вновь explorer.exe (3348)- вероятно модифицированный win32 - Форум технической поддержки ESET NOD32

Сообщений: 8

Баллов: 4

Регистрация: 29.02.2012

Размещено 02.03.2012 12:47:11

Здравствуйте еще раз.
Вчера эта проблема была решена, но сегодня при загрузке компьютера, он выдал о каких то неисправностях и автоматически стал исправлять их. В результате после загрузки снова появилось explorer.exe (3348)- вероятно модифицированный win32.

Так же вчера после решения этой проблемы перестала работать одна программа(Holdem manager) что то произошло с базой данных этой программы.

Сообщений: 5199

Баллов: 4169

Регистрация: 12.05.2010

Размещено 02.03.2012 13:39:15

Создайте пожалуйста новый лог uvs.

ESET Technical Support

Сообщений: 8

Баллов: 4

Регистрация: 29.02.2012

Размещено 02.03.2012 14:27:27

http://rghost.ru/36805171

Сообщений: 17973

Баллов: 28756

Регистрация: 16.03.2010

Размещено 02.03.2012 14:41:10

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.0 zoo %SystemDrive%\USERS\VALERY\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\ZQKCHDKZQRG.EXE addsgn A7679B1BB9C24C720B6EE1B164C899CF4F5394F6821AD810855F929338D6FF042C7FC36D047A75DD0180841C82021A537FF78C7921D93969D121CC2F1A09159B 8 a variant of Win32/Kryptik.ABKK [NOD32] bl 80B835EE6EC086A71A2B5FD6440C8E33 152064 delall %SystemDrive%\USERS\VALERY\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\ZQKCHDKZQRG.EXE chklst delvir delref HTTP://QIP.RU delref HTTP://SEARCH.QIP.RU deltmp delnfr restart

Код

;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.0

zoo %SystemDrive%\USERS\VALERY\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\ZQKCHDKZQRG.EXE
addsgn A7679B1BB9C24C720B6EE1B164C899CF4F5394F6821AD810855F929338D6FF042C7FC36D047A75DD0180841C82021A537FF78C7921D93969D121CC2F1A09159B 8 a variant of Win32/Kryptik.ABKK [NOD32]

bl 80B835EE6EC086A71A2B5FD6440C8E33 152064
delall %SystemDrive%\USERS\VALERY\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\ZQKCHDKZQRG.EXE
chklst
delvir
delref HTTP://QIP.RU
delref HTTP://SEARCH.QIP.RU
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.
архив (например: 2011-12-31_23-59-59.rar/7z) из папки uVS отправить в почту [email protected], [email protected]
(если архив не был создан автоматически, добавить папку ZOO (если она не пуста) в архив с паролем infected )
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт

[ Как создать образ автозапуска? ]

Сообщений: 8

Баллов: 4

Регистрация: 29.02.2012

Размещено 02.03.2012 14:53:54

сообщение о вирусе не выдает. эксплорер запускается. программа Holdem manager (работает с PostgreSQL 8.4) снова перестала работать. антивирус не обновляется(ошибка распаковки файла)

Сообщений: 17973

Баллов: 28756

Регистрация: 16.03.2010

Размещено 02.03.2012 15:17:16

читаем сообщение до конца.

Цитата
и далее, выполните сканирование в малваребайт

Изменено: santy - 02.03.2012 15:17:57

[ Как создать образ автозапуска? ]

Сообщений: 8

Баллов: 4

Регистрация: 29.02.2012

Размещено 02.03.2012 15:20:08

выполнил. вот отчет http://rghost.ru/36805869. найденные им файлы удалил. а после уже отписался о проблемах

Изменено: vbn - 02.03.2012 15:21:01

Сообщений: 17973

Баллов: 28756

Регистрация: 16.03.2010

Размещено 02.03.2012 15:23:24

лог чистый,
по проблемам:
пробуйте переустановить программу.
по обновлению: зайти в настройки обновления (F5), очистить кэш обновления, и повторить обновление баз
----------
далее,
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

[ Закрыто ] вновь explorer.exe (3348)- вероятно модифицированный win32