בעיה | משהו יוצר לי דרייבר מחדש וגורם למסכים כחולים — ווירוס?
-
סיכוי שיש לך נוזקה במחשב דייבר בסיומת Sys
בלבד SysWOW64 זה 32 ביט דרייבר לא אמור לשבת שם.תרצה שאעזור לך?
@Shealtiel תודה. זה באמת מה שמחשיד אותי.
השירות מוגדר כ־Kernel Driver עם Type=0x1 ו־Start=0x0, אבל ה־ImagePath שלו מצביע כל פעם לקובץ .tlb בתוך SysWOW64, עם שם אקראי שמתחלף אחרי מחיקה/אתחול.
לפי מה שאני מבין, דרייבר Kernel תקין אמור להיות בדרך כלל .sys וב־System32\drivers, ולא .tlb ב־SysWOW64.
לכן נראה שזה לא דרייבר תקין אלא משהו שמתחזה לדרייבר או מייצר אותו מחדש.
השאלה אם יש דרך לאתר מה מייצר אותו מחדש, או שבמצב כזה עדיף כבר התקנה נקייה? -
@Shealtiel תודה. זה באמת מה שמחשיד אותי.
השירות מוגדר כ־Kernel Driver עם Type=0x1 ו־Start=0x0, אבל ה־ImagePath שלו מצביע כל פעם לקובץ .tlb בתוך SysWOW64, עם שם אקראי שמתחלף אחרי מחיקה/אתחול.
לפי מה שאני מבין, דרייבר Kernel תקין אמור להיות בדרך כלל .sys וב־System32\drivers, ולא .tlb ב־SysWOW64.
לכן נראה שזה לא דרייבר תקין אלא משהו שמתחזה לדרייבר או מייצר אותו מחדש.
השאלה אם יש דרך לאתר מה מייצר אותו מחדש, או שבמצב כזה עדיף כבר התקנה נקייה? -
עדכון קצר:
יש דרייבר חשוד בשם:
HKLM\SYSTEM\CurrentControlSet\Services\tsh3הוא מוגדר כ־Kernel Driver:
Type = 0x1
Start = 0x0
ImagePath = SysWOW64\16kl.tlbהשמות של קובץ ה־.tlb השתנו כמה פעמים, למשל:
5g2t.tlb
xdiz.tlb
w4up.tlb
16kl.tlbכולם בערך בגודל 59,544 bytes.
מה ניסינו:-
שינוי Start ל־4 מתוך Windows — נכשל עם:
Access is denied -
ניסינו מתוך Windows Recovery למחוק/לשנות את tsh3 ואת קובץ ה־.tlb.
זה עזר זמנית, אבל אחרי אתחול הוא חזר עם שם חדש. -
Autoruns מצא את tsh3, אבל Disable לא עזר. אחרי Restart:
STATE : 4 RUNNING -
Autoruns יצר משימה בשם Disable tsh3, שמריצה:
reg add ... tsh3 ... Start=4
אבל גם היא נכשלת:
ERROR: Access is denied.- ניסינו Regedit ידני, כולל שינוי בעלים והרשאות — עדיין לא נותן לשנות את Start.
- הקובץ הנוכחי:
C:\Windows\SysWOW64\16kl.tlb
קיים ונעול. אי אפשר להעתיק או לבדוק חתימה:
The process cannot access the file because it is being used by another process.- fltmc לא מציג את tsh3, אז כנראה זה לא File System Filter Driver.
- חיפוש ברג׳יסטרי מצא ש־16kl.tlb מופיע רק תחת tsh3.
לא מצאנו מי יוצר אותו מחדש. - ניסינו Process Monitor עם פילטרים ל־tsh3, 16kl, .tlb, אבל בזמן הניטור המחשב נפל שוב.
- נראה שיש קשר ל־Wi-Fi: כשה־Wi-Fi כבוי המחשב יציב יותר, וכשהוא דולק הייתה נפילה אחרי כ־20 דקות.
כרטיס הרשת:
Intel(R) Wi-Fi 6E AX211 160MHz
המסקנה כרגע:
tsh3 רץ כ־Kernel Driver, הקובץ .tlb טעון ונעול, אי אפשר לשנות אותו מתוך Windows אפילו כ־SYSTEM, וגם אחרי Recovery הוא חוזר.
השאלה: האם יש עוד דרך לאתר מי מחזיר אותו? -
-
עדכון קצר:
יש דרייבר חשוד בשם:
HKLM\SYSTEM\CurrentControlSet\Services\tsh3הוא מוגדר כ־Kernel Driver:
Type = 0x1
Start = 0x0
ImagePath = SysWOW64\16kl.tlbהשמות של קובץ ה־.tlb השתנו כמה פעמים, למשל:
5g2t.tlb
xdiz.tlb
w4up.tlb
16kl.tlbכולם בערך בגודל 59,544 bytes.
מה ניסינו:-
שינוי Start ל־4 מתוך Windows — נכשל עם:
Access is denied -
ניסינו מתוך Windows Recovery למחוק/לשנות את tsh3 ואת קובץ ה־.tlb.
זה עזר זמנית, אבל אחרי אתחול הוא חזר עם שם חדש. -
Autoruns מצא את tsh3, אבל Disable לא עזר. אחרי Restart:
STATE : 4 RUNNING -
Autoruns יצר משימה בשם Disable tsh3, שמריצה:
reg add ... tsh3 ... Start=4
אבל גם היא נכשלת:
ERROR: Access is denied.- ניסינו Regedit ידני, כולל שינוי בעלים והרשאות — עדיין לא נותן לשנות את Start.
- הקובץ הנוכחי:
C:\Windows\SysWOW64\16kl.tlb
קיים ונעול. אי אפשר להעתיק או לבדוק חתימה:
The process cannot access the file because it is being used by another process.- fltmc לא מציג את tsh3, אז כנראה זה לא File System Filter Driver.
- חיפוש ברג׳יסטרי מצא ש־16kl.tlb מופיע רק תחת tsh3.
לא מצאנו מי יוצר אותו מחדש. - ניסינו Process Monitor עם פילטרים ל־tsh3, 16kl, .tlb, אבל בזמן הניטור המחשב נפל שוב.
- נראה שיש קשר ל־Wi-Fi: כשה־Wi-Fi כבוי המחשב יציב יותר, וכשהוא דולק הייתה נפילה אחרי כ־20 דקות.
כרטיס הרשת:
Intel(R) Wi-Fi 6E AX211 160MHz
המסקנה כרגע:
tsh3 רץ כ־Kernel Driver, הקובץ .tlb טעון ונעול, אי אפשר לשנות אותו מתוך Windows אפילו כ־SYSTEM, וגם אחרי Recovery הוא חוזר.
השאלה: האם יש עוד דרך לאתר מי מחזיר אותו? -
שלום! נראה שהשיחה הזו מעניינת אותך, אבל עדיין אין לך חשבון.
נמאס לכם לגלול בין אותם הפוסטים בכל ביקור? כשנרשמים לחשבון, תמיד תחזרו בדיוק למקום שבו הייתם קודם, ותוכלו לבחור לקבל התראות על תגובות חדשות (בין אם במייל, ובין אם בהתראת פוש). תוכלו גם לשמור סימניות ולפרגן ב-upvote לפוסטים כדי להביע הערכה לחברי קהילה אחרים.
בעזרת התרומה שלך, הפוסט הזה יכול להיות אפילו טוב יותר 💗
הרשמה התחברות { const baseUrl = "https://www.google.co.il/search?q=site:mitmachim.top"; const m = location.pathname.match(/^\/(topic|category)\/(\d+)/); const type = m ? m[1] : null; const id = m ? m[2] : null; let searchInput; function search(path = "") { const query = searchInput.value.trim(); if (query) { window.open(`${baseUrl}${path}%20${encodeURIComponent(query)}`, "_blank"); } } let buttons = {}; buttons.searchAll = { id: "bb-search-all", label: `חיפוש ${type ? "בכל הפורום" : ""}`, className: type ? "btn-secondary" : "btn-primary", callback: () => search(), }; if (type === "topic") { buttons.searchTopic = { label: "חיפוש בנושא זה", className: "btn-primary", callback: () => search(`/topic/${id}`), }; } else if (type === "category") { buttons.searchCategory = { label: "חיפוש בקטגוריה זו", className: "btn-primary", callback: () => search(`/category/${id}`), }; } buttons.cancel = { label: "ביטול", className: "btn-default", "data-bs-dismiss": "modal" }; const dialog = bootbox.dialog({ title: '<div style="text-align:center;"><img src="/assets/uploads/files/1625950269825-mt-google.png" width="400" alt="חיפוש בגוגל"></div>', message: '<input id="bb-inp" class="bootbox-input bootbox-input-text form-control" placeholder="הקלידו כדי לחפש בגוגל" autocomplete="off"/>', buttons, backdrop: true, show: true, onEscape: true }); dialog.on("shown.bs.modal", function () { searchInput = document.getElementById("bb-inp"); if (searchInput) { searchInput.focus(); searchInput.addEventListener("keydown", function (e) { if (e.key === "Enter") { e.preventDefault(); const query = this.value.trim(); if (query) { search(); dialog.modal("hide"); } } else if (e.key === "Escape") { e.preventDefault(); dialog.modal("hide"); } }); } const searchAllButton = document.getElementById("bb-search-all"); if (searchAllButton) { searchAllButton.title = "לחצו על אנטר כדי לחפש"; } }); })(); void 0;){kind=link}