Размещено 28.10.2020 15:40:14
Спасибо за помощь! Антивирус теперь работает штатно.
Благодарю за ответ. Выполнил то, что вы указали. Странно, что после обновления до последней верии Антивируса возникла проблема с запуском службы.
Дорогие участники форума!
Наш форум переведен в режим работы "только для чтения", публикация новых тем и сообщений недоступна. Мы искренне благодарны вам за то, что были с нами, но пришло время двигаться дальше. После официального ухода компании ESET с российского рынка мы приступили к разработке новых продуктов вместе с новыми партнёрами. Приглашаем вас присоединиться к нашему новому форуму PRO32.
Мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.
Купить и продлить лицензии ESET на нашем сайте больше нельзя.
Предлагаем вам попробовать новые продукты компании PRO32.
PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств. Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.
[ Закрыто] Вирусы мешали установке ESET Antivirus
[ Закрыто] Вирусы мешали установке ESET Antivirus
[ Закрыто] Вирусы мешали установке ESET Antivirus
Размещено 28.10.2020 10:32:18
Нужно было поставить антивирус на компьютер. Ранее там был только "Защитник Windows".
С помощью CureIT удалось избавиться от активной зловредной деятельности, однако остались хвосты в системе. В частности, при установки ESET Antivirus выдало ошибку MSI 1303. Почитав ваш форум посмотрел содержимое папок Program Files, Program Files(x86) и ProgramData. Там были созданы папки по названию антивирусов различных компаний. Удалив их, Eset установился. Теперь хотелось бы убедиться, что ничего не осталось в системе. Помогите, пожалуйста.
Образ и скриншот CureIT приложил.
С помощью CureIT удалось избавиться от активной зловредной деятельности, однако остались хвосты в системе. В частности, при установки ESET Antivirus выдало ошибку MSI 1303. Почитав ваш форум посмотрел содержимое папок Program Files, Program Files(x86) и ProgramData. Там были созданы папки по названию антивирусов различных компаний. Удалив их, Eset установился. Теперь хотелось бы убедиться, что ничего не осталось в системе. Помогите, пожалуйста.
Образ и скриншот CureIT приложил.
файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt
Размещено 28.10.2016 09:37:02
santy,
1) привычка из других форумов.
2) со стороны да. Выглядит всё запутанно.
3) Да, но как вижу, скрипт вычищает из автозагрузки системы подгрузку вирусов из сети. Вручную это лучше не делать, как я понял.
4) ОГромное спасибо!
5) Вот по последнему - есть ли какие хвосты?
6) понял..
1) привычка из других форумов.
2) со стороны да. Выглядит всё запутанно.
3) Да, но как вижу, скрипт вычищает из автозагрузки системы подгрузку вирусов из сети. Вручную это лучше не делать, как я понял.
4) ОГромное спасибо!
5) Вот по последнему - есть ли какие хвосты?
6) понял..
файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt
Размещено 27.10.2016 20:10:57
| Цитата | ||
|---|---|---|
santy написал:
правильно? |
| Цитата | ||
|---|---|---|
| santy написал: судя по второму образу этот файлик на месте.
|
Второй образ автозапуска я делал до того, как убрал csrss.
И те два файла я в архивах RAR на флешке на рабочем компе антивирусом ESET со свежими базами проверил - детект есть.
-----
Не стал умничать...
По времени первый образ до скрипта. Второй - после. Скрипт выполнил самый последний только последние две команды местами поменял. ZOO*.7z файл есть Отправил на оба, указанных вами, почтовых ящика.
файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt
Размещено 27.10.2016 17:33:47
| Цитата |
|---|
| santy написал: 1. по теневым копиям. как проверить. используйте shadowExplorer но прежде чем восстанвить что-то из теневых копий (если они сохранились), надо точно знать, что в системе нет уже активного шифратора. поэтому. 2. добавьте лог выполнения скрипта uVS. файл дата_времяlog.txt + добавьте новый образ автозапуска. |
2. У меня сомнение в чистоте двух файлов.
1) C:\users\ДАНИЛИНА.INCRGP\APPDATA\ROAMING\roamingrbq51.exe
2) C:\PROGRAMDATA\WINDOWS\CSRSS.EXE
Размер у файлов одинаковый и иконка одна - как у установщиков INNO. Пока что не применял скрипт, который вы выслали ранее, но эти файлы выцепил из системы. Они у меня в архивах. На моём рабочем компьютере антивирус ESET определяет эти оба файла как NSIS/Injector.HV
В безопасном режиме сделал ещё один образ автозагрузки. Теперь от имени заражённого пользователя.
Кстати, у пользователя сменились обои. Теперь и там требование денег. Файл с рандомным значением в имени. 475395B1475395B1.bmp
Изменено: Андрей Пинчук - 27.10.2016 18:05:00
файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt
Размещено 27.10.2016 16:12:31
| Цитата | ||
|---|---|---|
santy написал:
если UAC у вас был включен на момент шифрования, возможно шифратор в процессе шифрования не смог удалить теневые копии, так что проверьте: живые они или нет. |
| Цитата | ||||
|---|---|---|---|---|
santy написал:
шифрование флэшки было до рекомендации по очистке в uVS из безопасного режима? если есть сомнения в очистке системы, сделайте новый образ автозапуска, и добавьте лог выполнения скрипта. это файл дата_времяlog.txt из папки, откуда вы запускали uVS
|
2) сделал.
файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt
Размещено 27.10.2016 14:46:06
| Цитата | ||
|---|---|---|
Андрей Пинчук написал:
|
файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt
файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt
Размещено 27.10.2016 13:28:35
| Цитата | ||
|---|---|---|
| santy написал: да, файл шифратора в автозапуске еще. по очистке системы выполните. (можно так же из безопасного режима системы) выполняем скрипт в uVS: - скопировать содержимое кода в буфер обмена; - стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена; - закрываем все браузеры перед выполнением скрипта; при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
перезагрузка, пишем о старых и новых проблемах. архив из каталога uVS (файл по формату: ZOO_yyyy-mm-dd_hh-mm-ss.rar/или 7z) отправить в почту , ------------ + далее, сделайте дополнительно быструю проверку системы в малваребайт поскольку в системе был добавлен левый прокси. LAREVANTE.COM/F6D3BVD/BOL57.EUP задачи на компе здесь серьезные. имеет смысл подумать о смене паролей в инете, поскольку трафик шел через левый прокси. |
delref %SystemDrive%\USERS\ДАНИЛИНА.INCRGP\APPDATA\ROAMING\JGUPMKO.DLL
Файл был удалён проверкой DrWeb. Загрузка была сделана с флешки. Этот файл классифицировался как вирус - Trojan.PWS.Spy.ХХХХХ цифры уже не помню.
Когда выполнял указания техподдержки ESET по сбору данных для отправки, запустил компьютер в обычном режиме с входом в пользователь, который запустил инфекцию (от сети отключен физически). В карантине никаких данных по вирусу нет. При этом через некоторое время появилось окно UAC с просьбой разрешить запуск программы для управления теневыми копиями файлов. В подробностях видно было, что это запрос на удаление теневых копий.