Помогите: lsass.exe - модифицированный Win32/SpyVoltar.A - Форум технической поддержки ESET NOD32

Сообщений: 22

Баллов: 11

Регистрация: 02.11.2012

Размещено 03.11.2012 00:03:38

Помогите справиться с этим:

Клиническая картина: постоянно выскакивает сообщение "Яндекс.Защитник": изменилась домашняя страница, открывается сайт speed2 или browserhelp2 при открытии браузера, и не могу попасть в личный кабиинет в он-лан банке - выскакиваю на какую-то "подложку".
Первичный осмотр нодом: 8 троянов удалено, 1 удалить невозможно.
Оперативная память = C:\Users\Светлана\AppData\Roaming\lsass.exe - модифицированный Win32/SpyVoltar.A троянская программа - очистка невозможна.
Прикрепляю файл: вроде образ автозапуска, - тупо сделала по написанному http://forum.esetnod32.ru/forum9/topic2687/ничего не понимая. :oops:

Что дальше делать, как излечить мою Соньку?

Прикрепленные файлы

СВЕТЛАНА-VAIO_2012-11-02_23-43-05.7z (521.39 КБ)

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 03.11.2012 00:21:10

Скопировать текст КОДА - в буфер обмена.
uVS: start.exe, текущий пользователь, меню, скрипты - выполнить скрипт из буфера обмена.
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!
ВНИМАНИЕ : По окончанию выполнения скрипта компьютер выполнит перезагрузку !
На вопросы программы отвечаем: Да !

Код
;uVS v3.76 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 exec MSIEXEC.EXE /X{1AE46C09-2AB8-4EE5-88FB-08CD0FF7F2DF} bl 059FFB75D74173521F4E3BEC425D8E7F 1534976 addsgn 1AD78B9A5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 16 Praetorian bl BE52CE454CE1ADC545948D9A62978711 98304 addsgn 1ABC739A5583798FF42BFB3A8849FE2D268AFC55D9CB5F780CCE898D10D6F8596B268357B748D9786B800DAA062709FAF4E2D44315DAD6A0381F956FC760AE7E 8 LSASS.EXE.Vir bl 9CC5C24E0BCB282202C633F16402E3E1 795960 addsgn 1A06819A5583358CF42B627DA804DEC9E946303A4536D3F3D1E7C1371CF279BBE114C3573E20A1C229BA85EA681C898E5BE5897320FFBAC8596A65C7D73C6371 8 YandexUP zoo %SystemDrive%\USERS\СВЕТЛАНА\APPDATA\ROAMING\LSASS.EXE czoo delall %SystemDrive%\USERS\СВЕТЛАНА\APPDATA\ROAMING\LSASS.EXE chklst delvir regt 1 regt 2 regt 3 regt 12 regt 14 regt 18 deltmp delnfr restart

Код

     

;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

exec MSIEXEC.EXE /X{1AE46C09-2AB8-4EE5-88FB-08CD0FF7F2DF}
bl 059FFB75D74173521F4E3BEC425D8E7F 1534976
addsgn 1AD78B9A5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 16 Praetorian

bl BE52CE454CE1ADC545948D9A62978711 98304
addsgn 1ABC739A5583798FF42BFB3A8849FE2D268AFC55D9CB5F780CCE898D10D6F8596B268357B748D9786B800DAA062709FAF4E2D44315DAD6A0381F956FC760AE7E 8 LSASS.EXE.Vir

bl 9CC5C24E0BCB282202C633F16402E3E1 795960
addsgn 1A06819A5583358CF42B627DA804DEC9E946303A4536D3F3D1E7C1371CF279BBE114C3573E20A1C229BA85EA681C898E5BE5897320FFBAC8596A65C7D73C6371 8 YandexUP

zoo %SystemDrive%\USERS\СВЕТЛАНА\APPDATA\ROAMING\LSASS.EXE
czoo
delall %SystemDrive%\USERS\СВЕТЛАНА\APPDATA\ROAMING\LSASS.EXE
chklst
delvir
regt 1
regt 2
regt 3
regt 12
regt 14
regt 18
deltmp
delnfr
restart

-------------
Архив из папки uVS; (с копиями вирусов для вирлаба, имя автоматически формируется от текущей даты,
например: ZOO_2012-00-20_18-49-40.rar/7z)
... отправить в почту [email protected] ;
*** если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected
+
Далее (даже если проблема решена) выполнить лог программой Malwarebytes
http://forum.esetnod32.ru/forum9/topic682/
Выбрать быстрое сканирование. Отчет предоставить для анализа.

Сообщений: 22

Баллов: 11

Регистрация: 02.11.2012

Размещено 03.11.2012 12:50:09

Цитата
Ластик пишет: Спасибо. Вроде всё сделала. Вот что получилось:

Что-то ещё надо делать? Или мы вылечились?

Сообщений: 12962

Баллов: 10371

Регистрация: 16.03.2010

Размещено 03.11.2012 12:50:55

Далее выполните наши рекомендации пользователям
http://forum.esetnod32.ru/forum9/topic3998/

Сообщений: 22

Баллов: 11

Регистрация: 02.11.2012

Размещено 03.11.2012 16:34:03

Люди, помогите кто-нибудь. Вроде комп почистила, выполнила всё, что тут написали http://forum.esetnod32.ru/messages/forum6/topic7488/message55588/#message55588.
Антивирусник ничего не видит. Но...
Не могу попасть в номральный (читай: официальный) сбербанк он-лайн. Попадаю на какой-то подставной. Как быть? Что делать?
ПС. Простите, если не в соответствующей теме пишу.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 16:42:25

сделайте новый образ автозапуска

[ Как создать образ автозапуска? ]

Сообщений: 22

Баллов: 11

Регистрация: 02.11.2012

Размещено 03.11.2012 17:11:18

Цитата
santy пишет: сделайте новый образ автозапуска

вот.

Прикрепленные файлы

СВЕТЛАНА-VAIO_2012-11-03_16-55-47.7z (519.6 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 17:17:21

напишите адрес сбера, куда вы не можете сейчас попасть

[ Как создать образ автозапуска? ]

Сообщений: 22

Баллов: 11

Регистрация: 02.11.2012

Размещено 03.11.2012 17:25:48

Цитата
santy пишет: напишите адрес сбера, куда вы не можете сейчас попасть

вход через www.sberbank.ru. На главной странице выбрать вкладку "сбербанк онл@йн". После этого по идее попадаешь на esk.sbrf.ru, на которой указаны два телефона. Так вот федеральный должен быть такой: 8 800 555 5550. А я попадаю на страницу где указан телефон 8 800 500 5550(

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 17:30:32

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.76 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE EXEC cmd /c"ipconfig /flushdns" CEXEC cmd /c"ping esk.sbrf.ru" CEXEC cmd /c"tracert esk.sbrf.ru" crimg

без перезагрузки, добавьте новый образ, который будет создан автоматически
------------

[ Как создать образ автозапуска? ]

[ Закрыто ] Помогите: lsass.exe - модифицированный Win32/SpyVoltar.A