Оперативная память = userinit.exe(1980) - модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна

Сообщений: 13

Баллов: 6

Регистрация: 17.01.2012

Размещено 16.07.2012 11:33:25

Помогите пожалуйста!

Прикрепляю лог

Прикрепленные файлы

KRAPCHINA_2012-07-16_11-23-30.7z (124.07 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.07.2012 12:14:24

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.75 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 addsgn 1A3B689A55835A8CF42BF83A10EC1A841BE98F9B698F3AFBB8C332FC50D605504B1734173EBD25592B80015F1F62440509FBE424AACFB0DB6D77FD7699C5EEBF 8 SpyEye.0716 zoo %SystemDrive%\SYSTEMHOST\24FC2AE3DE8.EXE delall %SystemDrive%\SYSTEMHOST\24FC2AE3DE8.EXE chklst delvir deltmp delnfr czoo restart

Код

;uVS v3.75 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

addsgn 1A3B689A55835A8CF42BF83A10EC1A841BE98F9B698F3AFBB8C332FC50D605504B1734173EBD25592B80015F1F62440509FBE424AACFB0DB6D77FD7699C5EEBF 8 SpyEye.0716

zoo %SystemDrive%\SYSTEMHOST\24FC2AE3DE8.EXE
delall %SystemDrive%\SYSTEMHOST\24FC2AE3DE8.EXE
chklst
delvir
deltmp
delnfr
czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS, созданный после скрипта (например: ZOO_2011-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Сообщений: 13

Баллов: 6

Регистрация: 17.01.2012

Размещено 16.07.2012 12:43:36

Nod 12.07.2012 выдал сообщение "Оперативная память = userinit.exe(1980) - модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна". У нас на работе NOD не обновляется уже очень давно. У меня перестали отправляться сообщения с вложенными файлами. Администраторы пришли, посмотрели и ушли. У меня на компьютере нет полных прав, поэтому не могу установить малваребайт и сделать быструю проверку системы. Архивы отправила как просили.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.07.2012 12:50:23

если это последнее сообщение в журнале угроз

Цитата
Nod 12.07.2012 выдал сообщение "Оперативная память = userinit.exe(1980) - модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна"

то следует наверное напомнить, что сегодня 16.07.2012, т.е. уже 4 дня как SpyShiz не объявлялся. (хотя в исходном образе он есть.)

добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/
и
сделайте еще раз образ автозапуска в безопасном режиме.
(под учетной записью администратора).

Изменено: santy - 16.07.2012 12:54:04

[ Как создать образ автозапуска? ]

Сообщений: 13

Баллов: 6

Регистрация: 17.01.2012

Размещено 16.07.2012 12:54:51

лог журнала обнаружения угроз:

Прикрепленные файлы

угрозы.txt (770 Б)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.07.2012 12:56:11

Цитата
tatak пишет: лог журнала обнаружения угроз:

понятно.
теперь сделайте образ автозапуска в uVS под учетной записью администратора в безопасном режиме.

Изменено: santy - 16.07.2012 12:56:30

[ Как создать образ автозапуска? ]

Сообщений: 13

Баллов: 6

Регистрация: 17.01.2012

Размещено 16.07.2012 13:00:45

Цитата

santy пишет:

Цитата
tatak пишет: лог журнала обнаружения угроз:

понятно.
теперь сделайте образ автозапуска в uVS под учетной записью администратора в безопасном режиме.

не могу сделать, так как не знаю пароля администратора

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.07.2012 13:07:49

тогда сделайте сейчас под вашей ограниченной учетной записью - проверим - остался в автозапуске SpyEye или был удален скриптом.

[ Как создать образ автозапуска? ]

Сообщений: 13

Баллов: 6

Регистрация: 17.01.2012

Размещено 16.07.2012 13:21:10

Цитата
santy пишет: тогда сделайте сейчас под вашей ограниченной учетной записью - проверим - остался в автозапуске SpyEye или был удален скриптом.

лог как вы просили:

Прикрепленные файлы

KRAPCHINA_2012-07-16_13-16-22.7z (121.01 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.07.2012 13:24:41

файл из автозапуска удален,
но для полноценной очистки вашей системы, под учетной записью с администраторскими правами установить малваребайт
и выполнить быстрое сканирование.
(попросите это сделать ваших администраторов.)

[ Как создать образ автозапуска? ]

[ Закрыто ] Оперативная память = userinit.exe(1980) - модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна