Cообщение об угрозе Win32/Qhost троянская программа, бесконечно выдает сообщение C:\WINDOWS\system32\drivers\etc\host

Сообщений: 5

Баллов: 2

Регистрация: 11.01.2014

Размещено 11.01.2014 11:41:57

Ничего не помогает !!! Как решить проблему ?!?!?

Прикрепленные файлы

ASUSПК_2014-01-09_19-06-47.rar (724.26 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.01.2014 13:12:29

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.81.8 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE zoo %SystemDrive%\USERS\РОМАН\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE addsgn 1AF67A9B5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 8 praetorian zoo %SystemDrive%\USERS\РОМАН\APPDATA\LOCAL\MEDIAGET2\MEDIAGET.EXE addsgn 1A65719A55839B8EF42B5194406C9105DAAF40530AFAE05DD96646BCAFF329E9A01748A86BDE71B65E886C1EB3E9B6A3201C638D00515C71C46AA42FC7CADD56 8 mediaget delall %SystemDrive%\PROGRAM FILES (X86)\TICNO\MULTIBAR\MULTIBAR.EXE ;------------------------autoscript--------------------------- chklst delvir REGT 14 ; Bonjour exec MsiExec.exe /X{6E3610B2-430D-4EB0-81E3-2B57E8B9DE8D} /quiet deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.81.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
zoo %SystemDrive%\USERS\РОМАН\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE
addsgn 1AF67A9B5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 8 praetorian

zoo %SystemDrive%\USERS\РОМАН\APPDATA\LOCAL\MEDIAGET2\MEDIAGET.EXE
addsgn 1A65719A55839B8EF42B5194406C9105DAAF40530AFAE05DD96646BCAFF329E9A01748A86BDE71B65E886C1EB3E9B6A3201C638D00515C71C46AA42FC7CADD56 8 mediaget

delall %SystemDrive%\PROGRAM FILES (X86)\TICNO\MULTIBAR\MULTIBAR.EXE
;------------------------autoscript---------------------------

chklst
delvir
REGT 14
; Bonjour
exec MsiExec.exe /X{6E3610B2-430D-4EB0-81E3-2B57E8B9DE8D} /quiet

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Сообщений: 5

Баллов: 2

Регистрация: 11.01.2014

Размещено 11.01.2014 14:18:56

Сообщение об угрозе после перезагрузки вышло 2 раза и все, тишина пока.Вот лог

Прикрепленные файлы

mbam-log-2014-01-11 (14-11-59).txt (2.09 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.01.2014 15:24:49

лог мбам чистый,
добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

+
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

Изменено: santy - 11.01.2014 15:25:26

[ Как создать образ автозапуска? ]

Сообщений: 5

Баллов: 2

Регистрация: 11.01.2014

Размещено 11.01.2014 15:33:21

Ок спасибо.

Прикрепленные файлы

threat.txt (2.77 МБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.01.2014 15:38:20

Цитата
11.01.2014 14:20:22 Защита в режиме реального времени файл C:\Windows\System32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован NT AUTHORITY\система Событие произошло в файле модифицированном приложением: C:\Program Files (x86)\LoviVkontakte\VkontakteService.exe. 11.01.2014 14:03:47 Защита в режиме реального времени файл C:\Windows\System32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован NT AUTHORITY\система Событие произошло в файле модифицированном приложением: C:\Program Files (x86)\LoviVkontakte\VkontakteService.exe. 11.01.2014 14:01:25 Защита в режиме реального времени файл C:\Windows\system32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован AsusПК\Роман Событие произошло в новом файле, созданном следующим приложением: C:\Users\Роман\AppData\Local\Yandex\Updater\fixhosts.exe. 11.01.2014 14:01:20 Защита в режиме реального времени файл C:\Windows\system32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован AsusПК\Роман Событие произошло в новом файле, созданном следующим приложением: C:\Users\Роман\AppData\Local\Yandex\Updater\fixhosts.exe.

Цитата

11.01.2014 14:20:22 Защита в режиме реального времени файл C:\Windows\System32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован NT AUTHORITY\система Событие произошло в файле модифицированном приложением: C:\Program Files (x86)\LoviVkontakte\VkontakteService.exe.
11.01.2014 14:03:47 Защита в режиме реального времени файл C:\Windows\System32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован NT AUTHORITY\система Событие произошло в файле модифицированном приложением: C:\Program Files (x86)\LoviVkontakte\VkontakteService.exe.
11.01.2014 14:01:25 Защита в режиме реального времени файл C:\Windows\system32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован AsusПК\Роман Событие произошло в новом файле, созданном следующим приложением: C:\Users\Роман\AppData\Local\Yandex\Updater\fixhosts.exe.
11.01.2014 14:01:20 Защита в режиме реального времени файл C:\Windows\system32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован AsusПК\Роман Событие произошло в новом файле, созданном следующим приложением: C:\Users\Роман\AppData\Local\Yandex\Updater\fixhosts.exe.

проверьте сейчас содержимое hosts.

[ Как создать образ автозапуска? ]

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.01.2014 15:42:15

+
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.81.9 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE exec "C:\Program Files (x86)\LoviVkontakte\unins000.exe" deltmp delnfr restart

перезагрузка, пишем о старых и новых проблемах.

(скорее всего lovivkontakte подстраивает под себя hosts)
------------
+
добавьте новый лог журнала обнаружения угроз
+
рекомендуем оставить вам один антивирус: ESET NOD32 или TREND MICRO

Изменено: santy - 11.01.2014 15:43:08

[ Как создать образ автозапуска? ]

Сообщений: 5

Баллов: 2

Регистрация: 11.01.2014

Размещено 11.01.2014 15:57:04

Лог журнала второй

Прикрепленные файлы

threat 2.txt (2.77 МБ)

Сообщений: 5

Баллов: 2

Регистрация: 11.01.2014

Размещено 11.01.2014 15:57:45

Hosts чистый, Trend удален.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.01.2014 16:29:51

ок, закрываю тему

[ Как создать образ автозапуска? ]

[ Закрыто ] Cообщение об угрозе Win32/Qhost троянская программа, бесконечно выдает сообщение C:\WINDOWS\system32\drivers\etc\host