модифицированный Win32/Tofsee.AX - Форум технической поддержки ESET NOD32

Сообщений: 2

Баллов: 1

Регистрация: 12.02.2014

Размещено 12.02.2014 05:03:21

Добрый день.

NOD обнаружил данный объект:

Оперативная память = C:\WINDOWS\system32\svchost.exe модифицированный Win32/Tofsee.AX троянская программа очистка невозможна

После этого каждые несколько секунд появляется сообщение об удалении вновь созданного файла с произвольным названием:

C:\DOCUME~1\10E25~1\LOCALS~1\Temp\nnazog.exe модифицированный Win32/Injector.AXNS троянская программа очищен удалением INGENER1\Инженер1 Событие произошло в новом файле, созданном следующим приложением: C:\WINDOWS\system32\svchost.exe.

Прикрепленные файлы

INGENER1_2014-02-12_11-49-53.rar (648.68 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 12.02.2014 05:51:31

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.81.11 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ИНЖЕНЕР1\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE addsgn 1AD78B9A5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 8 praetorian delall /C ATTRIB -H C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS && COPY C:\DOCUME~1\10E25~1\LOCALS~1\TEMP\15703906 C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS /Y && ATTRIB +H C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS && ERASE C:\DOCUME~1\10E25~1\LOCALS~1\TEMP\4316350.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ИНЖЕНЕР1\NWTCTQOK.EXE delall %Sys32%\SVCNET32.DLL hide %SystemDrive%\PROGRAM FILES\BOLID\ARM_ORION_PRO1_11SKD\SERVERMANAGER.EXE hide %SystemDrive%\PROGRAM FILES\TOTAL COMMANDER\PLUGINS\EXE\DECRYPTC.EXE zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ИНЖЕНЕР1\LOCAL SETTINGS\TEMPORARY INTERNET FILES\CONTENT.IE5\ILKB6RTF\6[2].EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ИНЖЕНЕР1\LOCAL SETTINGS\TEMPORARY INTERNET FILES\CONTENT.IE5\ILKB6RTF\6[2].EXE del %SystemRoot%\TASKS\AT2.JOB ;------------------------autoscript--------------------------- chklst delvir setdns Офисная сеть\4\{82FBC813-8F10-402E-9570-ABB2E2C69DB5}\8.8.8.8,8.8.4.4 setdns Internet\4\{E208C4E6-BEF3-4EBD-9D49-A2E6E91072E7}\8.8.8.8,8.8.4.4 delref HTTP://BROWSERHELP2.RU delref HTTP://QIP.RU delref HTTP://SEARCH.QIP.RU regt 9 REGT 14 ; Java(TM) 6 Update 20 exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216020FF} /quiet ; Java(TM) 6 Update 7 exec MsiExec.exe /I{3248F0A8-6813-11D6-A77B-00B0D0160070} /quiet deltmp delnfr ;------------------------------------------------------------- CZOO restart

Код


;uVS v3.81.11 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

OFFSGNSAVE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ИНЖЕНЕР1\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE
addsgn 1AD78B9A5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 8 praetorian

delall /C ATTRIB -H C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS && COPY C:\DOCUME~1\10E25~1\LOCALS~1\TEMP\15703906 C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS /Y && ATTRIB +H C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS && ERASE C:\DOCUME~1\10E25~1\LOCALS~1\TEMP\4316350.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ИНЖЕНЕР1\NWTCTQOK.EXE
delall %Sys32%\SVCNET32.DLL
hide %SystemDrive%\PROGRAM FILES\BOLID\ARM_ORION_PRO1_11SKD\SERVERMANAGER.EXE
hide %SystemDrive%\PROGRAM FILES\TOTAL COMMANDER\PLUGINS\EXE\DECRYPTC.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ИНЖЕНЕР1\LOCAL SETTINGS\TEMPORARY INTERNET FILES\CONTENT.IE5\ILKB6RTF\6[2].EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ИНЖЕНЕР1\LOCAL SETTINGS\TEMPORARY INTERNET FILES\CONTENT.IE5\ILKB6RTF\6[2].EXE
del %SystemRoot%\TASKS\AT2.JOB
;------------------------autoscript---------------------------

chklst
delvir

setdns Офисная сеть\4\{82FBC813-8F10-402E-9570-ABB2E2C69DB5}\8.8.8.8,8.8.4.4
setdns Internet\4\{E208C4E6-BEF3-4EBD-9D49-A2E6E91072E7}\8.8.8.8,8.8.4.4
delref HTTP://BROWSERHELP2.RU

delref HTTP://QIP.RU

delref HTTP://SEARCH.QIP.RU

regt 9
REGT 14

; Java(TM) 6 Update 20
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216020FF} /quiet

; Java(TM) 6 Update 7
exec MsiExec.exe /I{3248F0A8-6813-11D6-A77B-00B0D0160070} /quiet

deltmp
delnfr
;-------------------------------------------------------------
CZOO
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Сообщений: 2

Баллов: 1

Регистрация: 12.02.2014

Размещено 13.02.2014 10:51:47

После проведения процедуры описанные симптомы больше не повторялись, после перезагрузки в журнале была обнаружена единственная новая запись, сделанная во время процедуры:

файл C:\DOCUMENTS AND SETTINGS\ИНЖЕНЕР1\LOCAL SETTINGS\TEMP\LOYTUXN.EXE Win32/Tofsee.AX троянская программа очищен удалением INGENER1\Инженер1 Событие произошло при попытке доступа к файлу следующим приложением: C:\temp\uvs_v3811\xyymyz.

Результаты проверки малвэйрбайт:

Прикрепленные файлы

MBAM-log-2014-02-13 (17-45-32).txt (3.29 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.02.2014 11:12:24

антивир видимо перехватил файл, который uVS пытался удалить при очистке темпов.

это оставьте в мбам,

Цитата
Объекты реестра обнаружены: 2 HKLM\SOFTWARE\Microsoft\Security Center\|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято. HKLM\SOFTWARE\Microsoft\Security Center\|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

Цитата

Объекты реестра обнаружены: 2
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

остальное все удалите...

далее,
выполняем рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

[ Закрыто ] модифицированный Win32/Tofsee.AX