[求救] 一開電腦 CPU 就直衝 100%

[crossworld (crossworld)]

如題，今天不知怎麼了抓個免費軟體卻好像中了病毒

搞了半天這個 CPU 問題還是解決不了，雖然可以開機後關閉，
但還是無法解決根本原因，每次開機都會讓 CPU 直接卡在一百，那兩個 tmp 無法處理

https://i.imgur.com/bKVO8Qz.jpg

應該是有什麼病毒沒刪除？

拜託各位 help me.........

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 27.52.235.218
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1498501983.A.911.html
噓 fatstan: 先看置底求救文吧  然後連抓什麼軟體都沒講是要別人通靈?
→ Klauhal: 心電感應修電腦
→ ross800127: 觀落陰
推 xjp004123: 他是想讓大家看看.tmp 檔案吧
推 Kreen: 聽靈建議重灌。
→ crossworld: 會試試看重灌！
→ crossworld: 我是抓painter的試用版 好像是因為用到不是官網的
→ crossworld: 他現在還是繼續在幫我裝一堆東西
→ sa12e3: 一個試用軟體就能重灌也是服了...
→ crossworld: 哀哀
→ crossworld: 而且這兩個tmp好像也沒什麼特別意義
→ crossworld: 不知從何找病原
→ deadwood: 安全模式開機呢?裝了軟體後怪怪的這是基本的第一步吧
→ crossworld: 有在安全模式掃毒過 沒什麼效果
→ deadwood: 那兩個檔案是執行檔，很明顯地你中了惡意程式，掃不到
→ deadwood: 毒就換個軟體再掃，不然整機重灌最快
→ deadwood: 還有啊，要抓"免費試用版"為何特意到官網以外的地方抓?
→ deadwood: 現在你知道免費最貴了吧
→ crossworld: 因為官網不知為何抓不了
→ crossworld: 精華區的掃完有抓到一些毒 可是這個現象還是在
→ crossworld: 我再繼續試試 真的不行就重灌了
→ fatstan: 可以給個下載網址嗎?
→ fatstan: 想測一下裝了什麼東西
→ crossworld: 我已經不知道是哪個了耶 因為當時是亂找的
→ crossworld: 這是在沒有手動關掉那兩個tmp 直接開管理員
→ crossworld: https://i.imgur.com/VvC9DI6.jpg
→ crossworld: 一開管理員 CPU 就降回正常值，然後關掉又回100
→ crossworld: 請問這張圖可以看出什麼嗎？
→ gwofeng: 今天裝的軟體裝完立刻忘記自己裝了什麼?
→ crossworld: 裝Painter呀 可是不確定是哪載的
→ gwofeng: 瀏覽器都有下載位置的紀錄可以查
→ crossworld: 已經都弄掉了  因為還有Chrome被綁架和不能用的問題
→ crossworld: 一直跳一個xc000000b還什麼的錯誤訊息
→ crossworld: 後來是刪掉cookie、暫存、和抓了DLL suit才好
→ crossworld: 喔對 還有出現過 rundll32 無法運行
→ crossworld: 這個應該也是被DLL suit 修好
→ gwofeng: 抓下來的安裝檔呢  答案應該是一起刪掉了
→ crossworld: 沒想要留過耶
→ crossworld: 怕有毒當然就刪了
→ fatstan: 先把g8和ge開頭的那兩個程序結束
→ crossworld: 我等下重開試試，我現在用ASC把那兩個tmp關掉
→ crossworld: 所以那兩個程序現在也不見了
→ crossworld: 請問然後呢
→ fatstan: 然後去找已安裝的程式 把不認識的反安裝
→ crossworld: 好，我重開試試看
→ fatstan: 然後還要檢查開機啟動項目 抓ccleaner免安裝版的就可以查
→ crossworld: ccleaner我有裝
→ fatstan: 看有沒有什麼怪怪的項目  刪掉後重開
→ crossworld: http://i.imgur.com/BqTOVRO.jpg
→ crossworld: 這是CCLEANR看到的啟動，好像沒有特別的
推 APM99: 花一小時備份資料+重灌不就搞定了
→ crossworld: 是沒錯XD 備份是備份了 可是還是會有點怕+想能不重灌
→ crossworld: 最好XD 真的無法的話等我論文寫到個段落就來重灌
→ crossworld: 現在怕會出事 哀哀
→ fatstan: 所以重開後情況有改變嗎
→ crossworld: 有比較好，沒有常駐100% 可是那兩個還是在
→ crossworld: 有時候還是會跳回去100
→ crossworld: 我覺得好很多了 感謝大大！
→ crossworld: 後面我再繼續努力XDDD
推 gwofeng: 看他桌面這樣子 重灌至少花個半天抓軟體重裝跟設定
→ crossworld: 這也是很擔心的一點....
→ crossworld: 不過現在這樣不會卡在100% 感覺問題有稍微解決一點
→ crossworld: 只是問題根本還是沒找到 我會繼續試試
→ crossworld: 很感謝各位花時間幫忙
→ crossworld: 後來有試著到那兩個g什麼的來源資料夾硬刪，可是就算
→ crossworld: 刪了下次重開機還是會出現，可能是一樣黨名，也可能換
→ crossworld: 個類似的 無法全刪
→ crossworld: 而且每次重開機都會在D巢做一個新的Windos.old資料夾
推 gwofeng: 沒辦法提供樣本的話，就先備份資料等防毒軟體公司更新病
→ gwofeng: 毒碼吧
→ fatstan: 抓Hijackthis掃報表並上傳吧
推 DINJIAPC: 你知道啥叫kaspersky virus remove tool嗎
→ crossworld: 我今天做完實驗都來試試這些方法，感謝上面三位！
→ crossworld: 卡巴斯基的有用過 不過我等下看看有沒有update好了
推 erik777: 打趨勢科技的3C管家https://goo.gl/t7VTiV試試看?
→ erik777: 6/30前免費體驗 XD
推 DINJIAPC: Hitmanpro用用吧
→ crossworld: https://goo.gl/Um3ZGx
→ crossworld: 原來有人遇到跟我一樣的問題 而且也沒人解決
→ fatstan: 不知道是不是只有兩個  因為你截圖只有看到一部份的執行
→ fatstan: 程序
→ fatstan: 所以才需要跑報表上傳
→ crossworld: 好的 我會做
→ crossworld: 處理程序通常只有兩個 可是temp資料夾裡面會有三個
→ crossworld: 刪掉之後重開機就是變成用類似的名字再出現 ge什麼的
→ crossworld: 而且到處都是Windows.old實在太可怕了 哈哈...
→ crossworld: http://i.imgur.com/aA03oA3.jpg
→ crossworld: 現在是這樣子 名字已經跟之前的截圖不同了
→ crossworld: http://i.imgur.com/8ZfOdPj.jpg
→ crossworld: 這是？
→ fatstan: host檔被偷改了
→ fatstan: 按圖片中的路徑找HOST檔 用筆記本開 改回預設值
→ crossworld: 我直接把User那邊的全鉤 這樣可以嗎？
→ fatstan: 你說的是哪邊  我沒跟上進度
→ crossworld: http://i.imgur.com/QnjBMLp.jpg
→ crossworld: 我開了 Host 把上半部改成網路說的預設值
→ crossworld: http://goo.gl/BdxDWx
→ crossworld: 然後按右鍵把Users的使用權限都勾了
→ crossworld: 我這樣改算是回到預設值了嗎？還是要把筆記本下面的
→ crossworld: 全都刪掉？
→ fatstan: 不是預設的可以砍掉  怕的話先另存新檔再改
→ gwofeng: 你現在是用盜版AVAST嗎? 感覺那是停掉驗證或更新
→ fatstan: 預設值去微軟官網找就有 看是什麼系統
→ gwofeng: 我記得預設是什麼東西沒有xd
→ gwofeng:                     ^都
→ fatstan: 就只有範例而已
→ crossworld: 我應該是沒用AVAST才對@@
→ crossworld: 所以我可以全刪是嗎
→ crossworld: 我現在的防毒就只有ASC
推 APM99: 為啥你host看起來下面還有一百行左右..
→ crossworld: 超多的 我也不知道
→ crossworld: 我第一次開這個檔案
→ fatstan: 建議是去官網看範例 不然我不知道格式不一樣會有什麼問題
→ gwofeng: 如果是惡意軟體改的 那應該是防毒更新全被停掉吧
→ fatstan: 基本上是被偷加上去的  只是不知道是什麼軟體
→ gwofeng: 從127.0.0.1 LOCALHOST開始全砍吧
→ gwofeng: 砍完重開機再看看會不會又被加回去
→ crossworld: 我看了一下下面全都是Avast相關
→ crossworld: 可是我去應用程式移除那邊真的是沒看Avast
→ crossworld: 這是什麼現象
→ crossworld: 好，我整個刪掉
→ crossworld: http://i.imgur.com/wZ2Zgcm.jpg
→ crossworld: 全是這種
→ gwofeng: 砍 就對了
→ fatstan: 看看能不能跑報表了
→ fatstan: 對了  你說的ASC該不會是你桌面上的那個吧?
→ crossworld: Host沒被改回來 報表可以跑了
→ gwofeng: Advanced SystemCare Ultimate??? 難怪都掃不到毒
→ crossworld: 對呀 Advanced System Care
→ crossworld: 我只是當作清垃圾的工具啦 這次有抓了各種的了
→ crossworld: panda 趨勢 卡巴斯基 微軟 都有試過
→ crossworld: 可是開機100CPU還是繼續
→ fatstan: 他不是防毒軟體阿  而且軟體公司IObit你可以搜尋他的評價
→ crossworld: http://i.imgur.com/rydAcE1.jpg
→ crossworld: 我知道 我有看過版上評價 都說跟360和金山一樣
→ crossworld: 不過我用起來沒特別好用 但也沒被這個軟體綁架過
→ crossworld: 所以想說還好 加加減當清垃圾的用
→ fatstan: 好吧  那我不多說了  還有那兩個檔案應該是假檔
→ fatstan: 用來吸引注意力的  應該還有真正的病毒檔在執行
→ crossworld: 這次之後我至少會去裝個趨勢Orz
→ crossworld: 太煩了
→ crossworld: 應該是 就是找不到毒源
→ crossworld: 我現在是擔心會被盜什麼帳號 不然那兩個假黨可以硬關
→ fatstan: 下面有一篇Zemana AntiMalware Premium 先抓來試試
→ fatstan: 報表跑完記得上傳阿
→ crossworld: 有丟到官網檢測
→ crossworld: 正常來說我把打叉的在程式中按Fix後再跑一次
→ crossworld: 他應該會消失是嘛
→ gwofeng: Windows鍵 + R 輸入 perfmon /res
→ gwofeng: http://imgur.com/AgNoDJW
→ fatstan: 可以存下來找個網路空間放在把網址貼來這邊...
→ gwofeng: 關聯控制代碼輸入 C:\Windows\Temp
→ crossworld: 好
→ gwofeng: 然後像這張截圖上來
→ fatstan: 他只修正他找到的問題 不一定可以解決你的問題
→ crossworld: https://www.sendspace.com/file/0pycam
→ crossworld: 等我試試
→ crossworld: 什麼都沒有@@
→ crossworld: 是因為我強制關掉它了嗎？所以我要重開機再試？
推 gwofeng: 對~讓他常駐
→ crossworld: 好 我等下重開機
→ crossworld: 剛剛有一次重開機那兩個.tmp和old資料夾沒出來耶
→ crossworld: 可是在重開一次後又是100%
→ crossworld: http://i.imgur.com/I5oqk3w.jpg
→ crossworld: 這是可以看出什麼@@
→ crossworld: http://i.imgur.com/yrWIzev.jpg
→ crossworld: 硬碟也會有一個類似的檔案再跑
→ crossworld: 而且我發現我不先關掉那兩個程序的話沒辦法刪
→ crossworld: 掉那個出現的Windows.old資料夾
→ gwofeng: 直接打勾他 看會跑出甚麼關聯程式
→ crossworld: 這次開機他又不見了 我再重開機一次
→ crossworld: 結果重開機兩次後都沒出現@@
→ crossworld: 搞不清楚中間做了哪個步驟變成這樣子
→ crossworld: 等之後有出現了時候我再看看
→ crossworld: 感謝大家花這麼多時間 太謝謝惹 希望不會再發作XDD
→ crossworld: 我等下去抓剛剛F大提的
→ gwofeng: 被我嚇跑了 賀可喜可
→ crossworld: 不給看關聯程式XDD
→ crossworld: 結果剛剛又出現了XD 而且點下去沒看到關聯程式Y
→ crossworld: 我決定明天再抓防毒試試看，然後準備開機片
→ crossworld: 這東西略難搞ＸＤ
推 masterliy: 被挖礦了吧ㄏ
推 liaojyunci: 前幾天也是中了這個g***.tmp惡意程式
→ liaojyunci: 最後是用 21036 Zemana 掃描出惡意程式 參考看看