[求救] CPU和記憶體使用率100%

[tomuser (HeeHee)]

1. 敘述問題：

       啟動電腦時 (不一定每次開機都會出現)

       會有一隻程式(如:jh1d.exe)佔用大量的 cpu 及 memory 資源

       造成電腦運行速度緩慢

       這隻程式通常出現在 C:\temp 下

       就算刪除它，下次重開機這隻程式還是會跑出來

       請問要如何解決呢?

       謝謝各位!

       以下是蒐集到的.exe檔

       Virus.zip:http://www.sendspace.com/file/jn9ab7

       解壓縮密碼:ptt

2. 系統資料：

       Windows 7 64 位元 家用進階版
       ESET NOD32 Antivirus

3. 分析報告：(11/22  03:57)

       Combofix報告:http://www.sendspace.com/file/f3s9yv
       Hijackthis  :http://www.sendspace.com/file/njiwmq
       SRENG       :http://www.sendspace.com/file/wqbg6t

       謝謝大家!!!

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 36.239.128.59
※ 編輯: tomuser         來自: 36.239.128.59        (11/19 20:48)
推 verses:分析作業開始
推 verses:請重新開機 確保該程式正在執行後重新產生三個報表
推 verses:另外請勿手動開啟其他程式，以免影響判定。
好 我重新再跑一次

推 ra065311:判定為jh1病毒之變種。
推 ra065311:已經發送水球 若未看到請按Ctrl+U+L查看紀錄
→ ra065311:已發水球但未獲回應......
問題解決了，謝謝 r 大!!

推 ra065311:剛剛收到工程師報告了
→ ra065311:除了說問題排除外，還說因為病毒來源未知，不排除再次中
→ ra065311:毒，明天上班日會直接寫個檔案，方便日後殺毒。
那我這幾天再觀察一下有沒有發生 CPU 被佔用的情形

推 ra065311:麻煩了
→ ra065311:新問題?
感覺問題還是一樣，會有隻程式佔用系統資源

推 verses:原PO是否有使用Google瀏覽器出現廣告的問題?
沒有遇到這個問題耶!

→ fatstan:可以用Live光碟將那檔案刪掉  再增加相同檔名的資料夾看看
→ fatstan:之後可利用Comodo、Kaspersky、TrendMicro-HouseCall掃描
→ fatstan:因為檔案上傳到Virustotal  只有這三家有反應
檔案刪除後，下次開機還是有可能會跑出來
我先試看看那三個掃毒軟體

→ fatstan:我的意思是在pts5a.exe原本位置新增叫pts5a.exe的資料夾
→ fatstan:阻止pts5a.exe出現  原理跟隨身碟放Autorun.inf資料夾一樣
→ fatstan:jh1d.exe也可以這樣試
Comodo有偵測出來，但也只有把jh1d.exe刪除而已

→ ra065311:jh1有至少26個變種，這樣做效果不大。
推 kaara:求解決方法，這個問題困擾我很久了!
推 ra065311:樓上請閱讀置底文 然後發文並附上三個報表
→ fatstan:找出問題前先把占資源的程式砍掉  我想先治標可能比較好
目前還是找不到病毒來源
也就是說重開機後jh1d.exe或其他檔名的程式依然會佔用系統資源

→ fatstan:新增同名資料夾沒用嗎
看來沒用，剛跑出一個 wc1a.exe 程式照樣佔用系統資源

→ fatstan:去抓最新的Dr.Web CureIt!做全機掃瞄  應該可以抓到一些
沒抓出什麼東西，到是把學校的 vpn 軟體砍掉了

→ fatstan:ra大可能要你置底的程式再跑一次  那就再跑看看
→ tomuser:好的
→ fatstan:看錯 ra大是要ka大跑 你可以上網搜尋RunScanner 有教學
→ fatstan:他有線上分析 我也比較習慣他的報告方式 掃完再上傳
剛跑完 RunScanner 了
runscanner.log :http://www.sendspace.com/file/32zp0r
runscanner.run :http://www.sendspace.com/file/kjkexr
online malware analysis report :http://ppt.cc/uHSH

推 ra065311:汗顏 難怪我都找不到jh1d 下次先跑SRENG
推 ra065311:目前所需報表樣本不足，檔案樣本則是還在分析中。
→ fatstan:你有一些系統檔案看不到公司名稱  不知道是不是被替換
→ fatstan:有裝winrar的話順便砍掉  你有7-zip應該還好
→ fatstan:然後在system32下找nvvsvc.exe並壓縮上傳
nvvsvc.exe:http://www.sendspace.com/file/ad0olx
解壓縮密碼:ptt


推 ra065311:樓上的意思是? N家的顯卡有這檔案屬正常
→ ra065311:C:\Program Files\mutualpublic 樓主請將該資料夾整個製
→ ra065311:成壓縮檔上傳到免空
mutualpublic.zip:http://www.sendspace.com/file/7tby3u
解壓縮密碼:ptt

→ fatstan:我知道阿  只是報表沒顯示公司  想確認一下
→ ra065311:了解
推 ra065311:糗了 我手邊的工具沒辦法分析Monitor.exe
剛剛打開SRENG出現這個訊息說 AppInit_DLLs 被修改為非正常值
圖:http://ppt.cc/s3i6

→ ra065311:跑一份報表看被改成什麼值
SREngLOG.log:http://www.sendspace.com/file/nps7so

→ ra065311:N牌顯卡用走而已 先不理會
→ ra065311:原PO先將電腦重開，連上網路後按左下角開始。
→ ra065311:在搜尋欄輸入cmd，在找到的程式按滑鼠右鍵"以系統管理員
→ ra065311:身分執行" 而後在跳出來的視窗輸入netstat -a -n
→ ra065311:將結果拍照上傳上來。在操作期間請勿開任何網頁或會使用
→ ra065311:網路的程式，以免影響判斷。
netstat.txt:http://www.sendspace.com/file/83ogg0

推 ra065311:未發現可疑的連線，不過這讓我想起數據機中毒那件。
家中其他電腦沒有出現異常情況

推 fatstan:你用掃描Rootkit的程式例如GMER之類的看有沒有隱藏的東西
看不懂...
GMER.log:http://www.sendspace.com/file/tpu22v

→ fatstan:然後以 http://ppt.cc/PweC 敘述修正系統檔  有些怪怪的
→ fatstan:修正完後再用runscanner掃一次
runscanner.log:http://www.sendspace.com/file/r9i74t
runscanner.run:http://www.sendspace.com/file/rrb3fl
online malware analysis : http://ppt.cc/O5uO

→ fatstan:還是找不到T.T  最後抓HitmanPro來掃(需連網) 最後一步了
HitmanPro_20131124_0027.log:http://www.sendspace.com/file/9ea2rc

什麼都沒掃出來Q_Q

→ mmis1000:用Process Monitor追蹤看看存取的檔案/機碼？
Process Monitor所產生的log檔如下: (三個檔案都一樣，只有格式不同而以)
Logfile.csv:http://www.sendspace.com/file/bre1qf
Logfile.PML:http://www.sendspace.com/file/rm92nq
Logfile.XML:http://www.sendspace.com/file/m5ptq5

這次是jh1e.exe這隻程式在佔用系統資源
可以幫忙看一下嗎?
謝謝

→ mmis1000:spiderman.pts1 奇怪的東西
→ mmis1000:是由cmd呼叫jh1e.exe執行spiderman.pts1 jh1e似乎非本體
→ mmis1000:jh1e.exe似乎只是服務宿主(像svhost)之類的
推 CriLit:最近小弟我也中類似的病毒, 自己手動清除了一些東西,
→ CriLit:不知道有沒有關聯, service 的 wincompute
→ CriLit:然後 c:\program files\ 底下的 mutualpublic 資料夾
→ CriLit:我把整個資料夾都砍了, 因為我發現裡面的 monitor.exe
→ CriLit:一直在執行, 目前過了兩天還未復發
→ CriLit:之前只刪 wincompute service 時仍會復發
→ verses:樓上說的沒錯，所以我才會要求原PO提供這檔案。
謝謝Cri大的資訊

推 ra065311:請原PO來信告知可進行遠端的時間，將聯絡工程師處理。
→ ra065311:這大概是我最後一個案子了，接下來我要請假一段時間。
謝謝 ra065311 大大的幫忙
我這幾天會持續觀察是否有複發的情況

推 verses:不用客氣。基本上不會復發了，因為源頭已被清除。
※ 編輯: tomuser         來自: 1.173.52.125         (11/26 16:54)