עזרה בחיסול נוזקה ששותה לי את כל החבילה

[נטפריס]

תוריד את https://www.malwarebytes.com/mwb-download/.
תפעיל את המחשב במצב בטוח (לחיצה על F8 מיד אחרי ההדלקה לאורך כמה שניות ואז בתפריט לבחור safe mode).
תפעיל את התוכנה הנ"ל תתקין ותלחץ על סריקה\scan.
נקה את הנגיעות שנמצאו ע"י לחיצה על הלחצן שיופיע בסוף הסריקה.

[yyy]

@נטפריס

ניסיתי. גילה כמה חשודים אבל תעבורת הרשת עדיין מזנקת

[יוליוס]

@yyy יש פה משהו מוזר, ולכן כתבתי לך לעשות הקלטת תעבורת רשת.
נטפרי עובדת על רשימה לבנה של כתובות שפתוחות, אז איך קרה שכתובת של נוזקה נפתחה? מי אישר את זה?
אם בהקלטה תראה כתובות חשודות, תחסום אותם על ידי הכנסה לרשימה השחורה שלך ותבדוק אז האם הזלילה ממשיכה

[yyy]

@aiib אמר בעזרה בחיסול נוזקה ששותה לי את כל החבילה:

@yyy יש כמה חברות אנטי וירוס המציעים שירות של סריקה אונליין זה אמנם לא פתרון קבוע אבל אם אתה חושד שיש איזה וירוס עכשיו תוכל לסרוק אונליין
יש חברות כמו macfee eset קפרסקי ועוד. תעשה חיפוש.
בהצלחה

לא יכול להישאר מחובר לאורך זמן, תיגמר לי החבילה.

[yyy]

@5566NEWbrs

דמתקרי בלשון עברי "מנהל המשימות" וכדכתבתי.

[yyy]

@יוליוס

אנסה ואעדכן.

[huxhzunr]

באופן זמני תכנס לצג המשאבים ושם תבטל את ההורדה ודרך אגב תבדוק שם מהו הקובץ ותנסה למחוק אותו ידנית במצב בטוח

[5566NEWbrs]

@yyy ?
מנהל המשימות = taskManager

[קרמבו]

תוריד את התוכנה הבאה שם אתה יכול לראות ולחסום את כל החיבורים
http://download.cnet.com/GlassWire/3000-10435_4-76171283.html

[yyy]

@קרמבו
תוכנה נהדרת -לא הכרתי.
מה שנראה שלוקח הרבה הוא ה-ip הזה
שמקושר ל-host process for windows service
(svchost.exe)
העניין שכשאני חוסם אותו אני לא יכול יותר לגלוש.
אנסה לקרוא קצת עליו.

[yyy]

@yyy אמר בעזרה בחיסול נוזקה ששותה לי את כל החבילה:

@קרמבו
תוכנה נהדרת -לא הכרתי.
מה שנראה שלוקח הרבה הוא ה-ip הזה
שמקושר ל-host process for windows service
(svchost.exe)
העניין שכשאני חוסם אותו אני לא יכול יותר לגלוש.
אנסה לקרוא קצת עליו.

זה ה-ip
http://93.184.221.200/

[WWW]

@yyy אמר בעזרה בחיסול נוזקה ששותה לי את כל החבילה:

זה ה-ip
http://93.184.221.200/

איך יכול להיות? זה לא נבדק.

[נטפריס]

svchost.exe זה מריץ של שירותים, כמה וכמה ביחד, כך שלא התקדמנו הרבה.
פתח את "הפעלה..." וכתוב msconfig. שם בכרטסת שירותים סמן את הוי להסתיר שירותי מקרוסופט.
הסר את הוי מכל השירותים שנשארו והפעל מחדש במצב האבחנה הזה.

בכל מקרה תוכל לסגור עניין עם הבעיה ע"י חומת האש (אם כי אני שואל את עצמי כמה אגרסיבית התוכנה/רוגלה/וירוס הזה ואם הוא יסובב את מה שעשית על האצבע הקטנה).
פתחח את חומת האש וצור כלל חדש הן ביציאה והן בכניסה (זה כבר חסום כנראה ע"י נטפרי, אבל שים גם), כשהתנאי היחיד הינו שהכתובת המרוחקת היא הנ"ל.

[WWW]

@נטפריס סוף סוף רואים אותך בפורום!!!

[yyy]

@נטפריס
הורדתי את כל הסרויסים שלא קשורים למייקרוסופט.

כעת ככה זה נראה בצג המשאבים אני אנסה לבדוק כל ip בנפרד ע"י חסימתו.

[נטפריס]

תכבה את השירות של Windows Update תראה אם זה ממשיך.

[yyy]

@נטפריס
השירות הוא disabled, מצד שני כתוב שהוא runing.

[yyy]

@yyy כעת גם עצרתי אותו אבל זה לא עוזר

[נטפריס]

פתח שורת פקודה והדבק שמה את הטקסט הבא:

tasklist /svc /fi "imagename eq svchost.exe"

תראה בעמודה PID את השורה המתאימה לשורה גוזלת הרשת שבצג המשאבים, וכתוב פה את רשימת השירותים שמופיעים באותה שורה בעמודה Services.

[yyy]

@נטפריס
זה נראה זה
svchost.exe 384 Appinfo, BITS, DoSvc, gpsvc, IKEEXT,
iphlpsvc, LanmanServer, lfsvc, ProfSvc,
RasMan, Schedule, SENS, ShellHWDetection,
Themes, UserManager, Winmgmt

pid 384