JS/Kryptik.AME - Форум технической поддержки ESET NOD32

Сообщений: 21

Баллов: 10

Регистрация: 05.04.2012

Размещено 11.07.2013 21:55:04

из файла журнала : обнаруженные угрозы

Цитата
Фильтр HTTP файл _http://zoppewrrty.ru/18.js JS/Kryptik.AME троянская программа соединение прервано - изолирован Обнаружена угроза при попытке доступа в Интернет следующим приложением: C:\Program Files\Mozilla Firefox\firefox.exe.

Переодически стал срабатывать ESS на сайте _mk.ru при загрузке страниц ( не каждый раз, а примерно через 2-3 раза ). Читал на сторонних сайтах, что эта зараза больше для серверов, но опасаюсь, что это у меня что-то засело на комп. вроде сайт серьезный...Проверил комп 2 раза ( 1 раз онлайн сканером ). Ни чего нет. Есть причины для беспокойства? Или мk вирусню рассылает?

сайты с которых он что-то подгружает меняются по прошествии времени, когда срабатывает Nod :
_http://zoppewrrty.ru/18.js
_http://buuasoda.ru/9101.js
_http://nopassjja.ru/5413.js
_http://nopassjja.ru/5413.js
последние 3 ESS обозвал чуть подругому - JS/Kryptik.AKZ

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 11.07.2013 22:11:09

Сделайте лог uVS

Правильно заданный вопрос - это уже половина ответа

Сообщений: 21

Баллов: 10

Регистрация: 05.04.2012

Размещено 11.07.2013 23:40:10

лог uVS

Прикрепленные файлы

USER-9B705ABA38_2013-07-12_01-31-21.rar (313.22 КБ)

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 12.07.2013 00:05:03

Выполните следующий скрипт в uVS:
- запускаете программу еще раз, ожидаете пока закончится построения списка (убедитесь что программа извлечена из архива в отдельную папку. не нужно запускать ее из самого архива);
- копируете следующий текст из поля "Код" в буфер обмена (выделяете текст мышкой, затем щелкаете правой кнопкой и выбираете Копировать текст);

Код
;;uVS v3.80.12 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 ; Java(TM) 6 Update 26 exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216026FF} /quiet ; Java(TM) SE Development Kit 6 Update 26 exec MsiExec.exe /I{32A3A4F4-B792-11D6-A78A-00B0D0160260} /quiet ; Java DB 10.6.2.1 exec MsiExec.exe /X{73EC658D-A1C6-40CA-8E86-E05821BAACE7} /quiet deltmp delnfr delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\TEMP\131A2CBC12.SYS delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\TEMP\131F61ABB3.SYS restart

Код

;;uVS v3.80.12 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

; Java(TM) 6 Update 26
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216026FF} /quiet
; Java(TM) SE Development Kit 6 Update 26
exec MsiExec.exe /I{32A3A4F4-B792-11D6-A78A-00B0D0160260} /quiet
; Java DB 10.6.2.1
exec MsiExec.exe /X{73EC658D-A1C6-40CA-8E86-E05821BAACE7} /quiet
deltmp
delnfr
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\TEMP\131A2CBC12.SYS
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\TEMP\131F61ABB3.SYS
restart

- затем слева наверху выбираете пункт Скрипт - Выполнить скрипт находящийся в буфере обмена;
- скрипт должен автоматически появиться в этом окне. если он не появился или там находится не то что вы скопировали, то удаляете содержимое и вставляете текст скрипта правой кнопкой мыши;
- обязательно закрываете все открытые браузеры (Opera, Mozilla, IE), отключаете в антивирусе защиту (обычно правой кнопкой мыши по иконке в трее - Временно отключить защиту или т.п.) и жмете в uVS кнопку Выполнить;
- ждете окончания выполнения скрипта в программе. если будут появляться различные запросы на удаление программ, то везде нажимаем кнопки Да или Далее;
- по окончанию выполнения скрипта компьютер перезагрузится.
- после перезагрузки делаем лог Mbam как написано здесь (можно выполнить быструю проверку, а не полную). программу можно скачать отсюда. ссылку на лог выложить сюда.

Правильно заданный вопрос - это уже половина ответа

Сообщений: 21

Баллов: 10

Регистрация: 05.04.2012

Размещено 12.07.2013 01:09:45

лог Mbam ( нашел какую-то заразу и удалил )

Прикрепленные файлы

mbam-log-2013-07-12 (02-49-42).txt (2.36 КБ)

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 12.07.2013 06:27:09

если проблема решена, выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

Сообщений: 21

Баллов: 10

Регистрация: 05.04.2012

Размещено 12.07.2013 09:15:10

Попробовал, проблема осталась. Зашел на главную мк норм. потом открываю страницу с новостью и выскакивает окно о трояне JS/Kryptik.AME, который подгружается с _http://zoppewrrty.ru/18.js
На других сайтах нет у меня такого

Сообщений: 12962

Баллов: 10371

Регистрация: 16.03.2010

Размещено 12.07.2013 09:24:34

Проблема не у Вас, а на этом сайте, скорее всего скрипты закриптованы по этому такой антивируса.

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 12.07.2013 09:28:21

_mk.ru - это московский комсомолец? там поди куча рекламы, поэтому лучше резать в браузере левые скрипты с помощью NoScript и Addblock

[ Как создать образ автозапуска? ]

Сообщений: 21

Баллов: 10

Регистрация: 05.04.2012

Размещено 12.07.2013 09:45:27

да он самый комсомолец

Addblock стоит. В принципе когда ESS блокирует, то на странице ни как не отражается это. Текст и картинки как обычно, навигация по сайту тоже нормальная.
Спасибо, что помогли разобраться. Если не у меня проблемы, то шут с этим mk

[ Закрыто ] JS/Kryptik.AME , выскакивает переодически при посещении сайта