Вход
Уважаемые пользователи!

Поставщик ИТ-решений PRO32 сообщает вам, что после 17 лет сотрудничества мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.

Купить и продлить лицензии ESET на нашем сайте больше нельзя.

Предлагаем вам попробовать новый антивирус от компании PRO32.

Продукты PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств на Windows / Android.

Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.

Перейти на PRO32
Поиск  Пользователи  Правила  Войти
Центр вирусных исследований и аналитики Обнаружение вредоносного кода и ложные срабатывания

[ Закрыто ] Майнер после удаления восстанавливается , Майнер восстанавливается сам как то...

1 2 3 След.
RSS
 
Волосников Игорь
Волосников Игорь
Пользователь
Сообщений: 12
Баллов: 6
Регистрация: 10.01.2018
Размещено 10.01.2018 08:40:48
1. Имеется лицензия
2. Eset File Security for Microsoft Windows Server
3. Windows Server 2012 R2 Standart 64-bit (6.3.9600)

Моя проблема в том, что при наличии лицензированного антивируса от Eset на моем сервере все равно крутится майнер, сам себя восстанавливает и снова начинает грузит цп на 100%....
Создалась учетная запись какая-то , создалась папка, в ней приложение... и не важно удаляешь ты или нет ее, чистишь или нет, процесс все равно запускается стабильно 4-6 раз в сутки и грузит цп...
Мне нужна реальная помощь, после которой на моем сервере перестанет запускаться этот майнер...
Eset.jpg (281.62 КБ)
Eset2.jpg (264.34 КБ)
Изменено: Волосников Игорь - 11.01.2018 10:39:57
 
Мартынов Николай
Мартынов Николай
Пользователь
Сообщений: 257
Баллов: 205
Регистрация: 17.05.2014
Размещено 10.01.2018 10:05:55
Цитата
Волосников Игорь написал:
1.
Вы ключ чтоли светите? Потрите его скорее...


ОС актуальная? Все ли обновления установлены? А на АРМ в локальной сети подобные заражения имеются?
Изменено: Мартынов Николай - 10.01.2018 10:07:28
 
Волосников Игорь
Волосников Игорь
Пользователь
Сообщений: 12
Баллов: 6
Регистрация: 10.01.2018
Размещено 10.01.2018 10:13:55
Цитата
Мартынов Николай написал:
Цитата
 Волосников Игорь  написал:
1.
Вы ключ чтоли светите? Потрите его скорее...


ОС актуальная? Все ли обновления установлены? А на АРМ в локальной сети подобные заражения имеются?
Пароля же все равно нет... Потер...  Обновления все стоят. В локальной сети зараженных компьютеров на данный момент не наблюдается. Везде стоят такие же Eset File Security
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 10.01.2018 10:30:42
Волосников Игорь,
добавьте образ автозапуска системы.
[ Как создать образ автозапуска? ]
 
Волосников Игорь
Волосников Игорь
Пользователь
Сообщений: 12
Баллов: 6
Регистрация: 10.01.2018
Размещено 10.01.2018 10:33:41
Пожалуйста.
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 10.01.2018 10:51:18
Волосников Игорь,
вполне возможно что пробивает вашу зашиту через сервис, который у вас установлен.
CLEVERENCE.MOBILESMARTS.SERVER.EXE

подобная проблема уже была, когда через этот сервис на сервера устанавливался майнер, (впрочем, может быть установлено что угодно)
https://virusinfo.info/showthread.php?t=213761&page=3

проверьте, установлена ли у вас актуальная версия данного сервера.
[ Как создать образ автозапуска? ]
 
Волосников Игорь
Волосников Игорь
Пользователь
Сообщений: 12
Баллов: 6
Регистрация: 10.01.2018
Размещено 10.01.2018 11:27:08
Проверил. Актуальная. Во всяком случае он не стал обновляться.

Я его удалил прямо сейчас в общем...
Все равно уже не пользуюсь. Кстати как раз проблема возникала месяца 2 назад в первый раз... когда я тока тока тестировал этот сервис для ТСД.... Подозрительно действительно...

И что теперь делать дальше? Ждать пока проявит себя или нет снова?
Изменено: Волосников Игорь - 10.01.2018 11:27:50
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 10.01.2018 11:42:32
да, понаблюдайте за вирусной активностью.
[ Как создать образ автозапуска? ]
 
Волосников Игорь
Волосников Игорь
Пользователь
Сообщений: 12
Баллов: 6
Регистрация: 10.01.2018
Размещено 11.01.2018 09:07:10
Печально все....
Появились теперь в другой папке....
С утра был замечено что процесс termsvc жрал 63% цп... а остальные 37% PowerPoint О_о у одного из пользователей...
Ночью также что-то засоряло, пока возможности узнать нет... ( я про картинку 111)
termsvc.JPG (14.18 КБ)
eset3.jpg (623.75 КБ)
111.JPG (48.61 КБ)
Изменено: Волосников Игорь - 11.01.2018 09:29:58
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 11.01.2018 09:36:42
доступ к серверу по RDP есть из внешней сети?
меняйте пароль доступа для встроенной учетной записи Администратор, Administrator, установите сложный пароль.
ограничьте доступ к серверу из внешней сети, разрешите доступ по RDP только с ваших рабочих ip адресов.

проверьте результат.
[ Как создать образ автозапуска? ]
 
1 2 3 След.
Читают тему