Форум esetnod32.ru [тема: Вирусов уйма.] http://forum.esetnod32.ru Новое в теме Вирусов уйма. форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Thu, 30 Apr 2026 08:15:34 +0300 Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
это еще не мешает зачистить, хоть и не в автозапуске.

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
====code==== 
;uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.2

OFFSGNSAVE

addsgn A7679BF0AA0254E34BD4C6E90C881261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C6F10C49F75C4C32EF4CA94AE15DA3BE4AC965B2FC706AB7E 8 Trojan.Win32.Agent.adptx [Kaspersky]

zoo C:\WINDOWS\ISSERVICE.EXE
zoo %Sys32%\ISSERVICE.EXE
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
;-------------------------------------------------------------
CZOO
restart
=============
перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS, созданный после скрипта (например: ZOO_2011-12-31_23-59-59.rar/7z)  отправить в почту sendvirus2011@gmail.com, support@esetnod32.ru  
------------
27.12.2013 12:53:00, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74711/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74711/ Fri, 27 Dec 2013 12:53:00 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Спасибо! желаю поменьше вирусов в Новом году! :)
-----------------------
соединение с каким-то датским айпишником.


====quote====
ESTABLISHED 192.168.4.254:2128 <-> 183.94.213.88:9877
=============

https://www.nic.ru/whois/?query=83.94.213.88
27.12.2013 09:58:29, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74704/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74704/ Fri, 27 Dec 2013 09:58:29 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Сделал... Проблем не наблюдается... Большое Спасибо. С наступающим Вас!
27.12.2013 09:54:03, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74703/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74703/ Fri, 27 Dec 2013 09:54:03 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
вот эту штуку еще надо прибить


====quote====
Полное имя                  C:\WINDOWS\SYSTEM32\PUP_SERVER.EXE
Имя файла                   PUP_SERVER.EXE
Тек. статус                 АКТИВНЫЙ ?ВИРУС? ВИРУС сервис в автозапуске [СЕТЕВАЯ_АКТИВНОСТЬ]
                           
Статус                      ВИРУС
Сигнатура                   Trojan.DownLoader9.2347 [DrWeb] [глубина совпадения 64(64), необх. минимум 8, максимум 64]
                           
www.virustotal.com          2013-12-18 [2013-12-17 09:46:41 UTC ( 1 week, 2 days ago )]
Avast                       Win32:Malware-gen
Kaspersky                   Trojan.Win32.Staser.tvc
DrWeb                       Trojan.DownLoader9.2347
AntiVir                     TR/Downloader.Gen
ESET-NOD32                  a variant of Win32/Agent.QCV
                           
Сохраненная информация      на момент создания образа
Статус                      АКТИВНЫЙ сервис в автозапуске [СЕТЕВАЯ_АКТИВНОСТЬ]
File_Id                     52AD3E2D36000
Linker                      6.0
Размер                      61952 байт
Создан                      20.12.2013 в 13:33:00
Изменен                     20.12.2013 в 13:32:21
Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Доп. информация             на момент обновления списка
pid = 1436                  NT AUTHORITY\SYSTEM
CmdLine                     c:\windows\system32\PuP_SERVER.exe
Процесс создан              13:07:01 [2013.12.26]
С момента создания          20:13:23
parentid = 424              D:\WINDOWS\SYSTEM32\SERVICES.EXE
ESTABLISHED                 192.168.4.254:2128 <-> 183.94.213.88:9877
SHA1                        AD1881AAD5B629B0F9AFE4DE9E4632C01A064AA4
MD5                         FE845C76FCCEBF17EAC1A6C569F0939E
                           
Ссылки на объект            
Ссылка                      HKLM\System\CurrentControlSet\Services\PuP_SERVER\ImagePath
ImagePath                   c:\windows\system32\PuP_SERVER.exe
PuP_SERVER                  тип запуска: Авто (2)
                           
Образы                      EXE и DLL
PUP_SERVER.EXE              C:\WINDOWS\SYSTEM32
                           


=============

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
====code==== 

;uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.2

OFFSGNSAVE
addsgn 4ABC27D9553A288D3ED4AEB164AC9B20258AFCF6BA3A9670D58686D33DA6102F5725C3D8A6447F7971E2CB91697CFA608D5A897678F0E4089B04F1FFC2E415A9 8 Trojan.DownLoader9.2347 [DrWeb]

zoo C:\WINDOWS\SYSTEM32\PUP_SERVER.EXE
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
;-------------------------------------------------------------

restart
=============
перезагрузка, пишем о старых и новых проблемах.
----------
27.12.2013 09:42:14, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74702/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74702/ Fri, 27 Dec 2013 09:42:14 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Образ
HOTLINE_2013-12-27_09-20-19.7z
27.12.2013 09:34:31, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74701/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74701/ Fri, 27 Dec 2013 09:34:31 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
ок, проверим по новому образу.
26.12.2013 21:21:29, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74691/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74691/ Thu, 26 Dec 2013 21:21:29 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy пишет:
а то RP55 растрезвонил уже на весь мир, что что-то пропустили.

=============
:D

====quote====
santy пишет:
фаерволл все таки есть в 2003.

=============
Да есть конечно же, если я не ошибаюсь во всех виндосах есть, я не встречал что бы не было, особенно в серверных ОС. Завтра сделаю образ. Но про вирусы что писал RP55 их нашел мальвербайт в первом моем запуске. С этой машиной старый админ постарался, выставил в свободном доступе(инэте), даже элементарного антивирусника нет, не говоря о фаирволе. Завтра сделаю.
26.12.2013 21:15:49, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74690/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74690/ Thu, 26 Dec 2013 21:15:49 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
тогда сделайте новый образ автозапуска, глянем, что осталось.

а то RP55 растрезвонил уже на весь мир, что что-то пропустили.

фаерволл все таки есть в 2003.


====quote====
В марте 2005 года Microsoft выпустила Windows Server 2003 Service Pack 1, включающий несколько улучшений в брандмауэр данной серверной операционной системы.
=============

26.12.2013 18:40:09, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74682/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74682/ Thu, 26 Dec 2013 18:40:09 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Как я уже писал в начале темы:

====quote====
Владимир  Шариков пишет:
Сейчас начал проверять марвелбайтом, нашел кучу всего! (надеюсь не зря это сделал, т.к. образ создан до проверки)
=============
Вроде тогда он и почистил почти всё. А сейчас уже не чего не находит. Просто не в том порядке пошол, Мальвером почистил, потом еще вашим скриптом. В итоге Мальвер не находит нечего.
26.12.2013 18:34:02, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74681/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74681/ Thu, 26 Dec 2013 18:34:02 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Владимир Шариков пишет:
Я Вас Понял! Скорее всего вирус навредил. Вроде решение есть, и по восстановлению, и по элементарной замене фаирвола. Спасибо еще раз.
=============
да, все таки не дочистили систему,
сделайте быструю проверку в малваребайт. посмотрим, что осталось
26.12.2013 18:16:15, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74680/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74680/ Thu, 26 Dec 2013 18:16:15 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Я Вас Понял! :) Скорее всего вирус навредил. Вроде решение есть, и по восстановлению, и по элементарной замене фаирвола. Спасибо еще раз.
26.12.2013 16:26:06, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74671/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74671/ Thu, 26 Dec 2013 16:26:06 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
а она вообще есть на сервере 2003?

====quote====
uVS v3.81.1 [http://dsrt.dyndns.org]: Microsoft Windows Server 2003 x86 (NT v5.2) build 3790 Service Pack 2 [D:\WINDOWS]
=============

26.12.2013 15:54:05, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74670/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74670/ Thu, 26 Dec 2013 15:54:05 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Службы нет. Вот и думаю что вирус по портил.
26.12.2013 14:09:39, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74669/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74669/ Thu, 26 Dec 2013 14:09:39 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
может служба брэндмауэра отключена? проверьте в службах
26.12.2013 13:40:15, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74668/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74668/ Thu, 26 Dec 2013 13:40:15 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Спасибо! Все как всегда! Идеально! А брандмауэр не запускается, это из за вируса, или настройки?
26.12.2013 13:28:39, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74667/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74667/ Thu, 26 Dec 2013 13:28:39 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
====code==== 
;uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.2

OFFSGNSAVE
addsgn A7679BF0AA020C634BD4C60172881261848AFCF689AA7BF1A0C3C5BC50559D6C704194DE5BBD1E2CD780EE9EB90335EA3DDFB1F15802A66C2D8827221B106273 8 Trojan.DownLoad3.20055 [DrWeb]

zoo C:\WINDOWS\HOST.EXE
addsgn 9204749A556AA5990F89EBE4A7201305258A17AB3217E0877AC0183DBBD6014F23947EDF3A559D49A21D0C9B4616467FB6DCE872D85F24282D77F4D052AF2D73 8 Trojan.DownLoader10.22886 [DrWeb]

zoo C:\WINDOWS\SQLERVER.EXE
zoo C:\RECYCLER\SQLERVER.EXE
zoo C:\SQLERVER.EXE
addsgn A7679BF0AA02D4794AD4C63DD5881261848AFCF689AA7BF1A0C3C5BC5055B5E8704194DE5BBD625C4731C69FE5A6D1B87D7E58EA17DA71C425525B2FC70681CF 8 tr_new_year

zoo %SystemRoot%\AC9642BE\SVCHSOT.EXE
delall C:\RECYCLER\XSZ.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref C:\WINDOWS\IME\CV.EXE

delref C:\WINDOWS\SYSTEM32\WBEM\OSINTER.EXE

delref C:\WINDOWS\JAVA\NET1.EXE

delref C:\WINDOWS\ADDINS\NET.EXE

delref C:\WINDOWS\SYSTEM32\WBEM\EXPLORE.EXE

delref C:\WINDOWS\SYSTEM32\CSX.EXE

deltmp
delnfr
;-------------------------------------------------------------

restart
=============
перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/
26.12.2013 13:06:49, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74666/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74666/ Thu, 26 Dec 2013 13:06:49 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Сейчас начал проверять марвелбайтом, нашел кучу всего! (надеюсь не зря это сделал, т.к. образ создан до проверки)
26.12.2013 13:05:07, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74665/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74665/ Thu, 26 Dec 2013 13:05:07 +0400 Обнаружение вредоносного кода и ложные срабатывания Вирусов уйма. Вирусов уйма. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Прошу проверить машину, думаю заражена всем что можно.
santy Выручай! :)
HOTLINE_2013-12-26_12-47-59.7z
26.12.2013 12:58:34, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic10425/message74664/ http://forum.esetnod32.ru/messages/forum6/topic10425/message74664/ Thu, 26 Dec 2013 12:58:34 +0400 Обнаружение вредоносного кода и ложные срабатывания