בעיה | משהו יוצר לי דרייבר מחדש וגורם למסכים כחולים — ווירוס?
-
סיכוי שיש לך נוזקה במחשב דייבר בסיומת Sys
בלבד SysWOW64 זה 32 ביט דרייבר לא אמור לשבת שם.תרצה שאעזור לך?
@Shealtiel תודה. זה באמת מה שמחשיד אותי.
השירות מוגדר כ־Kernel Driver עם Type=0x1 ו־Start=0x0, אבל ה־ImagePath שלו מצביע כל פעם לקובץ .tlb בתוך SysWOW64, עם שם אקראי שמתחלף אחרי מחיקה/אתחול.
לפי מה שאני מבין, דרייבר Kernel תקין אמור להיות בדרך כלל .sys וב־System32\drivers, ולא .tlb ב־SysWOW64.
לכן נראה שזה לא דרייבר תקין אלא משהו שמתחזה לדרייבר או מייצר אותו מחדש.
השאלה אם יש דרך לאתר מה מייצר אותו מחדש, או שבמצב כזה עדיף כבר התקנה נקייה? -
@Shealtiel תודה. זה באמת מה שמחשיד אותי.
השירות מוגדר כ־Kernel Driver עם Type=0x1 ו־Start=0x0, אבל ה־ImagePath שלו מצביע כל פעם לקובץ .tlb בתוך SysWOW64, עם שם אקראי שמתחלף אחרי מחיקה/אתחול.
לפי מה שאני מבין, דרייבר Kernel תקין אמור להיות בדרך כלל .sys וב־System32\drivers, ולא .tlb ב־SysWOW64.
לכן נראה שזה לא דרייבר תקין אלא משהו שמתחזה לדרייבר או מייצר אותו מחדש.
השאלה אם יש דרך לאתר מה מייצר אותו מחדש, או שבמצב כזה עדיף כבר התקנה נקייה? -
עדכון קצר:
יש דרייבר חשוד בשם:
HKLM\SYSTEM\CurrentControlSet\Services\tsh3הוא מוגדר כ־Kernel Driver:
Type = 0x1
Start = 0x0
ImagePath = SysWOW64\16kl.tlbהשמות של קובץ ה־.tlb השתנו כמה פעמים, למשל:
5g2t.tlb
xdiz.tlb
w4up.tlb
16kl.tlbכולם בערך בגודל 59,544 bytes.
מה ניסינו:-
שינוי Start ל־4 מתוך Windows — נכשל עם:
Access is denied -
ניסינו מתוך Windows Recovery למחוק/לשנות את tsh3 ואת קובץ ה־.tlb.
זה עזר זמנית, אבל אחרי אתחול הוא חזר עם שם חדש. -
Autoruns מצא את tsh3, אבל Disable לא עזר. אחרי Restart:
STATE : 4 RUNNING -
Autoruns יצר משימה בשם Disable tsh3, שמריצה:
reg add ... tsh3 ... Start=4
אבל גם היא נכשלת:
ERROR: Access is denied.- ניסינו Regedit ידני, כולל שינוי בעלים והרשאות — עדיין לא נותן לשנות את Start.
- הקובץ הנוכחי:
C:\Windows\SysWOW64\16kl.tlb
קיים ונעול. אי אפשר להעתיק או לבדוק חתימה:
The process cannot access the file because it is being used by another process.- fltmc לא מציג את tsh3, אז כנראה זה לא File System Filter Driver.
- חיפוש ברג׳יסטרי מצא ש־16kl.tlb מופיע רק תחת tsh3.
לא מצאנו מי יוצר אותו מחדש. - ניסינו Process Monitor עם פילטרים ל־tsh3, 16kl, .tlb, אבל בזמן הניטור המחשב נפל שוב.
- נראה שיש קשר ל־Wi-Fi: כשה־Wi-Fi כבוי המחשב יציב יותר, וכשהוא דולק הייתה נפילה אחרי כ־20 דקות.
כרטיס הרשת:
Intel(R) Wi-Fi 6E AX211 160MHz
המסקנה כרגע:
tsh3 רץ כ־Kernel Driver, הקובץ .tlb טעון ונעול, אי אפשר לשנות אותו מתוך Windows אפילו כ־SYSTEM, וגם אחרי Recovery הוא חוזר.
השאלה: האם יש עוד דרך לאתר מי מחזיר אותו? -
-
עדכון קצר:
יש דרייבר חשוד בשם:
HKLM\SYSTEM\CurrentControlSet\Services\tsh3הוא מוגדר כ־Kernel Driver:
Type = 0x1
Start = 0x0
ImagePath = SysWOW64\16kl.tlbהשמות של קובץ ה־.tlb השתנו כמה פעמים, למשל:
5g2t.tlb
xdiz.tlb
w4up.tlb
16kl.tlbכולם בערך בגודל 59,544 bytes.
מה ניסינו:-
שינוי Start ל־4 מתוך Windows — נכשל עם:
Access is denied -
ניסינו מתוך Windows Recovery למחוק/לשנות את tsh3 ואת קובץ ה־.tlb.
זה עזר זמנית, אבל אחרי אתחול הוא חזר עם שם חדש. -
Autoruns מצא את tsh3, אבל Disable לא עזר. אחרי Restart:
STATE : 4 RUNNING -
Autoruns יצר משימה בשם Disable tsh3, שמריצה:
reg add ... tsh3 ... Start=4
אבל גם היא נכשלת:
ERROR: Access is denied.- ניסינו Regedit ידני, כולל שינוי בעלים והרשאות — עדיין לא נותן לשנות את Start.
- הקובץ הנוכחי:
C:\Windows\SysWOW64\16kl.tlb
קיים ונעול. אי אפשר להעתיק או לבדוק חתימה:
The process cannot access the file because it is being used by another process.- fltmc לא מציג את tsh3, אז כנראה זה לא File System Filter Driver.
- חיפוש ברג׳יסטרי מצא ש־16kl.tlb מופיע רק תחת tsh3.
לא מצאנו מי יוצר אותו מחדש. - ניסינו Process Monitor עם פילטרים ל־tsh3, 16kl, .tlb, אבל בזמן הניטור המחשב נפל שוב.
- נראה שיש קשר ל־Wi-Fi: כשה־Wi-Fi כבוי המחשב יציב יותר, וכשהוא דולק הייתה נפילה אחרי כ־20 דקות.
כרטיס הרשת:
Intel(R) Wi-Fi 6E AX211 160MHz
המסקנה כרגע:
tsh3 רץ כ־Kernel Driver, הקובץ .tlb טעון ונעול, אי אפשר לשנות אותו מתוך Windows אפילו כ־SYSTEM, וגם אחרי Recovery הוא חוזר.
השאלה: האם יש עוד דרך לאתר מי מחזיר אותו? -
-
יש לי מחשב HP Elite Dragonfly Chromebook עם Windows 11 ודרייברים של CoolStar.
יש לי נפילות חוזרות / מסכים כחולים. בלוגים מופיע שוב ושוב:
BugCheck 0x00000050
PAGE_FAULT_IN_NONPAGED_AREAב־Event Viewer ובדאמפים מופיע שהקריסה קשורה לקבצי .tlb בתוך:
C:\Windows\SysWOW64\השמות משתנים בכל פעם, למשל:
5g2t.tlb
xdiz.tlb
w4up.tlb
16kl.tlbכולם בגודל דומה: 59,544 bytes.
ברג’יסטרי מופיע שירות/דרייבר בשם:
HKLM\SYSTEM\CurrentControlSet\Services\tsh3עם ערכים כמו:
Type 0x1
Start 0x0
ImagePath SysWOW64\16kl.tlb
DisplayName tsh3
Description tsh3ניסיתי לשנות/למחוק מתוך Windows — מתקבל Access is denied.
ניסיתי גם מתוך Windows Recovery לשנות Start / למחוק את השירות / לשנות שם לקובץ. זה עזר זמנית, אבל אחרי אתחול השירות נוצר שוב עם שם .tlb חדש.
שמתי לב שיש קשר ל־Wi-Fi:
כאשר ה־Wi-Fi כבוי המחשב יציב יותר, וכשהדלקתי Wi-Fi הייתה נפילה אחרי בערך 20 דקות.
כרטיס הרשת הוא:
Intel(R) Wi-Fi 6E AX211 160MHzהיו גם דרייברים של UNISOC/מודם 4G, מחקתי אותם עם pnputil, אבל הבעיה לא נפתרה.
השאלה:
האם tsh3 שמצביע לקובץ .tlb אקראי ב־SysWOW64 נשמע כמו דרייבר לגיטימי, שארית של מודם/סטיק 4G, או Rootkit/Malware?
והאם יש דרך בטוחה להסיר את זה בלי התקנה נקייה, או שעדיף לגבות קבצים ולעשות התקנה נקייה?
תודה. -
מהיכרותי את הדרייבר הזה הוא לגיטימי לחלוטין והוא לא תוכנה זדונית
אתה טועה ומטעה, דרייבר יושב אך ורק בSystem32\drivers
הוא לא אמור לשבת בתקיית 32 bit, איך שהוא מתאר את זה
(תבדוק ותראה שיש לו רשיונות של מייקרוסופט)
לא קשור כלל, BYOVD תבדוק ותיוכח.
ודרייבר לא אמור להיות פולמוריפי
Type Library זה מטא דאטה לא קוד.
-
מהיכרותי את הדרייבר הזה הוא לגיטימי לחלוטין והוא לא תוכנה זדונית
אתה טועה ומטעה, דרייבר יושב אך ורק בSystem32\drivers
הוא לא אמור לשבת בתקיית 32 bit, איך שהוא מתאר את זה
(תבדוק ותראה שיש לו רשיונות של מייקרוסופט)
לא קשור כלל, BYOVD תבדוק ותיוכח.
ודרייבר לא אמור להיות פולמוריפי
Type Library זה מטא דאטה לא קוד.
-
אתה טועה ומטעה
אל תדבר על מה שאתה לא יודע
אני אומר לך שאני מכיר אותואתה יודע שהוא וירוס להכחיש אותי?
אל תדבר על מה שאתה לא יודע
אני אומר לך שאני מכיר אותואתה יודע שהוא וירוס להכחיש אותי?
א. דרייבר חתום לא אומר כלום
ב. לפי מה שהוא מתאר זה פולימורפי, כלומר, משנה את עצמו בכל הרצה, זה מחשיד מאוד.
ג. הוא לא אמור להיות נעול ל Start בהרשאות SYSTEM.
ד. זה סיומת מאוד חריגה לדרייבר.מרגיש ומריח כמו rootkit אבל אתה מכיר...
-
אל תדבר על מה שאתה לא יודע
אני אומר לך שאני מכיר אותואתה יודע שהוא וירוס להכחיש אותי?
א. דרייבר חתום לא אומר כלום
ב. לפי מה שהוא מתאר זה פולימורפי, כלומר, משנה את עצמו בכל הרצה, זה מחשיד מאוד.
ג. הוא לא אמור להיות נעול ל Start בהרשאות SYSTEM.
ד. זה סיומת מאוד חריגה לדרייבר.מרגיש ומריח כמו rootkit אבל אתה מכיר...
דרייבר חתום לא אומר כלום
זה לא נכון
אבל מה זה משנה
אני אומר לך שאני מכיר את הנקודה הזאת וניתחתי אותו הדק היטב היטב הדק
אני יודע בדיוק למה הוא עושה את כל הפעולות החריגות האלו ולמה הוא מקריס ואני יודע שוירוס הוא לא
אולי הוא בנוי בצורה חריגה אבל הוא לא וירוס -
דרייבר חתום לא אומר כלום
זה לא נכון
אבל מה זה משנה
אני אומר לך שאני מכיר את הנקודה הזאת וניתחתי אותו הדק היטב היטב הדק
אני יודע בדיוק למה הוא עושה את כל הפעולות החריגות האלו ולמה הוא מקריס ואני יודע שוירוס הוא לא
אולי הוא בנוי בצורה חריגה אבל הוא לא וירוס -
-
אפשר קישור לזה?
קישור למה?
לכל הקבצים שניתחתי? לכל המיילים ששלחתי? -
לדרייבר.
זה קובץ
-
@Shealtiel מחילה אני לא מבין
שלום! נראה שהשיחה הזו מעניינת אותך, אבל עדיין אין לך חשבון.
נמאס לכם לגלול בין אותם הפוסטים בכל ביקור? כשנרשמים לחשבון, תמיד תחזרו בדיוק למקום שבו הייתם קודם, ותוכלו לבחור לקבל התראות על תגובות חדשות (בין אם במייל, ובין אם בהתראת פוש). תוכלו גם לשמור סימניות ולפרגן ב-upvote לפוסטים כדי להביע הערכה לחברי קהילה אחרים.
בעזרת התרומה שלך, הפוסט הזה יכול להיות אפילו טוב יותר 💗
הרשמה התחברות { const baseUrl = "https://www.google.co.il/search?q=site:mitmachim.top"; const m = location.pathname.match(/^\/(topic|category)\/(\d+)/); const type = m ? m[1] : null; const id = m ? m[2] : null; let searchInput; function search(path = "") { const query = searchInput.value.trim(); if (query) { window.open(`${baseUrl}${path}%20${encodeURIComponent(query)}`, "_blank"); } } let buttons = {}; buttons.searchAll = { id: "bb-search-all", label: `חיפוש ${type ? "בכל הפורום" : ""}`, className: type ? "btn-secondary" : "btn-primary", callback: () => search(), }; if (type === "topic") { buttons.searchTopic = { label: "חיפוש בנושא זה", className: "btn-primary", callback: () => search(`/topic/${id}`), }; } else if (type === "category") { buttons.searchCategory = { label: "חיפוש בקטגוריה זו", className: "btn-primary", callback: () => search(`/category/${id}`), }; } buttons.cancel = { label: "ביטול", className: "btn-default", "data-bs-dismiss": "modal" }; const dialog = bootbox.dialog({ title: '<div style="text-align:center;"><img src="/assets/uploads/files/1625950269825-mt-google.png" width="400" alt="חיפוש בגוגל"></div>', message: '<input id="bb-inp" class="bootbox-input bootbox-input-text form-control" placeholder="הקלידו כדי לחפש בגוגל" autocomplete="off"/>', buttons, backdrop: true, show: true, onEscape: true }); dialog.on("shown.bs.modal", function () { searchInput = document.getElementById("bb-inp"); if (searchInput) { searchInput.focus(); searchInput.addEventListener("keydown", function (e) { if (e.key === "Enter") { e.preventDefault(); const query = this.value.trim(); if (query) { search(); dialog.modal("hide"); } } else if (e.key === "Escape") { e.preventDefault(); dialog.modal("hide"); } }); } const searchAllButton = document.getElementById("bb-search-all"); if (searchAllButton) { searchAllButton.title = "לחצו על אנטר כדי לחפש"; } }); })(); void 0;){kind=link}