Vgk sys что это за файл и как

Обновлено: 02.07.2024

Привет. Со вчерашнего дня вдруг система стала вылетать в Синий экран смерти с ошибками. 16.09 было установлено накопительное обновление.

Возможно оно влияет на ошибки?

Код остановки и что вызвало проблему может быть разное но вот пример того что я сфотографировал.

Я делал проверку файлов системы через командную строку. Ошибок не было.

Проверку ЖД через интерфейс и через команду в командной строке. Ошибок не было.

Проверку памяти через программу из раздела Администрирование. Ошибок не найдено.

Обновление видео драйвера до последней версии с сайта Nvidia через удаление старого и чистую установку нового.

Полная проверка системы на вирусы с помощью Касперский антивирус.

До вчерашнего дня проблем не было подобных вообще.

Разместите пожалуйста в OneDrive последние пять дампов памяти, записанных при сбоях, предоставьте к ним доступ и опубликуйте здесь на них ссылку, чтобы мы могли попытаться проанализировать происходящее на Вашей машине.

Восстановление не затронет личные файлы, но приложения, драйверы и обновления, установленные после создания точки восстановления, будут удалены.
В поле поиска на панели задач введите панель управления и выберите соответствующий пункт из списка результатов
В поле поиска на панели управления введите восстановление.
Выберите "Восстановление" - > "Запуск восстановления системы".
В окне "Восстановление системных файлов и параметров" нажмите кнопку "Далее".
Выберите точку восстановления из списка результатов и нажмите Поиск затрагиваемых программ.

Примечания:
Если нужная точка восстановления не отображается, установите флажок Показать другие точки восстановления, чтобы увидеть больше точек восстановления.

Вы увидите список элементов, которые будут удалены в случае удаления точки восстановления. Если вас все устраивает, нажмите "Закрыть" - > "Далее" - > "Готово".

К сожалению, это не помогло.

Благодарим за отзыв, он поможет улучшить наш сайт.

Благодарим за отзыв.

В ответ на запись пользователя Gennadij Chernikov от 19 сентября, 2021

Вот 5 файлов из папки minidump.

К сожалению, это не помогло.

Благодарим за отзыв, он поможет улучшить наш сайт.

Благодарим за отзыв.

В ответ на запись пользователя GhostGhost888 от 19 сентября, 2021

Вот на всякий случай ссылки на OneDrive.

К сожалению, это не помогло.

Благодарим за отзыв, он поможет улучшить наш сайт.

Благодарим за отзыв.

Вот результаты анализа:

On Sun 19.09.2021 22:02:45 your computer crashed or a problem was reported
crash dump file: C:\TMP\DUMP\091921-12937-01.dmp
This was probably caused by the following module: ntoskrnl.exe (nt+0x3F71C0)
Bugcheck code: 0x3B (0xC0000005, 0xFFFFF80752B26EC9, 0xFFFFAB804B359920, 0x0)
Error: SYSTEM_SERVICE_EXCEPTION
file path: C:\WINDOWS\system32\ntoskrnl.exe
product: Microsoft:registered: Windows:registered: Operating System
company: Microsoft Corporation
description: NT Kernel & System
Bug check description: This indicates that an exception happened while executing a routine that transitions from non-privileged code to privileged code.
This appears to be a typical software driver bug and is not likely to be caused by a hardware problem.
The crash took place in the Windows kernel. Possibly this problem is caused by another driver that cannot be identified at this time.

On Sun 19.09.2021 13:55:40 your computer crashed or a problem was reported
crash dump file: C:\TMP\DUMP\091921-13687-01.dmp
This was probably caused by the following module: bddci.sys (0xFFFFF8050CD7EE73)
Bugcheck code: 0x50 (0xFFFFF8040CD9BE18, 0x0, 0xFFFFF8050CD7EE73, 0x2)
Error: PAGE_FAULT_IN_NONPAGED_AREA
Bug check description: This indicates that invalid system memory has been referenced.
This appears to be a typical software driver bug and is not likely to be caused by a hardware problem.
A third party driver was identified as the probable root cause of this system error. It is suggested you look for an update for the following driver: bddci.sys .
Google query: bddci.sys PAGE_FAULT_IN_NONPAGED_AREA

On Sat 18.09.2021 21:52:41 your computer crashed or a problem was reported
crash dump file: C:\TMP\DUMP\091821-9437-01.dmp
This was probably caused by the following module: bddci.sys (0xFFFFF802572CE7E1)
Bugcheck code: 0xD1 (0xFFFFF8015730C538, 0x2, 0x0, 0xFFFFF802572CE7E1)
Error: DRIVER_IRQL_NOT_LESS_OR_EQUAL
Bug check description: This indicates that a kernel-mode driver attempted to access pageable memory at a process IRQL that was too high.
This bug check belongs to the crash dump test that you have performed with WhoCrashed or other software. It means that a crash dump file was properly written out.
A third party driver was identified as the probable root cause of this system error. It is suggested you look for an update for the following driver: bddci.sys .
Google query: bddci.sys DRIVER_IRQL_NOT_LESS_OR_EQUAL

On Sat 18.09.2021 20:21:06 your computer crashed or a problem was reported
crash dump file: C:\TMP\DUMP\091821-11609-01.dmp
This was probably caused by the following module: ntoskrnl.exe (nt+0x3F71C0)
Bugcheck code: 0x3B (0xC0000005, 0xFFFFF8043D926EC9, 0xFFFFAB8182063920, 0x0)
Error: SYSTEM_SERVICE_EXCEPTION
file path: C:\WINDOWS\system32\ntoskrnl.exe
product: Microsoft:registered: Windows:registered: Operating System
company: Microsoft Corporation
description: NT Kernel & System
Bug check description: This indicates that an exception happened while executing a routine that transitions from non-privileged code to privileged code.
This appears to be a typical software driver bug and is not likely to be caused by a hardware problem.
The crash took place in the Windows kernel. Possibly this problem is caused by another driver that cannot be identified at this time.

On Sat 18.09.2021 19:57:03 your computer crashed or a problem was reported
crash dump file: C:\TMP\DUMP\091821-8796-01.dmp
This was probably caused by the following module: amdppm.sys (amdppm+0x2ec7)
Bugcheck code: 0x133 (0x1, 0x1E00, 0xFFFFF80011EFA320, 0x0)
Error: DPC_WATCHDOG_VIOLATION
file path: C:\WINDOWS\system32\drivers\amdppm.sys
product: Microsoft:registered: Windows:registered: Operating System
company: Microsoft Corporation
description: Processor Device Driver
Bug check description: The DPC watchdog detected a prolonged run time at an IRQL of DISPATCH_LEVEL or above. This could be caused by either a non-responding driver or non-responding hardware. This bug check can also occur because of overheated CPUs (thermal issue).
The crash took place in a Microsoft module. The description of the module may give a hint about a non responding device in the system.

Все дампы указывают на возможные проблемы с драйверами.
Судя по тому, что в большинстве дампов есть указание на возможные сбои в библиотеке bddci.sys и других библиотеках имеющих отношение к AMD, возможно, проблемы с драйверами материнской платы.

Возможно, требуется переустановить, или обновить драйвера материнской платы, с которыми возникают проблемы, до актуальной версии.
Попробуйте обратится с вопросом о путях решения возникшей у Вас проблемы в техподдержку производителя Вашей материнской платы. Потому, что никто, кроме производителя, разрабатывать драйвера для выпускаемых им устройств не станет. Это исключительно прерогатива производителя. Microsoft не разрабатывает драйвера для устройств сторонних производителей.

Содержание:

Мы провели много исследований этого движения и обнаружили удивительные факты, которые поразили нас. Мы уверены, что вы хотите того же, и именно поэтому вы здесь. Тогда приступим.

Почему вы должны удалить Valorant?

Игроки Valorant должны немедленно удалить игру, так как античит-система, обнаруженная в игре, является вредоносным ПО и, в другом смысле, представляет собой инструмент проникновения, который незаконно передает конфиденциальные данные в Китай.

Разве это не шокирует? Мы даже были удивлены, услышав это с первого раза, но наши мысли прояснились на эту тему, когда мы узнали о Riot Games.

Riot Games принадлежит чрезвычайно популярной компании Epic Games, разработчикам PUBG. Epic Games - китайская транснациональная корпорация, которая несколько раз обвинялась в проблемах с передачей конфиденциальных данных. Кроме того, Epic Games также вызывает большие споры из-за своей истории предполагаемых утечек конфиденциальных данных.

Как мы это понимаем?

Основным свидетельством того, что пользователям необходимо понимать эту вредоносную программу Vanguard, является то, что она сохраняется даже после выключения игры. Кроме того, Vanguard активируется только при включении компьютера.

Наши общие инстинкты подсказывают нам, что хорошего в античит-системе даже после выключения игры? Простой ответ - нет, и при выключении игры система детектора читов совершенно бесполезна.

Не только это, мы видели твиты из различных официальных источников, в которых говорилось, что проблема присутствует не только в наших системах, но и в других игроках. С первого дня выпуска у Valorant было несколько ошибок, которые даже после закрытия игры приводили к замедлению работы системы. Так что вы понимаете? Это античитерское программное обеспечение занято сбором всех данных, которые отправляются его людям в Китае, Epic Games. Ниже мы перечислили твит, который еще раз подтверждает наши предположения.

Доблестный античит очень агрессивен. Это требует, чтобы вы установили код в ядро операционной системы вашего ПК. Вот почему для установки Valorant требуется перезагрузка.

- Grummz (@Grummz) 13 апреля 2020 г.

Как удалить игру?

Удалить Valorant и Vanguard из вашей системы довольно просто. Однако некоторые игроки сталкиваются с проблемами при попытке полностью удалить последнее. Если вы один из них, не волнуйтесь. Мы рассмотрим эту тему чуть ниже.

Ниже приведены шаги по удалению Valorant и Vanguard с вашего ПК:

Почему я не могу удалить файл "vgk.sys"?

Иногда игроки не могут должным образом удалить Valorant и / или Vanguard из своей системы. Эта проблема наблюдалась, когда игра находилась на стадии бета-тестирования. В результате разработчики Riot Games изменили Vanguard, чтобы сделать его более доступным для пользователей. К сожалению, в зависимости от метода удаления программ, некоторые оставшиеся файлы могут не удаляться.

Такое случается в тех случаях когда при установке системы диск был разбит на разделы(обычно диск C: под систему и диск D: "под документы") и системному всегда достается самый малый объем(Хорошо если 100 Гбайт!).

Споры о том "надо делить жесткий диск на разделы или оставить один но большой" ведутся очень давно и ещё нескоро закончатся но сей материал не об этом.

Так вот - через определенное время использования компьютера (которое зависит от многих параметров - количества пользователей, их потребностей и т.д. ) пользователь видит картину находящуюся выше по течению.

После чего открывает " Мой Компьютер " дабы убедиться что да, системный диск переполнен и нужно что то делать.

Нехватка дискового пространства всегда нежелательна и неприятна а в случае системного раздела - ещё и опасна, есть большая вероятность повредить ОС и вывести её из строя.

В данной статье я буду разбирать ситуацию и её разрешение на примере ОС Windows 7. Но данное решение актуально и для Windows 10.

Видно что на диске C: ситуация критическая и нужно что то делать. Видно что на диске C: ситуация критическая и нужно что то делать.

Вот так выглядит корень диска C: при настройках по умолчанию.

По умолчанию в корневом каталоге системного диска (Обычно это диск C:) всегда находятся две системных файла:

Hiberfil.sys - файл куда записывается содержание оперативной памяти перед уходом компьютера в гибернацию и откуда это содержимое загружается обратно в ОЗУ при выходе из этого режима.

Примечательно что в Windows 7 этот файл по умолчанию имеет размер равный объему ОЗУ в то время как в Windows 10 этот файл может быть меньше - видимо, учитывается только тот объем ОЗУ который используется.

Pagefile.sys - Файл подкачки, куда ОС выгружает данные приложений не проявляющие активность определенное время для освобождения ОЗУ и ускорения работы активных приложений. Его размер определяет либо пользователь либо сама система - согласно настройке.

Итак, давайте посмотрим - какой размер занимают эти два файла на системном диске.

Настройка отображения в проводнике скрытых и системных файлов

Для этого нужно включить режимы отображения системных и скрытых файлов.

Для чего - открываем любую папку(Проводник, Мой Компьютер или любую другую) и нажимаем клавишу Alt. Перед вами появится скрытое меню содержащее пункт " Сервис ". Далее выбираем " Сервис " - " Параметры папок "

В одной крупной финансовой организации произошел неприятный инцидент: злоумышленники проникли в сеть и «пылесосили» всю критически важную информацию — копировали, а затем отправляли данные на свой удаленный ресурс. Криминалистов Group-IB призвали на помощь лишь спустя полгода после описываемых событий…. К тому времени часть рабочих станций и серверов была уже выведена из работы, а следы действий злоумышленников уничтожены из-за использования ими специализированного ПО и из-за неправильного логирования. Однако на одном из серверов, участвовавших в инциденте, был обнаружен файл подкачки Windows, из которого эксперты получили критически важную информацию об инциденте.

В этой статье Павел Зевахин, специалист Лаборатории компьютерной криминалистики Group-IB, рассказывает о том, какие данные можно обнаружить в ходе криминалистического исследования в файлах подкачки Windows.

Часть 1. Что скрывают pagefile.sys

Итак, pagefile.sys — это файл подкачки операционной системы Windows. При нехватке оперативной памяти Windows резервирует определенное место на жестком диске и использует его для увеличения своих возможностей. Иными словами, выгружает часть данных из оперативной памяти в файл pagefile.sys. Очень часто необходимые для исследователя сведения остаются только в файле подкачки.

Выгрузка в файл подкачки происходит постранично, блоками по 4 Кб, поэтому данные могут занимать как непрерывную область в файле подкачки, так и находиться в разных его частях. Это означает, что в большинстве случаев информация, обнаруженная в этом файле, будет извлекаться с потерей целостности.

Размер pagefile.sys в файловой системе по умолчанию задается операционной системой, но пользователь всегда может отключить файл подкачки или изменить его максимальный размер. Стандартное расположение файла — в корне системного раздела, но он может находиться и на любом другом логическом диске — в зависимости от того, куда пользователь его поместил. Нужно помнить этот факт.

Прежде чем мы займемся извлечением pagefile.sys, надо понять, что это за файл с точки зрения файловой системы. Для этого воспользуемся ПО AccessData FTK Imager:

Hidden	True	Owner SID	S-1-5-32-544
System	True	Owner Name	Администраторы
Read Only	False	Group SID	S-1-5-18
Archive	True	Group Name	SYSTEM

Видно, что это скрытый системный файл, который так просто не скопировать.

Как тогда получить этот файл? Сделать это можно несколькими способами:

На изображении ниже можно увидеть, как меняется объем обнаруженных данных в текущем файле подкачки (на изображении — крайний левый) и файлах подкачки, которые были извлечены с этого же накопителя из теневых копий, созданных в разное время.

Важный момент, о котором стоит помнить: начиная со сборки 10525 Windows 10 используется компрессия файла подкачки. При нехватке памяти система сжимает неиспользуемые ресурсы памяти в каждом процессе, позволяя большему количеству приложений оставаться активными одновременно. Для декомпрессии такого файла необходимо использовать специализированное ПО.

Например, можно использовать для декомпрессии утилиту winmem_decompress Максима Суханова:

Это будет полезным, когда поиск в изначальном файле подкачки результатов не дал или же необходимые данные находились в сжатом виде.

Итак, когда файл pagefile.sys у нас в руках, можно приступать к его исследованию. И тут надо выделить две ситуации: первая — когда мы знаем, что искать, и вторая — когда не знаем. В первом случае это могут быть фрагменты файлов, следы работы того или иного ПО, какая-то пользовательская активность. Для такого поиска обычно используется шестнадцатеричный редактор X-Ways WinHEX (или любой другой). Во втором случае придется полагаться на специализированное ПО, например, MAGNET AXIOM, Belkasoft Evidence Center, утилиту strings (ее можно считать основной и наиболее часто используемой), ПО Photorec (ПО для восстановления, использующее сигнатурный метод), в некоторых случаях применять yara-правила (при условии настройки сканирования файлов большого размера) — или же просто просматривать файл вручную.

А что можно найти в файле pagefile.sys, и почему мы делаем акцент на файле подкачки? Все просто: это данные, частично выгруженные из оперативной памяти, то есть процессы, файлы и прочие артефакты — то, что было активно и функционировало в ОС. Это может быть часть интернет-истории и IP-адреса, информация о запуске каких-то файлов или же сами файлы, фрагменты изображений и текстов, сведения о сетевых запросах функционировавшего ранее ПО, следы работы вредоносного ПО в виде журналов нажатых клавиш, системные файлы и журналы ОС и много всего другого.

Идем в поля

Пора переходить непосредственно к реальным делам и исследованиям. Итак, что полезного можно найти в файле подкачки Windows с точки зрения цифровой криминалистики?

В одном из кейсов исследовался образ накопителя, зараженного разным вредоносным ПО, при помощи которого злоумышленники похитили деньги со счета организации.

Чтобы дать полный ответ, что произошло и как, криминалисту необходимо установить начальную точку заражения, используемый злоумышленниками инструментарий и последовательность действий. В ходе исследования удалось найти не все следы функционирования вредоносного ПО. И вот тут был проанализирован pagefile.sys. Как мы уже знаем, там можно найти страницы из памяти процессов, выгруженные из оперативной памяти в файл подкачки, которые иногда можно восстановить, например, при помощи ПО Photorec сигнатурным методом, как и было сделано в данном кейсе.

При этом нужно отметить следующее: так как в файле подкачки лежат уже выгруженные из оперативной памяти процессы (файлы), то их адресация будет отличаться от адресации оригинальных файлов. К тому же они могут быть сильно фрагментированы, поэтому запустить такой исполняемый файл зачастую нельзя, да и все другие файлы, как правило, будут иметь повреждения внутренней структуры из-за фрагментации, ведь сигнатурное восстановление не может само найти все фрагменты файла и расставить их в правильном порядке.

Выше представлен пример файлов (Photorec присвоил файлам имена, исходя из смещения относительно начала файла подкачки), выгруженных в ходе проведения этого исследования. Мы видим, что это исполняемые, графические, текстовые и иные файлы. Дальше все просто: анализируем их, исходя из необходимых критериев и задач.

В конкретном случае из файла подкачки были восстановлены dll-файлы, в которых есть вредоносный код. Ниже приведен пример их детектов на VirusTotal (поиск осуществлялся по контрольной сумме файлов):

В ходе анализа был установлен адрес удаленного сервера, с которым могли взаимодействовать эти файлы. При помощи шестнадцатеричного редактора X-Ways WinHEX в исследуемом pagefile.sys обнаружены строки, содержащие адреса удаленного сервера. Это говорит о том, что обнаруженные файлы функционировали в ОС и активно взаимодействовали со своим удаленным сервером. А вот и детекты сервиса VirusTotal за декабрь 2018 года:

Таким образом, в данном кейсе благодаря обнаруженным в pagefile.sys сведениям мы установили всю цепочку заражения.

А что еще?

Существуют порой уникальные случаи, когда в файле подкачки помимо иных следов можно найти закодированные в base64 снимки экрана. Например, такие при отправке создает банковский троян Buhtrap.

В конкретном случае начало файла было следующим: /9j/4AAQSkZJRgABAQEAYABgAAD/. Это заголовок jpeg-файла, закодированный в base64 (представлена часть изображения):

Вышеуказанный фрагмент скопировали, декодировали и добавили к нему расширение jpg. Нам повезло, и обнаруженный скриншот содержал полный снимок активного рабочего стола бухгалтерского компьютера с открытым ПО «1С: Бухгалтерия», на котором отображался финансовый баланс предприятия и прочие важные данные. Другие обнаруженные закодированные изображения из-за особенности хранения информации в файле подкачки были неполными (битыми).

Другой пример. В ходе одного из инцидентов обнаружены следы фреймворка Cobalt Strike (характерные строки в файле подкачки — SMB mode, status_448, ReflectiveLoader):

И впоследствии можно попытаться выгрузить модули. На изображении выше это keylogger.dll и screenshot.dll, но могут быть и другие.

sekurlsa::logonPasswords — извлечение логинов и паролей учетной записи
token::elevate — повышение прав доступа до SYSTEM или поиск токена администратора домена
lsadump::sam — получение SysKey для расшифровки записей из файла реестра SAM
log Result.txt — файл, куда записываются результаты работы ПО (не забываем поискать этот файл в файловой системе):

На самом деле довольно часто можно встретить примеры POST-запросов вредоносного ПО к своим управляющим серверам, а также ответы этих серверов на запросы. Ниже приведены такие случаи на примере взаимодействия ПО Buhtrap со своим управляющим сервером:

Теперь вспомним про кейс, с которого мы начинали этот пост. В крупной организации с множеством серверов и рабочих станций произошел инцидент, в ходе которого злоумышленники проникли в сеть, завладели учетными данными одного из администраторов контроллера домена и далее перемещались по сети, используя легитимное ПО. Они копировали критически важную информацию, а затем отправляли эти данные на удаленный ресурс. На момент реагирования прошло более полугода, часть рабочих станций и серверов уже были выведены из работы, а следы действий злоумышленников уничтожены «благодаря» использования ими специализированного ПО и из-за неправильного логирования.

В процессе реагирования мы вышли на сервер с ОС Windows Server 2012, участвовавший в инциденте. Файлы системных журналов уже не один раз перезаписаны, а свободное дисковое пространство затерто. Но там был файл подкачки! Благодаря долгой работе сервера без перезагрузки и большому объему файла подкачки в нем сохранились следы запуска ПО злоумышленников и скриптов, которые на момент исследования уже отсутствовали в файловой системе без возможности восстановления. Сохранились и сведения о каталогах и файлах (пути и имена), которые создавались, копировались и впоследствии удалялись злоумышленниками, IP-адреса рабочих станций организации, откуда копировались данные, и прочая важная информация.

Что интересно, автоматизированный анализ при помощи различного криминалистического ПО полных результатов не дал, каких-то определенных критериев поиска не было, поэтому специалисты прибегли к ручному анализу файла подкачки, используя шестнадцатеричный редактор X-Ways WinHEX.

Ниже несколько примеров того, что обнаружили специалисты:

Сведения об использовании утилит pcsp.exe и ADExplorer.exe (присутствуют и даты, и пути).

Дальше — сведения об использовании vbs-скрипта (на изображении — начало и конец).
Примечательно, что указаны учетные данные (логин и пароль) одного из администраторов контроллера домена, которые ранее были скомпрометированы:

В результате почти вся критически важная информация о произошедшем инциденте была обнаружена именно в файле подкачки одного из серверов. Установлен инструментарий злоумышленников и часть их действий в сети организации.

Ну и в завершение, конечно же, стоит упомянуть про остальные артефакты, такие как данные о посещении интернет-сайтов (иногда можно обнаружить сведения об использовании электронных почтовых ящиков), сведения о файлах и каталогах:

Можно обнаружить и такую информацию, как имя компьютера и серийный номер тома, где располагался файл подкачки:

А также информацию из файлов Prefetch и, конечно же, системные журналы Windows.

Читайте также: