Дорогие участники форума!

Наш форум переведен в режим работы "только для чтения", публикация новых тем и сообщений недоступна. Мы искренне благодарны вам за то, что были с нами, но пришло время двигаться дальше.

На данный момент приобретение лицензий ESET через наш сайт недоступно.
В качестве альтернативы предлагаем антивирусные решения PRO32 — надёжную защиту от киберугроз и высокую производительность для устройств на Windows и Android.

Приглашаем вас присоединиться к новому форуму PRO32.

Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Добавьте лицензию в корзину и примените промокод при оформлении заказа.

Перейти на PRO32
Поиск  Пользователи  Правила  Войти
Центр вирусных исследований и аналитики Обнаружение вредоносного кода и ложные срабатывания

[ Закрыто ] Win32/SpyVoltar.A , модифицированный Win32/SpyVoltar.A троянская программа очистка невозможна

1
RSS
 
magellan
magellan
Пользователь
Сообщений: 9
Баллов: 4
Регистрация: 16.11.2012
Размещено 16.11.2012 11:35:10
Здравствуйте.

NOD 32 обнаружил вирус. Сообщение из журнала: Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Documents and Settings\Admin\Application Data\services.exe модифицированный Win32/SpyVoltar.A троянская программа очистка невозможна. Здесь прочитал, что нужно сделать лог в программе uVS. Файл прилагаю. Заранее благодарен за Вашу работу.
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 16.11.2012 12:20:30
Здравствуйте!

Выполните следующий скрипт в uVS:
- запускаете программу еще раз, ожидаете пока закончится построения списка (убедитесь что программа извлечена из архива в отдельную папку. не нужно запускать ее из самого архива);
- копируете следующий текст из поля "Код" в буфер обмена (выделяете текст мышкой, затем щелкаете правой кнопкой и выбираете Копировать текст);
Код
;;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\SERVICES.EXE
bl E9028AC15E311BF57927BF237CAF504F 163840
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\SERVICES.EXE
deltmp
delnfr
delref HTTP://BROWSERHELP2.RU
delhst 127.0.0.1 fraudtarot.net
delhst 127.0.0.1 vl.ff.avast.com
delhst 127.0.0.1 su.ff.avast.com
delhst 217.73.58.60 img9.imgsmail.ru
delhst 217.73.58.60 img8.imgsmail.ru
delhst 217.73.58.60 img7.imgsmail.ru
delhst 217.73.58.60 img6.imgsmail.ru
delhst 217.73.58.60 img5.imgsmail.ru
delhst 217.73.58.60 img4.imgsmail.ru
delhst 217.73.58.60 img3.imgsmail.ru
delhst 217.73.58.60 img2.imgsmail.ru
delhst 217.73.58.60 img1.imgsmail.ru
delhst 217.73.58.60 img0.imgsmail.ru
delhst 217.73.58.60 cdn.connect.mail.ru
delhst 217.73.58.60 stg.odnoklassniki.ru
delhst 217.73.58.60 st9.userapi.com
delhst 217.73.58.60 st8.userapi.com
delhst 217.73.58.60 st7.userapi.com
delhst 217.73.58.60 st6.userapi.com
delhst 217.73.58.60 st5.userapi.com
delhst 217.73.58.60 st4.userapi.com
delhst 217.73.58.60 st3.userapi.com
delhst 217.73.58.60 st2.userapi.com
delhst 217.73.58.60 st1.userapi.com
delhst 217.73.58.60 st0.userapi.com
delhst 217.73.58.60 userapi.com
czoo
restart

- затем слева наверху выбираете пункт Скрипт - Выполнить скрипт находящийся в буфере обмена;
- скрипт должен автоматически появиться в этом окне. если он не появился или там находится не то что вы скопировали, то удаляете содержимое и вставляете текст скрипта правой кнопкой мыши;
- обязательно закрываете все открытые браузеры (Opera, Mozilla, IE), отключаете в антивирусе защиту (обычно правой кнопкой мыши по иконке в трее - Временно отключить защиту или т.п.) и жмете в uVS кнопку Выполнить;
- ждете окончания выполнения скрипта в программе. если будут появляться различные запросы на удаление программ, то везде нажимаем кнопки Да или Далее;
- по окончанию выполнения скрипта компьютер перезагрузится.
- в папке, откуда запускали программу (uVS), появится новый архив с сегодняшней датой и временем - например 2012-03-09_09-29-00.7z - это архив с вирусами, егнужно прислать на электронный адрес [email protected].
- после перезагрузки делаем лог Mbam как написано здесь (можно выполнить быструю проверку, а не полную). программу можно скачать отсюда. ссылку на лог выложить сюда.
Правильно заданный вопрос - это уже половина ответа
 
magellan
magellan
Пользователь
Сообщений: 9
Баллов: 4
Регистрация: 16.11.2012
Размещено 16.11.2012 12:57:27
Благодарю Вас за оперативный ответ. Согласно рекомендациям выполнил скрипт, отправил созданный архив на указанный выше почтовый адрес, также прилагаю лог Mbam.
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 16.11.2012 12:59:26
Вот это удалите:
Цитата
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Expl­orer|NoSMHelp (PUM.Hijack.Help) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
Мбам потом можно удалить. Если проблем больше нет - Выполните рекомендации
Правильно заданный вопрос - это уже половина ответа
 
magellan
magellan
Пользователь
Сообщений: 9
Баллов: 4
Регистрация: 16.11.2012
Размещено 16.11.2012 13:02:16
Цитата
Арвид пишет:
Вот это удалите:
[QUOTE]HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer|NoSMHelp (PUM.Hijack.Help) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
Извиняюсь, то есть удалить вручную параметр реестра через regedit?
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 16.11.2012 13:04:26
Нет, в Мбам поставить галочку и нажать Удалить
Правильно заданный вопрос - это уже половина ответа
 
magellan
magellan
Пользователь
Сообщений: 9
Баллов: 4
Регистрация: 16.11.2012
Размещено 16.11.2012 13:12:46
Указанный параметр успешно удален. Рекомендации выполнены. Жму руку и благодарю за помощь.
 
1
Читают тему