winsock reset catalog , RP55 RP55

RSS

Сообщений: 121

Баллов: 96

Регистрация: 15.12.2011

Размещено 12.04.2012 11:46:20

№7

Удаление через delall приводит в необходимости восстановить winsock.
можно еще попробовать вызвать в скрипте

;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

EXEC cmd /c"netsh winsock reset catalog"
restart

----------------------------------------
exec cmd /k attrib -r -s -h "%appdata%\igfxtray.dat"&del "%appdata%\igfxtray.dat"&exit
exec cmd /k del "%windir%\system32\ieunitdrf.inf"&exit ( пример Арвида )

------------------------
EXEC cmd /c"netsh winsock reset catalog"
exec cmd /c "ipconfig /flushdns"

===========
В каком случае необходимо это проводить? Когда по типу нету инета и надо востановить значение по умолчанию? Файлы igfxtray.dat ieunitdrf.inf относятся к carbery ?

Изменено: nWc - 12.04.2012 11:53:08

Ответы

Пред. 1 2 3 4 5 6 7 След.

Сообщений: 121

Баллов: 96

Регистрация: 15.12.2011

Размещено 18.04.2012 15:19:17

вышли, правда я его удалил довольно легко...

Изменено: nWc - 18.04.2012 15:27:50

Сообщений: 36

Баллов: 18

Регистрация: 23.10.2011

Размещено 18.04.2012 16:19:50

Во вложении.

Один из локеров более интересный, он прописывает себя в userinit в ветке реестра Current user.

Прикрепленные файлы

124kkk290347.rar (174.83 КБ)
hj8ol0.rar (42.49 КБ)

Далеко не "Подарок с красной лентой"...

Не профи, но для любителя тоже неплохо...

Сообщений: 121

Баллов: 96

Регистрация: 15.12.2011

Размещено 18.04.2012 16:59:38

скачал, пришлись фильтр сделать на домен **forum.esetnod32.ru** =)

Сообщений: 36

Баллов: 18

Регистрация: 23.10.2011

Размещено 18.04.2012 17:51:16

nWc, ESS 4.2.76.1, скачал без проблем...

Далеко не "Подарок с красной лентой"...

Не профи, но для любителя тоже неплохо...

Сообщений: 121

Баллов: 96

Регистрация: 15.12.2011

Размещено 18.04.2012 18:06:59

у меня орал и блокировал=)

Сообщений: 6234

Баллов: 4987

Регистрация: 25.05.2010

Размещено 18.04.2012 19:38:22

Цитата
felix2604 пишет: С критерием поиска хорошо, базу нужно будет создать (snms), а своей базой не поделитесь?)

А.База- snms - создаётся автоматически - в момент формирования первого поискового критерия.
Если Вы хотите научиться работать с uVS - ( Я написал _научиться_ ) - То формируем критерии самостоятельно.
Это и будет обучением.
Копирование базы не даст вам понимания - что, как и для чего было проделано/сформировано.
Грубо говоря - Вы хотите научится играть на Фортепьяно - без знания/понимания нот.
Что Некорректно по своей сути...

Цитата
nWc пишет: NOD - при попытки переустановить - исправить - выдает ошибк

*Для это, есть поиск по форуму - с кучей готовых примеров/решений.
Удаление NOD32

Цитата
nWc пишет: C:\WINDOWS\SYSTEM32\BASECSP.DLL

Файл чист.
Ситуация Когда есть информация по типу: "НАРУШЕНА, файл модифицирован или заражён"
Периодически присутствует в образе.
Сами по себе эти данные не о чём не говорят.

Цитата
nWc пишет: И на какие подписи при поиске вируса и поврежденных файлов стоит обращать внимание?

Проверять: 1) По базе проверенных файлов по Sha1 ( проверка по F4 )
Базу можно скачать здесь: http://dsrt.dyndns.org/
Базу распаковать в \uvs_v374\SHA
2.Если файла нет в базе.
Проверяем его по Sha1 на V.T или http://virusscan.jotti.org/ru
Обращаем внимание на дату первой и крайней проверки !
Пример >
Дата: 2012-04-15 [2008-07-30 21:03:55 UTC ( 3 years, 8 months ago )]
Соответственно - проверяем её результат.
Смотрим путь до файла. ( И думаем - в том он месте лежит или нет )
-----------
И вообще: Путь до файла; Схожесть имени файла с именем известных системных фалов; Расширение проверяем.( exe;dll...)
Одинарное это расширение или двойное.Есть цифровая подпись или нет.
Приведённую/полученную информацию - Имя файла,Производитель, описание продукта.
КАК ЭТО НАПИСАНО !!!
Например:
Имя файла: Ncvjpwpmid.exe
Производитель: fhgkjllkh
Продукт: ualjgvbgfj
И сразу ясно, что это зверёк.
Проверяем по времени создание файла ( В меню есть настройка/отсев по дате и времени )
* Ряд вирусов может изменить время своего создание на диске !!!
Или может использовать краденную цифровую подпись. ( Сбросить результат проверки по цифровой подписи можно в меню: Подпись/Хеш
т.е. Если есть сомнение - Сбросили, результат проверки и далее - чтобы сократить/минимизировать список/объём проверки жмём F4

Если точно известно какой вирус в системе ( например по результатам сканирования штатным Антивирусов ) то...
Ищем/смотрим информацию по этому вирусу.
Что о нём есть.
В какой директории размещается файл/тело вируса.
Какие ключи реестра изменяет - как стартует при запуске системы.
И на основании этих данных производим поиск/отсев данных в системе/образе.

Изменено: RP55 RP55 - 18.04.2012 19:46:08

Сообщений: 6234

Баллов: 4987

Регистрация: 25.05.2010

Размещено 18.04.2012 20:02:38

Вот можно создать критерий поиска для Котика ( Carbepr )
http://forum.esetnod32.ru/forum6/topic5265/
Посмотрите - какие данные указаны _Информация_
Проверяем Атрибуты файла: Скрытый/Системный...
Данные могут быть в ряде случаев указаны и вполне легитимные.
Так, что не стоит всё брать на веру.

Прикрепленные файлы

1177.jpg (146.23 КБ)

Изменено: RP55 RP55 - 18.04.2012 20:03:19

Сообщений: 6234

Баллов: 4987

Регистрация: 25.05.2010

Размещено 18.04.2012 20:09:12

Поймали/прибили зверя и сразу...

Добавьте папку ZOO в архив с паролем infected
... отправить в почту [email protected] или [email protected]; [email protected] ;

Компания получатель: ESET.

Так, зверя внесут в антивирусную базу.
И ~~зверина~~ ~~зверюга~~ Зверь ! Будет добавлен в базу и не будет дальше шалить. 8)

Изменено: RP55 RP55 - 18.04.2012 20:12:07

Сообщений: 121

Баллов: 96

Регистрация: 15.12.2011

Размещено 19.04.2012 11:15:03

624 тыс хэшей проверенных файлов ниче так

Сообщений: 6234

Баллов: 4987

Регистрация: 25.05.2010

Размещено 19.04.2012 17:43:53

Цитата
nWc пишет: 624 тыс хэшей проверенных файлов ниче так smile;)

Можете увеличить число проверенных путём создания своей базы.
* Поставить систему с оригинального диска Windows.
Можно на виртуальной машине.
Создать образ системы - предварительно установив нужные для работы программы.
Изолировать от доступа к сети.
+ Работать с чистым USB диском - для записи/сохранения данных/программ.

Собрать в кучу, все диски заводского производства CD|DVD.
Установить/Распаковать содержимое/программы на машине.
После чего - дополнительно сканировать файлы Антивирусом и Malwarebytes. - С актуальными базами.
Подозрительные ( при работе с uVS ) - дополнительно проверить на V.T.
И можно добавлять/создавать свою базу. SHA1
Будет база SHA1.nWc 8)
-----------
Небольшое титаническое усилие и есть своя база.
Например так: http://forum.esetnod32.ru/forum8/topic1449/
*Меню файл.
P.S.
Я кстати говоря - систему Антивирусом уже больше года не проверяю совсем.
Зачем трать время, если с применением uVS !полную! проверку всего системного диска можно выполнить за 10-12 минут...
Логика простая: Файлы системы есть в базе SHA1 - драйвера; все проверенные программы тоже !
Отключаем на время проверки антивирус и сеть( чтобы не тормозил процесс ) - Добавляем ( через меню Файл ) - все файлы диска C:\ в список
После чего жмём на F4 - Все фалы которых нет в базе проверенных останутся в списке/категории - "Добавлены вручную"
Их можно прогнать на V.T. - и если, есть уверенность в их безопасности ( например это файлы обновлений программ - браузеров,системы...)
Также внести в свою ( отдельную/вторую ) базу.т.е.разграничить базы по уровню надёжности.
Периодически проверять/смотреть/контролировать.
При должном подходе/отношении и настройке Hips в Антивирусе - это практически 100% безопасность системы.

Изменено: RP55 RP55 - 19.04.2012 17:47:46

Пред. 1 2 3 4 5 6 7 След.