Win32/Glupteba.O - Форум технической поддержки ESET NOD32

Сообщений: 8

Баллов: 4

Регистрация: 29.01.2015

Размещено 29.01.2015 16:13:50

Добрый день!

Прошу помочь с удалением вируса.
Компьютер не подключается к интернету (браузер выдает сообщение о блокировке сети и просит указать номер сотового для получения инструкций по разблокировке). При сканировании ESET обнаружил в оперативке и удалил crypt.exe(2828) - модифицированный Win32/Glupteba.O троянская программа; после этого была перезагрузка, но проблема осталась.

Лог UVS приложен.

Прикрепленные файлы

MYCOMP_2015-01-29_18-32-16.7z (432.38 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2015 16:21:25

эта программа вам известна?

Цитата
C:\Program Files\Gorn\Gorn\

[ Как создать образ автозапуска? ]

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2015 16:23:44

+
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.3 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 v385c OFFSGNSAVE hide %Sys32%\CPLDAPU\BLUESCREENVIEW.EXE zoo %SystemDrive%\PROGRAM FILES\GORN\GORN\CRYPT.EXE zoo %SystemDrive%\PROGRAM FILES\GORN\GORN\DNS_BABLO.VBS ;------------------------autoscript--------------------------- chklst delvir setdns Подключение по локальной сети 2\4\{7C88CC64-CE53-4F69-87DE-2E6726CB5AB0}\8.8.8.8,8.8.4.4 delref {DBC80044-A445-435B-BC74-9C25C1C588A9}\[CLSID] delref HTTP:\\WWW.JAHSHAKA.ORG regt 28 regt 29 deltmp delnfr ;------------------------------------------------------------- dnsreset CZOO restart

Код

;uVS v3.85.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE

hide %Sys32%\CPLDAPU\BLUESCREENVIEW.EXE
zoo %SystemDrive%\PROGRAM FILES\GORN\GORN\CRYPT.EXE
zoo %SystemDrive%\PROGRAM FILES\GORN\GORN\DNS_BABLO.VBS
;------------------------autoscript---------------------------

chklst
delvir

setdns Подключение по локальной сети 2\4\{7C88CC64-CE53-4F69-87DE-2E6726CB5AB0}\8.8.8.8,8.8.4.4
delref {DBC80044-A445-435B-BC74-9C25C1C588A9}\[CLSID]

delref HTTP:\\WWW.JAHSHAKA.ORG

regt 28
regt 29
deltmp
delnfr
;-------------------------------------------------------------

dnsreset
CZOO
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Сообщений: 8

Баллов: 4

Регистрация: 29.01.2015

Размещено 29.01.2015 16:25:28

Цитата

santy написал:
эта программа вам известна?

Цитата
C:\Program Files\Gorn\Gorn\

нет, первый раз вижу. просто удалить из каталога?

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2015 16:33:26

пробуйте деинсталлировать ее из списка программ.

Цитата
Gorn 1.3

а затем выполните скрипт, который я написал выше.
программа свежая, судя по дате установки - установлена сегодня.

[ Как создать образ автозапуска? ]

Сообщений: 8

Баллов: 4

Регистрация: 29.01.2015

Размещено 29.01.2015 16:42:38

попробовала деинсталлировать через панель управления - из списка программа исчезла, но по факту все файлы остались на месте

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2015 16:53:01

ок, удалите этот каталог

Цитата
C:\Program Files\Gorn

что по скрипту в uVS? выполнен?

[ Как создать образ автозапуска? ]

Сообщений: 8

Баллов: 4

Регистрация: 29.01.2015

Размещено 29.01.2015 17:08:48

один из файлов каталога удалить не удалось.
скрипт выполнила, архив на почту выслан.
malwarebytes упорно зависает в процессе установки, сделать проверку им пока не могу.

к сети подключается нормально.

Сообщений: 8

Баллов: 4

Регистрация: 29.01.2015

Размещено 29.01.2015 17:10:36

...после еще одной перезагрузки папка gorn удалилась полностью

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2015 17:21:20

1. добавьте новый образ автозапуска для контроля.

2. добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

[ Как создать образ автозапуска? ]

[ Закрыто ] Win32/Glupteba.O