Win32/Spy.Agent.OCW / ... .\Temp\FBDB.tmp.exe - Форум технической поддержки ESET NOD32

Сообщений: 2

Баллов: 1

Регистрация: 24.04.2013

Размещено 24.04.2013 03:27:12

Доброго времечка суток, что-то никак сам победить не могу ибо никак все хвосты не найду.
собсно вот проблема
выпадает каждые 10-15 секунд

SHARAPOFF-1215N_2013-04-24_03-15-13.7z (461.34 КБ)

заранее спасибо за помощь

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.04.2013 05:50:30

1. добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

2. выполните скрипт в uVS
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.77.10 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE delall %SystemDrive%\USERS\SHARAP~1\APPDATA\LOCAL\TEMP\FBDB.TMP.EXE deltmp delnfr restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте образ автозапуска в безопасном режиме.

[ Как создать образ автозапуска? ]

Сообщений: 2

Баллов: 1

Регистрация: 24.04.2013

Размещено 25.04.2013 06:46:30

1. собсно, лог угроз
threat.txt (44.27 КБ)

2. ничего пока не делал, в смысле скрипта, но единственное что встало какое-то обновление системы и все прошло само собой...
точнее, еще вчера это обновление безопасности (kb2840149) попросилось, я его подтвердил, оно встало и попросилось перезагрузить, на что было сказано позжее через 4 часа и спустя какое-то время началась эта хрень... комп в итоге так ни разу и не перегружал вчера, а только выключил... сейчас же включил, обновка доставилась и никаких поползновений. антивирь молчит, в темпе все чистенько, в реестре тож строчки нет, хотя вчера после удаления секунд через 10-15 прописывалась опять...
склоняюсь, что это был просто схожий код в апдейте... или какой глюк при установке...
ща на всяк случай еще разок uvs катану и лог приложу
SHARAPOFF-1215N_2013-04-25_06-35-26.7z (458.15 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.04.2013 06:54:33

Цитата
24.04.2013 4:27:18 Защита в режиме реального времени файл C:\Users\SHARAP~1\AppData\Local\Temp\FBDB.tmp.exe Win32/Spy.Agent.OCW троянская программа очищен удалением - изолирован SharapoFF-1215N\SharapoFF Событие произошло в новом файле, созданном следующим приложением: C:\Program Files\Windows NT\Accessories\wordpad.exe. 24.04.2013 4:26:16 Защита в режиме реального времени файл C:\Users\SHARAP~1\AppData\Local\Temp\FBDB.tmp.exe Win32/Spy.Agent.OCW троянская программа очищен удалением - изолирован SharapoFF-1215N\SharapoFF Событие произошло в новом файле, созданном следующим приложением: C:\Program Files\Windows NT\Accessories\wordpad.exe.

Цитата

24.04.2013 4:27:18 Защита в режиме реального времени файл C:\Users\SHARAP~1\AppData\Local\Temp\FBDB.tmp.exe Win32/Spy.Agent.OCW троянская программа очищен удалением - изолирован SharapoFF-1215N\SharapoFF Событие произошло в новом файле, созданном следующим приложением: C:\Program Files\Windows NT\Accessories\wordpad.exe.
24.04.2013 4:26:16 Защита в режиме реального времени файл C:\Users\SHARAP~1\AppData\Local\Temp\FBDB.tmp.exe Win32/Spy.Agent.OCW троянская программа очищен удалением - изолирован SharapoFF-1215N\SharapoFF Событие произошло в новом файле, созданном следующим приложением: C:\Program Files\Windows NT\Accessories\wordpad.exe.

по журналу угроз- возможно пробивало по сети через уязвимости в системе.

образ чистый,
если с системой все в порядке,
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

Изменено: santy - 25.04.2013 06:56:14

[ Как создать образ автозапуска? ]

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 26.04.2013 05:38:38

Цитата
сейчас на рабочем компе тож эту же обновку безопасности накатил и получил точно такое же повизгивание ноды. быстренько ребут и сразу тишины... вобщем, видимо с обновкой косяк какой-то...

а что за обновление вы устанавливали, укажите подробнее.

[ Как создать образ автозапуска? ]