daj mi znać, jak to idzie.

Dzięki.
Czy ta odpowiedź była pomocna?

Komentarze: 0 Brak komentarzy
Anonimowe

2022-05-16T17:22:03+00:00

Witam,

Otwiera się tam gdzie powinien być explorer czyli C:/Windows/explorer.exe

Przeprowadziłem również przeszukiwanie wszystkich explorer.exe w systemie i wszystkie są prawidłowe:

C:\Windows\explorer.exe
[2022-04-10 23:03][2022-04-10 23:03] 005030064 _____ (Microsoft Corporation) B1FC3DD9CA7AEE607F56605F82C02EB8 [Plik podpisany cyfrowo]

C:\Windows\WinSxS\wow64_microsoft-windows-explorer_31bf3856ad364e35_10.0.22000.593_none_5725db453380b4ba\explorer.exe
[2022-04-10 23:03][2022-04-10 23:03] 004394352 _____ (Microsoft Corporation) ED522380DD3C85A8EC36A959124859E5 [Plik podpisany cyfrowo]

C:\Windows\WinSxS\wow64_microsoft-windows-explorer_31bf3856ad364e35_10.0.22000.593_none_5725db453380b4ba\r\explorer.exe
[2022-04-10 23:03][2022-04-10 23:03] 000653000 _____ () E1C44F0D898C837958EE762196E64062 [Brak podpisu cyfrowego]

C:\Windows\WinSxS\wow64_microsoft-windows-explorer_31bf3856ad364e35_10.0.22000.593_none_5725db453380b4ba\f\explorer.exe
[2022-04-10 23:02][2022-03-23 15:26] 000104809 _____ () BD02A1DAAE99A990DD9068F3624F8775 [Brak podpisu cyfrowego]

C:\Windows\WinSxS\amd64_microsoft-windows-explorer_31bf3856ad364e35_10.0.22000.593_none_4cd130f2ff1ff2bf\explorer.exe
[2022-04-10 23:03][2022-04-10 23:03] 005030064 _____ (Microsoft Corporation) B1FC3DD9CA7AEE607F56605F82C02EB8 [Plik podpisany cyfrowo]

C:\Windows\WinSxS\amd64_microsoft-windows-explorer_31bf3856ad364e35_10.0.22000.593_none_4cd130f2ff1ff2bf\r\explorer.exe
[2022-04-10 23:03][2022-04-10 23:03] 001390929 _____ () DB336E98953FC0ACC1368EB6D0A6F87F [Brak podpisu cyfrowego]

C:\Windows\WinSxS\amd64_microsoft-windows-explorer_31bf3856ad364e35_10.0.22000.593_none_4cd130f2ff1ff2bf\f\explorer.exe
[2022-04-10 23:02][2022-03-23 15:53] 000580667 _____ () DB16C94F5D1F26983E4C67C4B2C70420 [Brak podpisu cyfrowego]

C:\Windows\SysWOW64\explorer.exe
[2022-04-10 23:03][2022-04-10 23:03] 004394352 _____ (Microsoft Corporation) ED522380DD3C85A8EC36A959124859E5 [Plik podpisany cyfrowo]
Czy ta odpowiedź była pomocna?

Komentarze: 0 Brak komentarzy
Anonimowe

2022-05-17T16:42:18+00:00

Korzystamy z usług tłumaczeniowych, by wesprzeć naszych użytkowników. Przepraszamy za wszelkie błędy gramatyczne.

CZEŚĆ

Wygląda na to, że plik "explorer.exe" jest uzasadniony i nie jest złośliwym oprogramowaniem.

Problem może być po prostu błędem, więc zasugeruję zainstalowanie najnowszych aktualizacji systemu Windows.

Możesz również użyć Kontrolera plików systemowych, aby sprawdzić i naprawić uszkodzone pliki systemowe, które mogą być przyczyną problemu. Proszę odnieść się do linku.
https://support.microsoft.com/pl-pl/help/402652...

Mam nadzieję, że to pomoże. Zapraszam do zadawania pytań i informowania mnie o tym.
Czy ta odpowiedź była pomocna?

Komentarze: 0 Brak komentarzy
Anonimowe

2022-05-17T17:08:52+00:00

Witam,

zgadzam się, że plik explorer.exe jest poprawny i nie jest złośliwym oprogramowaniem.

Od początku mojego wpisu twierdziłem, że jakieś złośliwe oprogramowanie wykorzystuje go w jakiś sposób aby się ukryć.

Proszę zobaczyć ścieżkę w Command line, która przypomina kod base64, ale nie potrafiłem jej rozkodować.

Wszelkie moje próby znalezienia gdzie prowadzi zawsze prowadzą do explorer.exe.

Dziś złośliwe oprogramowanie znowu się aktywowało i obciążyło procesor, szybko sprawdziłem, były podłączone do niego dwa komputery zewnętrzne:

Kiedy włączyłem process explorer, natychmiast przestało korzystać z mojego procesora, a po wykryciu, że process explorer jest włączony od około 5 min oba adresy wylogowały się i proces stał się znowu nieaktywny. Wygląda na to, że zdalnie jest monitorowany czy ktoś szuka problemu.

Zdecydowanie jest to wyrafinowane oprogramowanie, które atakuje tylko w tym czasie kiedy mamy komputer bez opieki, albo kiedy ktoś nie zauważy zwiększonego zużycia.

Bardzo proszę o dokładne przeanalizowanie mojego pierwszego wpisu lub całego wątku.

Dla sprawdzenia czy to pomoże, zablokowałem explorer.exe w zaporze windows.
Czy ta odpowiedź była pomocna?

Komentarze: 0 Brak komentarzy