Вход
Уважаемые пользователи!

Поставщик ИТ-решений PRO32 сообщает вам, что после 17 лет сотрудничества мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.

Купить и продлить лицензии ESET на нашем сайте больше нельзя.

Предлагаем вам попробовать новый антивирус от компании PRO32.

Продукты PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств на Windows / Android.

Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.

Перейти на PRO32
Поиск  Пользователи  Правила  Войти
Центр вирусных исследований и аналитики Обнаружение вредоносного кода и ложные срабатывания

Постоянно всплывает окно антивируса о заблокированном ресурсе

RSS
 
Andrew Ylasevich
Andrew Ylasevich
Пользователь
Сообщений: 7
Баллов: 3
Регистрация: 21.07.2021
Размещено 21.07.2021 15:18:37
Добрый день. пользователь открыл exe файл скачанный из интернета. Теперь постоянно появляется окно антивируса Eset о блокировке сайта

21.07.2021 15:06:55 http://www.topcarinsurancepro.info/qa88?IpUDnb=oCQKFOnQwiVCk8WSf23sxx6wdVJgoFlWg6xNdgBAkz0jbTB1frU+k­... Заблокировано Внутренний черный список C:\Windows\explorer.exe ECONOMYST\user 172.67.192.177 E8F207634E304790B099454338B819D302024D7B
21.07.2021 15:06:55 http://www.topcarinsurancepro.info/qa88 Заблокировано Внутренний черный список C:\Windows\explorer.exe ECONOMYST\user 172.67.192.177 E8F207634E304790B099454338B819D302024D7B

не нахожу где прописалась эта зараза. Образ автозапуска прикрепляю. Помогите разобраться.

Ответы

Пред. 1 2
 
Andrew Ylasevich
Andrew Ylasevich
Пользователь
Сообщений: 7
Баллов: 3
Регистрация: 21.07.2021
Размещено 22.07.2021 14:00:04
Цитата
santy написал:
судя по свежему логу FRST
похоже пробивает систему, посмотрим что будет в новом образе
Цитата
(Telegram FZ-LLC) [Файл не подписан] C:\Program Files (x86)\Gghlhkzi\taskhostp8tpf.exe
HKU\S-1-5-21-72774180-1881986034-1001478685-1001\...\Run: [_FEXN8MXC] => C:\Program Files (x86)\Lszzphv\ehle4e.exe [963584 2021-07-21] (Telegram FZ-LLC) [Файл не подписан]
HKU\S-1-5-21-72774180-1881986034-1001478685-1001\...\Run: [SJOPJLHXCNY] => C:\Program Files (x86)\Gghlhkzi\taskhostp8tpf.exe [963584 2021-07-21] (Telegram FZ-LLC) [Файл не подписан]
удалил эти папки и подобные  
 
Andrew Ylasevich
Andrew Ylasevich
Пользователь
Сообщений: 7
Баллов: 3
Регистрация: 21.07.2021
Размещено 22.07.2021 14:01:06
Цитата
santy написал:
актуальную версию uVS надо скачать,
https://chklst.ru/data/uVS%20latest/uvs_latest.zip

и выполнить в ней следующий скрипт:
Код
 ;uVS v4.11.6 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
regt 39
restart


система перезагрузится, затем сделать новый образ автозапуска
только сделайте образ актуальной версией uVS
вроде бы после выполнения скрипта и перезагрузки пока на сайт этот не ломилось больше  
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 22.07.2021 15:43:59
да потоков нет сейчас
выполните в uVS скрипт без перезагрузки системы

Код
;uVS v4.11.6 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
;---------command-block---------
delall %SystemDrive%\PROGRAM FILES (X86)\XRVKTQHT\RBCDWPG4N.EXE
apply
REGT 40
QUIT

понаблюдайте за системой, если детекты повторятся, добавьте новое сообщение в вашей теме
найденные файлы переданы в вирлаб, будут добавлены, как Win32/Formbook.AA
[ Как создать образ автозапуска? ]
 
Andrew Ylasevich
Andrew Ylasevich
Пользователь
Сообщений: 7
Баллов: 3
Регистрация: 21.07.2021
Размещено 22.07.2021 16:28:48
Спасибо за помощь!
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 24.07.2021 13:06:16
C:\PROGRAM FILES (X86)\LSZZPHV\EHLE4E.EXE                : Win32/Formbook.AA
C:\PROGRAM FILES (X86)\VTJQX5TB\KZAPR21TFILJLW.EXE: Win32/Formbook.AA
C:\PROGRAM FILES (X86)\QUHBHZLKP\_PSDTJ8TPQT.EXE  : Win32/Formbook.AA
[ Как создать образ автозапуска? ]
 
Пред. 1 2
Читают тему