<?xml version="1.0" encoding="windows-1251"?>
<rss version="2.0">
	<channel>
		<title>Форум esetnod32.ru [тема: Нашли  Win32/Exploit.CVE-2017-0147.A]</title>
		<link>http://forum.esetnod32.ru</link>
		<description>Новое в теме Нашли  Win32/Exploit.CVE-2017-0147.A форума  на сайте Форум esetnod32.ru [forum.esetnod32.ru]</description>
		<language>ru</language>
		<docs>http://backend.userland.com/rss2</docs>
		<pubDate>Mon, 27 Apr 2026 14:33:47 +0300</pubDate>
		<item>
			<title>Нашли  Win32/Exploit.CVE-2017-0147.A</title>
			<description><![CDATA[<b><a href="http://forum.esetnod32.ru/messages/forum6/topic14619/message103402/">Нашли  Win32/Exploit.CVE-2017-0147.A</a></b> в форуме <a href="http://forum.esetnod32.ru/forum6/">Обнаружение вредоносного кода и ложные срабатывания</a>. <br />
			добавьте лог журнала обнаружения угроз<br /><noindex><a href="http://forum.esetnod32.ru/forum9/topic1408/" target="_blank" rel="nofollow">http://forum.esetnod32.ru/forum9/topic1408/</a></noindex><br /><br />источник - это внешняя сеть, из которой атакуется ваша система с использованием уязвимости системных служб.<br />этот файл и есть полезная нагрузка для эксплойта<br />C:\WINDOWS\mssecsvc.exe<br />в случае его запуска через этот файлик начнется подгружаться "спецназ" в виде шифратора WNCRY или червя с функцией майнера или т.п. <br />
			<i>30.05.2018 16:06:26, santy.</i>]]></description>
			<link>http://forum.esetnod32.ru/messages/forum6/topic14619/message103402/</link>
			<guid>http://forum.esetnod32.ru/messages/forum6/topic14619/message103402/</guid>
			<pubDate>Wed, 30 May 2018 16:06:26 +0300</pubDate>
			<category>Обнаружение вредоносного кода и ложные срабатывания</category>
		</item>
		<item>
			<title>Нашли  Win32/Exploit.CVE-2017-0147.A</title>
			<description><![CDATA[<b><a href="http://forum.esetnod32.ru/messages/forum6/topic14619/message103401/">Нашли  Win32/Exploit.CVE-2017-0147.A</a></b> в форуме <a href="http://forum.esetnod32.ru/forum6/">Обнаружение вредоносного кода и ложные срабатывания</a>. <br />
			Ок!<br />Спасибо.<br />Сделаем.<br /> П,С, &nbsp; А из логов ESET &nbsp;нельзя выдрать почему был алярм на &nbsp;<br />C:\WINDOWS\mssecsvc.exe;Win32/Exploit.CVE-2017-0147.A &nbsp; ? Источник найти? <br />
			<i>30.05.2018 15:48:10, Kostik Likov.</i>]]></description>
			<link>http://forum.esetnod32.ru/messages/forum6/topic14619/message103401/</link>
			<guid>http://forum.esetnod32.ru/messages/forum6/topic14619/message103401/</guid>
			<pubDate>Wed, 30 May 2018 15:48:10 +0300</pubDate>
			<category>Обнаружение вредоносного кода и ложные срабатывания</category>
		</item>
		<item>
			<title>Нашли  Win32/Exploit.CVE-2017-0147.A</title>
			<description><![CDATA[<b><a href="http://forum.esetnod32.ru/messages/forum6/topic14619/message103400/">Нашли  Win32/Exploit.CVE-2017-0147.A</a></b> в форуме <a href="http://forum.esetnod32.ru/forum6/">Обнаружение вредоносного кода и ложные срабатывания</a>. <br />
			java лучше деинсталлировать, если не используется (оч. устаревшая версия), или обновить до актуальной версии.<br /><br />судя по образу ничего серьезного не попало вместе с эксплойтом, т.е. он был прибит до выполнения полезной нагрузки.<br /><br />выполняем скрипт в uVS:<br />- скопировать содержимое кода в буфер обмена;<br />- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;<br />- закрываем все браузеры перед выполнением скрипта;<br />при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем &quot;да&quot;<br />
====code====
<pre>

;uVS v4.0.12 &#91;http://dsrt.dyndns.org&#93;
;Target OS: NTv6.1
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

apply

; Java(TM) 6 Update 23
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216023FF} /quiet
deltmp
delref {23E5D772-327A-42F5-BDEE-C65C6796BB2A}&#92;&#91;CLSID&#93;
delref {177AFECE-9599-46CF-90D7-68EC9EEB27B4}&#92;&#91;CLSID&#93;
delref {CEF51277-5358-477B-858C-4E14F0C80BF7}&#92;&#91;CLSID&#93;
delref {59116E30-02BD-4B84-BA1E-5D77E809B1A2}&#92;&#91;CLSID&#93;
delref %Sys32%&#92;DRIVERS&#92;RDVGKMD.SYS
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}&#92;&#91;CLSID&#93;
delref {166B1BCA-3F9C-11CF-8075-444553540000}&#92;&#91;CLSID&#93;
delref {233C1507-6A77-46A4-9443-F871F945D258}&#92;&#91;CLSID&#93;
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}&#92;&#91;CLSID&#93;
delref {761497BB-D6F0-462C-B6EB-D4DAF1D92D43}&#92;&#91;CLSID&#93;
delref {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBC}&#92;&#91;CLSID&#93;
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}&#92;&#91;CLSID&#93;
delref {D27CDB6E-AE6D-11CF-96B8-444553540000}&#92;&#91;CLSID&#93;
delref %Sys32%&#92;DRIVERS&#92;TSUSBHUB.SYS
delref %Sys32%&#92;BLANK.HTM
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}&#92;&#91;CLSID&#93;
delref HELPSVC&#92;&#91;SERVICE&#93;
delref SACSVR&#92;&#91;SERVICE&#93;
delref VMMS&#92;&#91;SERVICE&#93;
delref MESSENGER&#92;&#91;SERVICE&#93;
delref RDSESSMGR&#92;&#91;SERVICE&#93;
delref %SystemDrive%&#92;PROGRAM FILES&#92;WINPCAP&#92;RPCAPD.INI
delref %Sys32%&#92;DRIVERS&#92;SYNTH3DVSC.SYS
delref %Sys32%&#92;PSXSS.EXE
delref %Sys32%&#92;SHAREMEDIACPL.CPL
delref {427F5631-44BE-45D4-8094-AC7ABA0FF83D}&#92;&#91;CLSID&#93;
delref {8658A9E4-3812-49D2-9654-278645E2ABA5}&#92;&#91;CLSID&#93;
delref {8E4BEB46-C00F-4719-AD49-E75E839C6889}&#92;&#91;CLSID&#93;
delref {935D9903-1FAB-4F46-B7F7-1AAF606DAFD7}&#92;&#91;CLSID&#93;
delref {97E289A5-C277-4114-8F3A-DAC14CFB7777}&#92;&#91;CLSID&#93;
delref {DB7ACFA2-9634-4C98-BC9D-FB9416153022}&#92;&#91;CLSID&#93;
delref {FF7422A6-9167-45B2-B13C-C186FE778ECA}&#92;&#91;CLSID&#93;
;-------------------------------------------------------------

restart
</pre>
=============
<br />перезагрузка, пишем о старых и новых проблемах.<br />------------<br />далее,<br />сделайте дополнительно быструю проверку системы в малваребайт<br /><noindex><a href="http://forum.esetnod32.ru/forum9/topic10688/" target="_blank" rel="nofollow">http://forum.esetnod32.ru/forum9/topic10688/</a></noindex> <br />
			<i>30.05.2018 15:42:40, santy.</i>]]></description>
			<link>http://forum.esetnod32.ru/messages/forum6/topic14619/message103400/</link>
			<guid>http://forum.esetnod32.ru/messages/forum6/topic14619/message103400/</guid>
			<pubDate>Wed, 30 May 2018 15:42:40 +0300</pubDate>
			<category>Обнаружение вредоносного кода и ложные срабатывания</category>
		</item>
		<item>
			<title>Нашли  Win32/Exploit.CVE-2017-0147.A</title>
			<description><![CDATA[<b><a href="http://forum.esetnod32.ru/messages/forum6/topic14619/message103399/">Нашли  Win32/Exploit.CVE-2017-0147.A</a></b> в форуме <a href="http://forum.esetnod32.ru/forum6/">Обнаружение вредоносного кода и ложные срабатывания</a>. <br />
			Есть отдельный комп с WIN 7 <br />ESSET &nbsp;обнаружил &nbsp; &nbsp;Win32/Exploit.CVE-2017-0147.A <br /> Накатили СП 1 и заплатку из КВ 4012212 <br />перегрузили<br />Сделал файл образа автозапуска &nbsp;по инструкции <br /><noindex><a href="http://forum.esetnod32.ru/forum9/topic2687/" target="_blank" rel="nofollow">http://forum.esetnod32.ru/forum9/topic2687/</a></noindex><br /><br />сам файл здесь &nbsp;<noindex><a href="http://rgho.st/6v7yRDWQD" target="_blank" rel="nofollow">http://rgho.st/6v7yRDWQD</a></noindex><br />Сейчас запустил полное сканирование.<br /> За результатом отпишусь<br />комп не в интернете а локальной сети<br />Проверьте пожалуйста &nbsp;Что у нас не так. <br />Спасибо<br /><br />Проверка ничего не обнаружила &nbsp;Чисто. <br />
			<i>30.05.2018 15:25:38, Kostik Likov.</i>]]></description>
			<link>http://forum.esetnod32.ru/messages/forum6/topic14619/message103399/</link>
			<guid>http://forum.esetnod32.ru/messages/forum6/topic14619/message103399/</guid>
			<pubDate>Wed, 30 May 2018 15:25:38 +0300</pubDate>
			<category>Обнаружение вредоносного кода и ложные срабатывания</category>
		</item>
	</channel>
</rss>
