[решено] taskhost.exe - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - [решено] taskhost.exe (http://forum.oszone.net/showthread.php?t=244876)

Приветствую. Вчера "поймал" taskhost.exe вследствии чего обращаюсь к Вам за помощью. Сделал необходимые опереции для получения логов перед созданием темы. Возможно что-то получилось неправильно т.к. пролистав логи замечал различные ошибки. Заранее благодарен.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin

ExecuteAVUpdate;

ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

 QuarantineFile('C:\Users\Администратор\0.6400479282573084.exe','');

 QuarantineFile('C:\Program Files (x86)\GUM539D.tmp','');

 QuarantineFile('C:\Program Files (x86)\GUT539E.tmp','');

 DeleteFile('C:\Program Files (x86)\GUM539D.tmp');

 DeleteFile('C:\Program Files (x86)\GUT539E.tmp');

 DeleteFile('C:\Users\Администратор\0.6400479282573084.exe');

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);

ExecuteSysClean;

 ExecuteWizard('SCU',2,3,true);

RebootWindows(true);

end.

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

Код:

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

Полученный архив quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите (во время установки откажитесь от использования Пробной версии), обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:

Код:

%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs

Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.
Подробнее читайте в руководстве

1. quarantine.zip по форме отправил.
2. MBAM лог прикрепил.

Удалите в MBAM только

Код:

Обнаруженные ключи в реестре:  3

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{7AE8CE5B-53AE-4824-84EF-800A0EC46BB8} (Trojan.Agent) -> Действие не было предпринято.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{7AE8CE5B-53AE-4824-84EF-800A0EC46BB8} (Trojan.Agent) -> Действие не было предпринято.

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{0FC295D4-DC13-4F8F-8634-6283EB3DC86F} (Adware.K.SmartFind) -> 

C:\Users\Администратор\AppData\Roaming\Microsoft\taskhost.exe (Trojan.Agent) -> Действие не было предпринято.

C:\Program Files (x86)\sponsorkeyword - сами ставили ? если нет деинсталируйте.

Сделайте новый лог сканирования MBAM.

Код:

begin

ExecuteAVUpdate;

ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

 QuarantineFile('C:\Users\Администратор\AppData\Roaming\Microsoft\taskhost.exe','');

 DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\taskhost.exe');

ExecuteSysClean;

 ExecuteWizard('SCU',2,3,true);

RebootWindows(true);

end.

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

Код:

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

Код:

C:\Users\Администратор\AppData\Roaming\Microsoft\taskhost.exe

будет найден - удалите его.

Скачайте Universal Virus Sniffer (uVS)
Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
!!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив иначе это будет необходимо сделать вам вручную.
Дождитесь окончания работы программы и прикрепите лог к посту в теме.
!!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
Подробнее читайте в руководстве Как подготовить лог UVS

1. Удалил всё необходимое по просьбе regist.
2. Отправил новый quarantine.zip по форме.
3. При повторном сканировании MBAM taskhost.exe не обнаружен.
4. Прикрепил новый лог MBAM и UVS.

прокси 78.85.35.222:6588 сами прописывали ?

Выполните скрипт в uVS

Код:

;uVS v3.76 script [http://dsrt.dyndns.org]

;Target OS: NTv6.1



delref HTTP://BROWSERHELP2.RU

restart

компьютер перезагрузится, что с проблемой ?

Загрузите SecurityCheck by screen317 отсюда или отсюда и сохраните утилиту на Рабочем столе
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
Когда увидите консоль, нажмите любую клавишу для продолжения сканирования
Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем checkup.txt;
Прикрепите файл к следующему сообщению.

Подробнее читайте в руководстве.

Прокси не прописывал.
После выполнения скрипта в uVS - Opera открывается нормально с экспресс-панели (как обычно), до этого откывались speed2.ru и browserhelp2.ru, но после их закрытия ничего не беспокоило (браузер работал в норме). С системой вроде бы всё нормально. При поиске проблемы с taskhost.exe неоднократно видел что у людей происходит загрузка цп или оперативной памяти, но я такого не заметил. Возможно всё работает нормально из-за большого колличества оперативной памати и хорошего процессора?

Выполните ещё такой скрипт

Код:

;uVS v3.76 script [http://dsrt.dyndns.org]

;Target OS: NTv6.1



delref 78.85.35.222:6588

Обновите Internet Explorer,
Microsoft Security Essentials Antivirus up to date!
Sun Java устарела. Деинсталлируйте старую версию и установите новую

alex_sev и regist большое спасибо за помощь. Все проблемы решены.