Форум esetnod32.ru [тема: Китайские проги и т.д.] http://forum.esetnod32.ru Новое в теме Китайские проги и т.д. форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Sun, 03 May 2026 13:55:02 +0300 Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
Есть точки восстановления? Вы проверили?
=============
Что-то мне подсказывает, что их нет. Закон подлости обычно играет со мной до конца. Проверю, как дома будут.
11.11.2016 16:00:15, Денис Кузьминов.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95882/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95882/ Fri, 11 Nov 2016 16:00:15 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Денис Кузьминов написал:

====quote====
 santy  написал:
лучше откатить систему на момент, когда система нормально работала.
=============
А если нет точек восстановления? Или что имели в виду под откатом?
=============
да, под откатом систему я имею ввиду восстановление системы из безопасной точки восстановления.
Есть точки восстановления? Вы проверили?
11.11.2016 15:31:55, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95881/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95881/ Fri, 11 Nov 2016 15:31:55 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
лучше откатить систему на момент, когда система нормально работала.
=============
А если нет точек восстановления? Или что имели в виду под откатом?
11.11.2016 14:42:33, Денис Кузьминов.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95880/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95880/ Fri, 11 Nov 2016 14:42:33 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Если безопасный режим не работает, в таком случае лучше откатить систему на момент, когда система нормально работала.
+
добавить новый образ автозапуска для проверки системы.
11.11.2016 12:11:13, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95869/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95869/ Fri, 11 Nov 2016 12:11:13 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Ничего не помогло. Когда зашел в безопасный режим, компьютер мне сразу же выдал ошибку (скрин прилагается). Потом, я запустил утилиту, но тут мне опять выдали ошибку instup (скрин есть) и ничего не удалилось. Прописал в командной строке, что вы сказали, но тоже безрезультатно. Кроме аваста не удаляется ещё одна программа Anti-malware (скрин, опять же прилагается). Ну и автозапуск, конечно же.

Спасибо за терпение и помощь.



DENIS-SKAT_2016-11-11_08-20-27.7z
11.11.2016 11:51:31, Денис Кузьминов.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95867/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95867/ Fri, 11 Nov 2016 11:51:31 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
скрипт отработал как положено, заменил протрояненные dll на чистые.
DNSapi.dll теперь чистые, без троянов.

судя по образу, у вас AVAST покалечен. необходимо его вычистить с помощью утилиты из безопасного режима системы
https://www.avast.ru/uninstall-utility

после удаления проверьте доступ к сети.
если проблемы сохранятся,
запустите cmd.exe с правами администратора и выполните команду

====quote====
netsh winsock reset catalog
=============
перегрузите систему,
проверьте доступ к сети.

если не поможет,
добавьте новый образ автозапуска.
10.11.2016 09:11:51, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95845/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95845/ Thu, 10 Nov 2016 09:11:51 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Извините за задержку, но у меня всё стало ещё хуже. Из трея пропали текущие подключения, а из сетевых подключений нельзя зайти (скрин приложен), Так что теперь у меня нет доступа к интернету с компьютера. Только сейчас смог зайти с другого места. Вся нижняя панель вместе с пуском, так и не работает. Практически любые программы теперь перед тем как открыться, спрашивают чем открыть, забывая настройки по умолчанию. Анти-вирус выдаёт ошибку и не включается вообще. Вот такие дела.

На почту файл zoo скинул.
DENIS-SKAT_2016-11-07_09-08-11.7z
2016-11-07_09-01-52_log.txt

10.11.2016 08:21:23, Денис Кузьминов.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95843/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95843/ Thu, 10 Nov 2016 08:21:23 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Денис,
да, пропатчены системные dll

1. скачайте по ссылке архив с чистыми файлами dnsapi.dll
http://rgho.st/6vRmZl4jv
2. распакуйте архив в папку, откуда вы будете запускать uVS

далее, только если выполнены действия 1 и 2!

3. выполните данный скрипт в uVS


выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

====code==== 
;uVS v3.87.7 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
OFFSGNSAVE
;------------------------autoscript---------------------------

zoo %SystemRoot%\SYSWOW64\DNSAPI.DLL
zoo %Sys32%\DNSAPI.DLL

EXEC cmd /c "rename %SystemRoot%\SYSWOW64\DNSAPI.DLL DNSAPI.DLL.old"
EXEC cmd /c "rename %Sys32%\DNSAPI.DLL DNSAPI.DLL.old"
EXEC cmd /c "copy DNSAPI.DLL %sys32%\DNSAPI.DLL"
EXEC cmd /c "copy DNSAPI64.DLL %SystemRoot%\SYSWOW64\DNSAPI.DLL" 
czoo
;-------------------------------------------------------------

restart
=============

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (файл по формату: ZOO_yyyy-mm-dd_hh-mm-ss.rar/или 7z)  отправить в почту sendvirus2011@gmail.com, safety@chklst.ru

+
добавьте новый образ автозапуска для контроля.
07.11.2016 05:09:43, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95786/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95786/ Mon, 07 Nov 2016 05:09:43 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
C:\WINDOWS\SYSWOW64\DNSAPI.DLL
https://virustotal.com/ru/file/2e80cdd03ed614d5b844d639a3eb12104d6084127afa9b14­1b6dad3ec7fbffdc/anal...
C:\WINDOWS\SYSTEM32\DNSAPI.DLL
https://virustotal.com/ru/file/2e80cdd03ed614d5b844d639a3eb12104d6084127afa9b14­1b6dad3ec7fbffdc/anal...

Насчет проблем: всё так же, новых не появилось.
DENIS-SKAT_2016-11-06_22-07-03.7z
06.11.2016 20:26:05, Денис К.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95785/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95785/ Sun, 06 Nov 2016 20:26:05 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
уже лучше, китайского антивируса нет в автозапуске.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
====code==== 

;uVS v3.87.7 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
OFFSGNSAVE
zoo %SystemDrive%\PROGRAM FILES (X86)\SCREENUP\FUTURE_HELPER.EXE
addsgn 1A17C49A5583338CF42B467603C8128EF501BE9AB2FF8B03C1C3B1ACDBDB29306717461D4E2098A122DE849FCD564D39957E8F72555160A76F1B9F2A537D6673 8 Win32/RiskWare.NetFilter

addsgn 98EC888F4991C672A8D4BECD64A212FA3096077C89591F68F9C3AFBCAFC36DB7A91760572E299D232B7F9183BD9C49597DCF94723FDA4F39318C2E2F6406320F 8 Trojan.Turboinstall.12 [DrWeb]

zoo %SystemDrive%\USERS\DENIS\APPDATA\LOCAL\MZIZNTM0MZC=\S_INST.EXE
;------------------------autoscript---------------------------

chklst
delvir

;delref %Sys32%\DNSAPI.DLL

;delref %SystemRoot%\SYSWOW64\DNSAPI.DLL

deldirex %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS

delref {BA0C978D-D909-49B6-AFE2-8BDE245DC7E6}\[CLSID]

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCCFIFBOJENKENPKMNBNNDEADPFDIFFOF%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGOMEKMIDLODGLBBMALCNEEGIEACBDMKI%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DNLBEJMCCBHKNCGOKJCMGHPFLOAAJCFFJ%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD%26INSTALLSOURCE%3DONDEMAND%26UC

delref {10921475-03CE-4E04-90CE-E2E7EF20C814}\[CLSID]

delref %SystemDrive%\USERS\DENIS\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\CHROMEDEFAULTDATA\EXTENSIONS\OJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD\12.0.11_0\ПОИСК MAIL.RU

regt 28
regt 29
deltmp
delnfr
;-------------------------------------------------------------

restart
=============
перезагрузка, пишем о старых и новых проблемах.
------------
+
проверьте эти системные файлы на http://virustotal.com


====quote====
C:\WINDOWS\SYSWOW64\DNSAPI.DLL
C:\WINDOWS\SYSTEM32\DNSAPI.DLL

=============
и дайте ссылку на линки проверок, возможно они модифицированы трояном.
(удалять их пока не надо, если модифицированы, мы их заменим на чистые файлы.)
06.11.2016 19:45:24, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95784/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95784/ Sun, 06 Nov 2016 19:45:24 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
При включении windows китайские проги не появились, диспетчере задач их тоже нет. Всё остальное, что описывал в первом посте, осталось.
DENIS-SKAT_2016-11-06_20-12-35.7z
06.11.2016 18:24:23, Денис К.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95783/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95783/ Sun, 06 Nov 2016 18:24:23 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
выполните этот же скрипт, но из безопасного режима системы.
+
новый образ автозапуска после выполнения скрипта.
06.11.2016 17:48:25, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95781/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95781/ Sun, 06 Nov 2016 17:48:25 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Произошла какая-то ошибка во время выполнения скрипта, прикладываю лог. Всё осталось по-прежнему.
DENIS-SKAT_2016-11-06_19-01-49.7z
2016-11-06_18-56-51_log.txt
06.11.2016 17:38:09, Денис К.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95780/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95780/ Sun, 06 Nov 2016 17:38:09 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
====code==== 

;uVS v3.87.7 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
OFFSGNSAVE
sreg

delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\KXESCORE.EXE
delref %Sys32%\DRIVERS\KSAPI64.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\12.0.18061.220\QMUDISK64_EV.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\12.0.18061.220\QQPCHW-X64_EV.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\12.0.18061.220\SOFTAAL64_EV.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\12.0.18061.220\TSNETHLPX64_EV.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\SECURITY\KXESCAN\KDHACKER64.SYS
delref %Sys32%\DRIVERS\KISKNL.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\SECURITY\KSNETM\KISNETM64.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\KINGSOFT ANTIVIRUS\KXETRAY.EXE
delref %SystemDrive%\USERS\DENIS\APPDATA\LOCAL\TEMP\SERVICESC.EXE
areg
=============
перезагрузка, пишем о старых и новых проблемах.
------------
+
добавьте новый образ автозапуска системы.
06.11.2016 16:46:22, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95778/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95778/ Sun, 06 Nov 2016 16:46:22 +0300 Обнаружение вредоносного кода и ложные срабатывания Китайские проги и т.д. Китайские проги и т.д. в форуме Обнаружение вредоносного кода и ложные срабатывания.
Что-то установило кучу программ, в том числе несколько китайских (kingsoft), какие-то якобы анти-вирусы. В хроме теперь стоит приложение lowcostbar, его нельзя выключить или удалить, кнопки просто не активны. Из поисковика Google идёт перенаправление на рамблер во время поиска. Из меню "программы и компоненты" удалил, что смог, но я так понимаю этого мало и они опять восстановятся. Меню пуск, поиск и элементы трея не разворачиваются от левого щелчка мыши. Пожалуйста, помоги.
DENIS-SKAT_2016-11-06_17-47-49.7z
06.11.2016 16:10:17, Денис К.]]> http://forum.esetnod32.ru/messages/forum6/topic13633/message95776/ http://forum.esetnod32.ru/messages/forum6/topic13633/message95776/ Sun, 06 Nov 2016 16:10:17 +0300 Обнаружение вредоносного кода и ложные срабатывания