Win32/Qhost.PES - Форум технической поддержки ESET NOD32

Сообщений: 8

Баллов: 4

Регистрация: 13.03.2012

Размещено 13.03.2012 14:18:50

C:\Windows\System32\drivers\etc\hosts - Win32/Qhost.PES троянская программа - очищен удалением - изолирован.

Вроде НОД как бы его удаляет,но удаляет только если зайти самостоятельно в WINDOWS\system32\drivers\etc\hosts(там виден еще 1 файл hosts-после чего НОД пишет что это вирус и удаляет этот файл)
Но проблема не решается, т.к. если комп перезагрузить или включить заново-то вирус снова появляется.
Бывает выскакивает предупреждение от НОДа на центр экрана,что не может удалить,пишет что надо перезагруть комп-и так все по новой и по новой.
Помогите пожалуйста убить вирус

мой лог

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.03.2012 14:44:59

сделайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Сообщений: 8

Баллов: 4

Регистрация: 13.03.2012

Размещено 13.03.2012 14:48:59

а вот я выше ссылочку выложил с ним под названием "мой лог"

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.03.2012 14:56:19

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\Y1FIZB.DLL addsgn 729053925465C9CB0AD4AED1DAC8A245250742F6E905E02F6ED3552CC046E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 64 tr. winsock delall %SystemDrive%\DOCUMENTS AND SETTINGS\ВЛАДЕЛЕЦ\LOCAL SETTINGS\TEMP\VVYGD.BAT delall %SystemRoot%\CSRSS.EXE delall E:\RECYCLED\CTFMON.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ICQ\ICQNEWTAB\NEWTAB.HTML delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.KR06.000\FSWAGZ.EXE delall .\\XPSJ1RES.DLL delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\Y1FIZB.DLL delref HTTP://WEBALTA.RU delref HTTP://WEBALTA.RU/POISK deltmp delnfr regt 12 regt 14 EXEC cmd /c"netsh winsock reset catalog" restart

Код

;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\Y1FIZB.DLL
addsgn 729053925465C9CB0AD4AED1DAC8A245250742F6E905E02F6ED3552CC046E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 64 tr. winsock

delall %SystemDrive%\DOCUMENTS AND SETTINGS\ВЛАДЕЛЕЦ\LOCAL SETTINGS\TEMP\VVYGD.BAT
delall %SystemRoot%\CSRSS.EXE
delall E:\RECYCLED\CTFMON.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ICQ\ICQNEWTAB\NEWTAB.HTML
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.KR06.000\FSWAGZ.EXE
delall .\\XPSJ1RES.DLL
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\Y1FIZB.DLL
delref HTTP://WEBALTA.RU
delref HTTP://WEBALTA.RU/POISK
deltmp
delnfr
regt 12
regt 14
EXEC cmd /c"netsh winsock reset catalog"
restart

перезагрузка, пишем о старых и новых проблемах.
!!!
возможно пропадет доступ к сети,
в этом случае
выполните в окне cmd еще раз команду

Цитата
netsh winsock reset catalog

!!!
архив (например: 2011-12-31_23-59-59.rar/7z) из папки uVS отправить в почту [email protected], [email protected]
(если архив не был создан автоматически, добавить папку ZOO (если она не пуста) в архив с паролем virus )
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт

Изменено: santy - 13.03.2012 14:57:24

[ Как создать образ автозапуска? ]

Сообщений: 8

Баллов: 4

Регистрация: 13.03.2012

Размещено 13.03.2012 15:58:35

Выполнил скрипт в uVS

Обнаружена угроза в памяти!
Оперативная память >> Explorer.exe (2340)
Win32/TrojanDownloader.Carberp.AD троянская программа
Очистка невозможна

Сделал дополнительно быструю проверку системы в малваребайт

вот лог сканирования лог

нажать удалить то, что он нашел, или не нужно?

Изменено: Behemoth - 13.03.2012 16:03:34 (дополнение)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.03.2012 16:29:41

----------
по логу мбам:
удалите все найденное,
перегрузите систему,
сделайте новый образ автозапуска, и новый лог сканирования в мбам,
(логи залить сюда: http://rghost.ru)

Изменено: santy - 13.03.2012 16:33:49

[ Как создать образ автозапуска? ]

Сообщений: 8

Баллов: 4

Регистрация: 13.03.2012

Размещено 13.03.2012 16:54:43

Всё новый лог сканирования чист, спасибо большое!

Одна незадача осталась, при загрузке компа выходит следующее сообщение от NOD32:

Обнаружена угроза в памяти!
Оперативная память >> Explorer.exe (2768)
Win32/TrojanDownloader.Carberp.AD троянская программа
Очистка невозможна

-----------------
ну и еще изначально не написал - не работают браузеры и не открывается восстановление системы (Восстановление системы отключено групповой политикой. Для включения восстановления системы свяжитесь с администратором домена)

Изменено: Behemoth - 13.03.2012 16:59:25 (дополнение)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.03.2012 16:59:26

1. просьба все запрашиваемые логи добавлять на форум,
независимо от того чистые они или нет,
2. в предыдущем сообщении я вас попросил новый образ автозапуска и лог малваребайт.
---
без них не получится разрешить те проблемы, что у вас выходят.

Изменено: santy - 13.03.2012 17:00:02

[ Как создать образ автозапуска? ]

Сообщений: 8

Баллов: 4

Регистрация: 13.03.2012

Размещено 14.03.2012 13:29:23

Вот, пожалуйста посмотрите

образ автозапуска

лог малваребайт

Изменено: Behemoth - 14.03.2012 13:29:53

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.03.2012 13:33:21

логи чистые,
выполните сканирование в ESET NOD32 только оперативной памяти,
лог сканирования доавить на форум.

[ Как создать образ автозапуска? ]

[ Закрыто ] Win32/Qhost.PES , C:\Windows\System32\drivers\etc\hosts - Win32/Qhost.PES