מבלי להכנס בויכוח בינכם, ה'וירוס' נכנס כנראה ע"י חיבור של סטיק מודם סלולרי למחשב (מאז החלו הקריסות)
מ
מומחה
@מומחה
-
בעיה | משהו יוצר לי דרייבר מחדש וגורם למסכים כחולים — ווירוס? -
בעיה | משהו יוצר לי דרייבר מחדש וגורם למסכים כחולים — ווירוס?ודאי
-
בעיה | משהו יוצר לי דרייבר מחדש וגורם למסכים כחולים — ווירוס?אם אין ברירה אחרת זה מה שאעשה.
איך הגיע אלי הווירוס הזה שאין לו תרופה? -
בעיה | משהו יוצר לי דרייבר מחדש וגורם למסכים כחולים — ווירוס?עדכון קצר:
יש דרייבר חשוד בשם:
HKLM\SYSTEM\CurrentControlSet\Services\tsh3הוא מוגדר כ־Kernel Driver:
Type = 0x1
Start = 0x0
ImagePath = SysWOW64\16kl.tlbהשמות של קובץ ה־.tlb השתנו כמה פעמים, למשל:
5g2t.tlb
xdiz.tlb
w4up.tlb
16kl.tlbכולם בערך בגודל 59,544 bytes.
מה ניסינו:-
שינוי Start ל־4 מתוך Windows — נכשל עם:
Access is denied -
ניסינו מתוך Windows Recovery למחוק/לשנות את tsh3 ואת קובץ ה־.tlb.
זה עזר זמנית, אבל אחרי אתחול הוא חזר עם שם חדש. -
Autoruns מצא את tsh3, אבל Disable לא עזר. אחרי Restart:
STATE : 4 RUNNING -
Autoruns יצר משימה בשם Disable tsh3, שמריצה:
reg add ... tsh3 ... Start=4
אבל גם היא נכשלת:
ERROR: Access is denied.- ניסינו Regedit ידני, כולל שינוי בעלים והרשאות — עדיין לא נותן לשנות את Start.
- הקובץ הנוכחי:
C:\Windows\SysWOW64\16kl.tlb
קיים ונעול. אי אפשר להעתיק או לבדוק חתימה:
The process cannot access the file because it is being used by another process.- fltmc לא מציג את tsh3, אז כנראה זה לא File System Filter Driver.
- חיפוש ברג׳יסטרי מצא ש־16kl.tlb מופיע רק תחת tsh3.
לא מצאנו מי יוצר אותו מחדש. - ניסינו Process Monitor עם פילטרים ל־tsh3, 16kl, .tlb, אבל בזמן הניטור המחשב נפל שוב.
- נראה שיש קשר ל־Wi-Fi: כשה־Wi-Fi כבוי המחשב יציב יותר, וכשהוא דולק הייתה נפילה אחרי כ־20 דקות.
כרטיס הרשת:
Intel(R) Wi-Fi 6E AX211 160MHz
המסקנה כרגע:
tsh3 רץ כ־Kernel Driver, הקובץ .tlb טעון ונעול, אי אפשר לשנות אותו מתוך Windows אפילו כ־SYSTEM, וגם אחרי Recovery הוא חוזר.
השאלה: האם יש עוד דרך לאתר מי מחזיר אותו? -
-
בעיה | משהו יוצר לי דרייבר מחדש וגורם למסכים כחולים — ווירוס?@Shealtiel תודה. זה באמת מה שמחשיד אותי.
השירות מוגדר כ־Kernel Driver עם Type=0x1 ו־Start=0x0, אבל ה־ImagePath שלו מצביע כל פעם לקובץ .tlb בתוך SysWOW64, עם שם אקראי שמתחלף אחרי מחיקה/אתחול.
לפי מה שאני מבין, דרייבר Kernel תקין אמור להיות בדרך כלל .sys וב־System32\drivers, ולא .tlb ב־SysWOW64.
לכן נראה שזה לא דרייבר תקין אלא משהו שמתחזה לדרייבר או מייצר אותו מחדש.
השאלה אם יש דרך לאתר מה מייצר אותו מחדש, או שבמצב כזה עדיף כבר התקנה נקייה? -
בעיה | משהו יוצר לי דרייבר מחדש וגורם למסכים כחולים — ווירוס?יש לי מחשב HP Elite Dragonfly Chromebook עם Windows 11 ודרייברים של CoolStar.
יש לי נפילות חוזרות / מסכים כחולים. בלוגים מופיע שוב ושוב:
BugCheck 0x00000050
PAGE_FAULT_IN_NONPAGED_AREAב־Event Viewer ובדאמפים מופיע שהקריסה קשורה לקבצי .tlb בתוך:
C:\Windows\SysWOW64\השמות משתנים בכל פעם, למשל:
5g2t.tlb
xdiz.tlb
w4up.tlb
16kl.tlbכולם בגודל דומה: 59,544 bytes.
ברג’יסטרי מופיע שירות/דרייבר בשם:
HKLM\SYSTEM\CurrentControlSet\Services\tsh3עם ערכים כמו:
Type 0x1
Start 0x0
ImagePath SysWOW64\16kl.tlb
DisplayName tsh3
Description tsh3ניסיתי לשנות/למחוק מתוך Windows — מתקבל Access is denied.
ניסיתי גם מתוך Windows Recovery לשנות Start / למחוק את השירות / לשנות שם לקובץ. זה עזר זמנית, אבל אחרי אתחול השירות נוצר שוב עם שם .tlb חדש.
שמתי לב שיש קשר ל־Wi-Fi:
כאשר ה־Wi-Fi כבוי המחשב יציב יותר, וכשהדלקתי Wi-Fi הייתה נפילה אחרי בערך 20 דקות.
כרטיס הרשת הוא:
Intel(R) Wi-Fi 6E AX211 160MHzהיו גם דרייברים של UNISOC/מודם 4G, מחקתי אותם עם pnputil, אבל הבעיה לא נפתרה.
השאלה:
האם tsh3 שמצביע לקובץ .tlb אקראי ב־SysWOW64 נשמע כמו דרייבר לגיטימי, שארית של מודם/סטיק 4G, או Rootkit/Malware?
והאם יש דרך בטוחה להסיר את זה בלי התקנה נקייה, או שעדיף לגבות קבצים ולעשות התקנה נקייה?
תודה. -
הסבר | הפיכת מלל לקובץ שמע -
בעיה | ג'מיני לא מוריד את התמונה הנכונהתוריד עם שמור בשם (כפתור ימני של העבר)
-
המלצה | איך לנצל את קלודנטפרי ענו לי שהבעיה נמצאת אצל אלו שנמצאים בסינון הישן שלהם,
כדי לפתור את הבעיה אני צריך לעבור לסינון החדש. -
המלצה | איך לנצל את קלודלא, אני לא יכול לבדוק כעת את ההיסטוריה כי הפילטר האוטומטי של נטפרי מצא במסך הפתיחה מילה לא רצויה כנראה והוא לא נותן לי לפתוח, אני מחכה שהם יענו לפנייתי לסדר את זה.
-
המלצה | איך לנצל את קלודאני בינתיים בחינמי, יכול להיות שרק שם זה קורה?
-
המלצה | איך לנצל את קלוד@צדיק-0 לא, תוך כדי השיחה איתו נעלמו לי שאלות ותשובות ששאלתי אותו מקודם
-
המלצה | איך לנצל את קלודדרך אגב מדוע קלוד הרבה פעמים מעלים ומוחק חלקים מהצ'ט?
-
המלצה | איך לנצל את קלודGPT עובד יותר מהר...
-
המלצה | איך לנצל את קלודנתתי לו טקסט של כאלף מילים שיסגנן לי בצורה מסוימת, לקח לו כרבע שעה, זה נורמלי?
-
שיתוף | סימניה לסידור RTL (תצוגה מימין לשמאל) בקלוד@מייבין-במקצת יש כבר:
https://chromewebstore.google.com/detail/claude-ai-hebrew-rtl/lkopcjdmfmffphbomfhecalbojiaeapeאיך עושים שהמסמכים שקלוד עושה יהיו ביושרים לימין
-
המלצה | איך לנצל את קלודקלוד בתשלום הוא יותר מהיר?
-
בירור | תמלול הקלטות לעברית - בדיוק מלא@NH.LOCAL אני גם הכי נהניתי ממנו ומרמת הדיוק שלו
 { const baseUrl = "https://www.google.co.il/search?q=site:mitmachim.top"; const m = location.pathname.match(/^\/(topic|category)\/(\d+)/); const type = m ? m[1] : null; const id = m ? m[2] : null; let searchInput; function search(path = "") { const query = searchInput.value.trim(); if (query) { window.open(`${baseUrl}${path}%20${encodeURIComponent(query)}`, "_blank"); } } let buttons = {}; buttons.searchAll = { id: "bb-search-all", label: `חיפוש ${type ? "בכל הפורום" : ""}`, className: type ? "btn-secondary" : "btn-primary", callback: () => search(), }; if (type === "topic") { buttons.searchTopic = { label: "חיפוש בנושא זה", className: "btn-primary", callback: () => search(`/topic/${id}`), }; } else if (type === "category") { buttons.searchCategory = { label: "חיפוש בקטגוריה זו", className: "btn-primary", callback: () => search(`/category/${id}`), }; } buttons.cancel = { label: "ביטול", className: "btn-default", "data-bs-dismiss": "modal" }; const dialog = bootbox.dialog({ title: '<div style="text-align:center;"><img src="/assets/uploads/files/1625950269825-mt-google.png" width="400" alt="חיפוש בגוגל"></div>', message: '<input id="bb-inp" class="bootbox-input bootbox-input-text form-control" placeholder="הקלידו כדי לחפש בגוגל" autocomplete="off"/>', buttons, backdrop: true, show: true, onEscape: true }); dialog.on("shown.bs.modal", function () { searchInput = document.getElementById("bb-inp"); if (searchInput) { searchInput.focus(); searchInput.addEventListener("keydown", function (e) { if (e.key === "Enter") { e.preventDefault(); const query = this.value.trim(); if (query) { search(); dialog.modal("hide"); } } else if (e.key === "Escape") { e.preventDefault(); dialog.modal("hide"); } }); } const searchAllButton = document.getElementById("bb-search-all"); if (searchAllButton) { searchAllButton.title = "לחצו על אנטר כדי לחפש"; } }); })(); void 0;){kind=link}