Висят процессы powershell, кто их использует?

Question

[Юрий]

Оставляю комп включенным, на утро вижу несколько процессов powershell, каждый из них ест по 10-12% cpu.
Как отследить кто использует, может майнер какой-то? Посоветуйте прогу, которая раскопает суть))

скриншот

Comments

[AUser0]

Process Explorer хотя-бы, покажет дерево процессов, кто кого запустил, команды запуска можно будет посмотреть.

[ElxkoT]

Там случаем нет в списке процессов пары лишних Explorer.exe? Если есть, то это поддельные, должен быть один. Как раз на днях бодался с очень похожей проблемой. Оказалось, что в планировщик задач прописался вирус под видом Google Updater. Он после своего запуска, особым образом запускал палёный explorer.exe (который сам по себе вполне нормальный, подозреваю, что в него инжектилась вредоносная .dll и уже она делала гадости), а сам родительский процесс сразу же самоустранялся. В результате информации о родительском процессе нет, в аргументах командной строки какой-то мусор, и все они дружно при смерти друг друга перезапускают. Даже антивирус ничего не нашёл, только опытным путем, отключая задачи, удалось понять, что происходит.

Answer 1

[Adler]

Добавьте колонку "командная строка" и посмотрите полный путь выполнения.

Answer 2

[VoidVolker]

Sysinternals Suite -> ProcessExplorer

Answer 3

[MaxKozlov]

Ну и для полноты ответа в теме с тэгом Powershell ;-)

Get-CimInstance Win32_Process -Filter "Name='powershell.exe'" | Select-Object ProcessId, CommandLine

Answer 4

[Юрий]

Process Explorer показывает в качестве command line какой-то скрипт

Полный текст скрипта

powershell.exe -ExecutionPolicy Restricted -Command 
                    function Get-UEFIX509Certificates {
                        $Certs = @()

                        try {
                            $UefiDb = Get-SecureBootUEFI -Name db
                            $Stream = [IO.MemoryStream]::New($UefiDb.Bytes)
                        } catch {
                            Write-Host 'Failed to get UEFI db:',$_.Exception.Message
                            return $Certs
                        }

                        while ($Stream.Position -lt $Stream.Length) {
                            # Read EFI_SIGNATURE_LIST header
                            $SignatureType = New-Object byte[] 16
                            $Stream.Read($SignatureType, 0, 16) | Out-Null
                            $SignatureTypeGUID = [Guid]::New($SignatureType)

                            $SignatureListSize = New-Object byte[] 4
                            $Stream.Read($SignatureListSize, 0, 4) | Out-Null
                            $ListSize = [BitConverter]::ToUInt32($SignatureListSize, 0)

                            $Stream.Position += 4 # Skip SignatureHeaderSize

                            $SignatureSize = New-Object byte[] 4
                            $Stream.Read($SignatureSize, 0, 4) | Out-Null
                            $SignatureSize = [BitConverter]::ToUInt32($SignatureSize, 0)

                            if ($SignatureTypeGUID -eq 'a5c059a1-94e4-4aa7-87b5-ab155c2bf072') { # SignatureType matches X.509 GUID
                                $CertificateCount = ($ListSize - 28) / $SignatureSize
                                for ($i = 0; $i -lt $CertificateCount; $i++) {
                                    $SignatureOwner = New-Object byte[] 16
                                    $Stream.Read($SignatureOwner, 0, 16) | Out-Null
                                    $SignatureOwner = [Guid]::New($SignatureOwner)

                                    $CertificateData = New-Object byte[] ($SignatureSize - 16)
                                    $Stream.Read($CertificateData, 0, ($SignatureSize - 16)) | Out-Null
                                    $Certificate = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2(,$CertificateData)

                                    $Certs += [PSCustomObject]@{
                                        SignatureOwner = $SignatureOwner
                                        Subject = $Certificate.Subject
                                    }
                                }
                            }
                        }

                        return $Certs
                    }

                    $Res = 0
                    $Certs = Get-UEFIX509Certificates
                    Write-Host 'Found',$Certs.Count,'certificates'
                    foreach ($Cert in $Certs) {
                        if ($Cert.Subject.StartsWith('CN=Windows UEFI CA 2023,') -and $Cert.SignatureOwner -ne '77fa9abd-0359-4d32-bd60-28f4e78f784b') {
                            $Res = 1
                            break
                        }
                    }
                    Write-Host 'Final result:',$Res

никакого исполняемого файла или dll не вижу ((

значит что-то в автозапуске или планировщике висит?

Comments

[MaxKozlov]

Судя по Вот этому треду,

This is executed by Windows Update telemetry to check for updated UEFI certificates related to the upcoming expiration in June 2026.

Ну и вот эта ссылочка, чтобы понять контекст самого скрипта