Вход
Поиск  Пользователи  Правила  Войти
Центр вирусных исследований и аналитики Обнаружение вредоносного кода и ложные срабатывания

Как вылечить? Множественные срабатывания AVZ (mailbomb)

1
RSS
 
Сложная Капча
Сложная Капча
Пользователь
Сообщений: 24
Баллов: 12
Регистрация: 27.07.2020
Размещено 27.07.2020 17:36:59
Прошу вашей помощи. Ситуация все больше кажется безнадежной. Вирус в оперативной памяти?
 
santy
santy
Администратор
Сообщений: 17909
Баллов: 28653
Регистрация: 16.03.2010
Размещено 27.07.2020 18:45:45
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
Код

;uVS v4.1.9 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

delref HTTP://OVGORSKIY.RU
apply

deltmp
delref A9A33436-678B-4C9C-A211-7CC38785E79D\[CLSID]
delref {23E5D772-327A-42F5-BDEE-C65C6796BB2A}\[CLSID]
delref {177AFECE-9599-46CF-90D7-68EC9EEB27B4}\[CLSID]
delref {CEF51277-5358-477B-858C-4E14F0C80BF7}\[CLSID]
delref {59116E30-02BD-4B84-BA1E-5D77E809B1A2}\[CLSID]
delref %SystemRoot%\SYSWOW64\PEERDISTSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\NDIS.SYS
delref %SystemRoot%\SYSWOW64\RDPCORETS.DLL
delref %SystemRoot%\SYSWOW64\UMPO.DLL
delref %SystemRoot%\SYSWOW64\IPHLPSVC.DLL
delref %SystemRoot%\SYSWOW64\CSCSVC.DLL
delref %SystemRoot%\SYSWOW64\PNRPSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\PACER.SYS
delref %SystemRoot%\SYSWOW64\LSM.EXE
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {88D969C0-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C1-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C2-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C3-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C4-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C5-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref %SystemRoot%\SYSWOW64\WIN32K.SYS
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref %Sys32%\DRIVERS\TPM.SYS
delref %Sys32%\MSSPELLCHECKINGFACILITY.DLL
delref %Sys32%\BLANK.HTM
delref HELPSVC\[SERVICE]
delref SACSVR\[SERVICE]
delref TBS\[SERVICE]
delref VMMS\[SERVICE]
delref MESSENGER\[SERVICE]
delref RDSESSMGR\[SERVICE]
delref %Sys32%\PSXSS.EXE
delref %Sys32%\SHAREMEDIACPL.CPL
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/
[ Как создать образ автозапуска? ]
 
Сложная Капча
Сложная Капча
Пользователь
Сообщений: 24
Баллов: 12
Регистрация: 27.07.2020
Размещено 27.07.2020 19:29:47
Подскажите пожалуйста, что не так, множественные срабатывания mail bomb в avz
 
RP55 RP55
RP55 RP55
Пользователь
Сообщений: 6220
Баллов: 9951
Регистрация: 25.05.2010
Размещено 27.07.2020 19:33:35
Далее выполните FRST: http://forum.esetnod32.ru/forum9/topic2798/
 
Сложная Капча
Сложная Капча
Пользователь
Сообщений: 24
Баллов: 12
Регистрация: 27.07.2020
Размещено 27.07.2020 19:43:06
если и впрямь получится это вылечить я пожизненную подписку оформлю в вашем сервисе, ибо проблемы эти кажется тянутся с компьютером уже сквозь годы. неоднократно переустанавливал систему а проблема с устройствами в диспетчере устройств всегда оставалась со мной.
 
RP55 RP55
RP55 RP55
Пользователь
Сообщений: 6220
Баллов: 9951
Регистрация: 25.05.2010
Размещено 27.07.2020 20:01:28
Вирусов и т.д. не обнаружено.
Сейчас какие наблюдаться проблемы ?
--------
То, что не установлены драйвера - к вирусам отношения не имеет.
Практически всегда после установки системы нужно устанавливать драйвера так, как установщик системы в своём  составе имеет только основные драйвера.
Для Intel: https://www.comss.ru/page.php?id=4134
Прочее: https://www.comss.ru/list.php?c=drivers
( при установке программ отвечающих за установку\обновление драйверов _всегда нужно проявлять внимание и снимать чек боксы [v] чтобы не установить лишних программ.
Изменено: RP55 RP55 - 27.07.2020 20:03:20
 
Сложная Капча
Сложная Капча
Пользователь
Сообщений: 24
Баллов: 12
Регистрация: 27.07.2020
Размещено 27.07.2020 20:25:00
подскажите от чего такое обильное срабатывание avz - mailbomb detected?
Цитата
images\993436_11.jpeg MailBomb detected !
1.jpeg MailBomb detected !
Вот такой тоже беспокоит
C:\Users\pc\Downloads\Brackets.Release.1.14.2.msi/{MS-OLE}/\29/{CAB}/fil69CFB54F1D912C13E56A8DD229E4CBC1 >>>>> Trojan.BAT.DelAll.b
C:\Windows\Installer\1aca25.msi/{MS-OLE}/\29/{CAB}/fil69CFB54F1D912C13E56A8DD229E4CBC1 >>>>> Trojan.BAT.DelAll.b
C:\Windows\system32\ntshrui.dll --> Подозрение на Keylogger или троянскую DLL
C:\Windows\system32\ntshrui.dll>>> Поведенческий анализ  
 
Сложная Капча
Сложная Капча
Пользователь
Сообщений: 24
Баллов: 12
Регистрация: 27.07.2020
Размещено 27.07.2020 20:29:02
\\?\c:\users\pc\desktop\НОВАЯ ПАПКА\kuyyty;4;Подозрение на RootKit
^^^^^^^^^^^^^^^^^
в этой папке uVS

C:\Users\pc\Downloads\Brackets.Release.1.14.2.msi;1; Trojan.BAT.DelAll.b
C:\Windows\Installer\1aca25.msi;1; Trojan.BAT.DelAll.b
C:\Windows\System32\LogFiles\Scm\SCM.EVM.2;2;Подозрение на Trojan-Downloader.Win32.AutoIt.q ( 1CDA8BC2 1E621768 004D6E44 004D6E44 491520)
C:\Windows\System32\LogFiles\Scm\SCM.EVM.3;2;Подозрение на Trojan-Downloader.Win32.AutoIt.q ( 1CDD316C 1E621768 004D6E44 004D6E44 491520)
C:\Windows\System32\LogFiles\Scm\SCM.EVM.4;2;Подозрение на Trojan-Downloader.Win32.AutoIt.q ( 1CDC5339 1E621768 004D6E44 004D6E44 491520)
C:\Windows\system32\ntshrui.dll;5;Подозрение на Keylogger или троянскую DLL
============

C:\Users\pc\AppData\Local\Programs\WinSCP\Translations\WinSCP.ca;3;PE файл с нестандартным расширением(степень опасности 5%)
C:\Users\pc\AppData\Local\Programs\WinSCP\Translations\WinSCP.ch;3;PE файл с нестандартным расширением(степень опасности 5%)
C:\Users\pc\AppData\Local\Programs\WinSCP\Translations\WinSCP.in;3;PE файл с нестандартным расширением(степень опасности 5%)
C:\Users\pc\AppData\Local\Programs\WinSCP\Translations\WinSCP.ms;3;PE файл с нестандартным расширением(степень опасности 5%)
C:\Users\pc\AppData\Local\Programs\WinSCP\WinSCP.com;3;PE файл с измененным расширением, допускающим запуск (присуще вирусам)(степень опасности 35%)
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
Этих файлов в папке не наблюдаю
 
RP55 RP55
RP55 RP55
Пользователь
Сообщений: 6220
Баллов: 9951
Регистрация: 25.05.2010
Размещено 27.07.2020 23:20:39
Сложная Капча
Вы не верно выполняете отчёты в AVZ ( все отчёты нужно выполнять по инструкции )
У вас версия от 2016 года...
И результаты соответственно не корректные...
Отчёт выполняется по схеме: https://virusinfo.info/content.php?r=136-pravila
 
1
Читают тему