Вход
Уважаемые пользователи!

Поставщик ИТ-решений PRO32 сообщает вам, что после 17 лет сотрудничества мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.

Купить и продлить лицензии ESET на нашем сайте больше нельзя.

Предлагаем вам попробовать новый антивирус от компании PRO32.

Продукты PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств на Windows / Android.

Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.

Перейти на PRO32
Поиск  Пользователи  Правила  Войти
Центр вирусных исследований и аналитики Обнаружение вредоносного кода и ложные срабатывания

поговорить о uVS, Carberp, планете Земля

RSS
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 21.11.2011 19:06:42
Обсуждаем Carberp всех модификаций :)


Цитата
;uVS v3.71 script [http://dsrt.dyndns.org]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\HOUSE\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
bl 6D99C48BBD436116B78A04997D854F57 164352
delall %SystemDrive%\DOCUMENTS AND SETTINGS\HOUSE\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ICQ\ICQNEWTAB\NEWTAB.HTML
regt 1
regt 2
regt 7
regt 18
deltmp
delnfr
restart
Изменено: Арвид - 22.11.2011 13:07:19
Правильно заданный вопрос - это уже половина ответа

Ответы

Пред. 1 ... 97 98 99 100 101 ... 167 След.
 
test test
test test
Пользователь
Сообщений: 19
Баллов: 9
Регистрация: 09.04.2013
Размещено 09.04.2013 17:57:15
ого, я популярен  :oops:
вот тока не ясно, как система дает заменить "на лету" rpcss или хваленая защита системных файлов работает выборочно?
 
g0dl1ke
g0dl1ke
Пользователь
Сообщений: 19
Баллов: 9
Регистрация: 09.04.2013
Размещено 09.04.2013 17:59:13
если не изменяет память, в каспере и атупосте был контроль целостности в реальном времени - спасает от данной угрозы или?
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 09.04.2013 18:50:40
кто его знает. установщика нет. возможно файл подменяется на перезагрузке. обратная же замена модифицированного на чистый вообще выполнена в uVS из активной системы.
[ Как создать образ автозапуска? ]
 
g0dl1ke
g0dl1ke
Пользователь
Сообщений: 19
Баллов: 9
Регистрация: 09.04.2013
Размещено 09.04.2013 20:05:34
виртуализация или на живую?
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 09.04.2013 20:15:57
на живую нормально заменяется (правда с переименовыванием оригинала). проверено уже много раз.
Правильно заданный вопрос - это уже половина ответа
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 09.04.2013 20:19:21
Арвид, ты в своей сборке какой файл rpcss.dll используешь для замены Win7 x64? из своей коллекции, или тот , что был по ссылке на фОРУме PH? настораживает что уже три неудачные замены были именно на этой версии.
Изменено: santy - 09.04.2013 20:19:52
[ Как создать образ автозапуска? ]
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 09.04.2013 20:22:19
тот что на форуме выкладывали. никто еще не жаловался
http://www.adminplanet.ru/t9181.html
http://www.adminplanet.ru/t9175.html
http://www.adminplanet.ru/t9174.html
Правильно заданный вопрос - это уже половина ответа
 
g0dl1ke
g0dl1ke
Пользователь
Сообщений: 19
Баллов: 9
Регистрация: 09.04.2013
Размещено 10.04.2013 15:15:46
так может версии разные? с сп, без сп и тд
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 10.04.2013 16:01:43
по образ всегда есть возможность определить какой версии файл rpcss.dll
--------
Цитата
Полное имя                  C:\WINDOWS\SYSTEM32\RPCSS.DLL
Имя файла                   RPCSS.DLL
Тек. статус                 ?ВИРУС? ИЗВЕСТНЫЙ ПОДОЗРИТЕЛЬНЫЙ сервисная_DLL в автозапуске [SAFE_MODE] [SVCHOST]
                           
Удовлетворяет критериям    
FALSESERVICEDLL             (ССЫЛКА ~ \PARAMETERS\SERVICEDLL)(1)   AND   (ЦИФР. ПОДПИСЬ ~ ОТСУТСТВУЕТ)(1)
                           
Сохраненная информация      на момент создания образа
Статус                      ИЗВЕСТНЫЙ сервисная_DLL в автозапуске [SAFE_MODE] [SVCHOST]
Размер                      512512 байт
Создан                      21.11.2010 в 06:24:01
Изменен                     21.11.2010 в 06:24:01
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Оригинальное имя            rpcss.dll
Версия файла                6.1.7601.17514 (win7sp1_rtm.101119-1850)
Описание                    Distributed COM Services
Copyright                   © Microsoft Corporation. All rights reserved.
Производитель               Microsoft Corporation
                           
Доп. информация             на момент обновления списка
SHA1                        BF6270F48860FE3A0940C74367ED6A0F8EBF1D5F
MD5                         B5DD6E84FE0DF0A1F41E538018BDE7E0
                           
Ссылки на объект            
Ссылка                      HKLM\System\CurrentControlSet\Services\DcomLaunch\Parameters­\ServiceDLL
ServiceDLL                  %SystemRoot%\system32\rpcss.dll
                           
Ссылка                      HKLM\System\CurrentControlSet\Services\RpcSs\Parameters\Serv­iceDLL
ServiceDLL                  %SystemRoot%\system32\rpcss.dll
[ Как создать образ автозапуска? ]
 
g0dl1ke
g0dl1ke
Пользователь
Сообщений: 19
Баллов: 9
Регистрация: 09.04.2013
Размещено 11.04.2013 22:14:45
http://www.comss.info/page.php?al=TrojanZekos
 
Пред. 1 ... 97 98 99 100 101 ... 167 След.
Читают тему