Форум esetnod32.ru [тема: говорит червь] http://forum.esetnod32.ru Новое в теме говорит червь форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Mon, 20 Apr 2026 16:24:26 +0300 говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
дополнительно необходимо очистить hosts, поскольку есть записи с перенаправлением на другие страницы


====quote====
210.51.166.253 vkontakte.ru          
210.51.166.253 www.vkontakte.ru
210.51.166.253 odnoklassniki.ru
210.51.166.253 www.odnoklassniki.ru
210.51.166.253 odnoklasniki.ru
210.51.166.253 www.odnoklasniki.ru
=============
так же очистить список Persistent routes, скорее всего блокируются адреса обновления антивируса:

====quote====
212.59.118.0,255.255.255.0,192.168.1.0,1
195.222.17.0,255.255.255.0,192.168.1.0,1
74.55.143.0,255.255.255.0,192.168.1.0,1
81.176.230.0,255.255.255.0,192.168.1.0,1
194.67.52.0,255.255.255.0,192.168.1.0,1
184.84.67.0,255.255.255.0,192.168.1.0,1
80.239.197.0,255.255.255.0,192.168.1.0,1
38.117.98.0,255.255.255.0,192.168.1.0,1

=============
для зачистки выполните приложенный скрипт в uVS,
после перезагрузки,

выполните наши рекомендации по безопасной работе в сети, применительно к вашей системе.
http://forum.esetnod32.ru/forum9/topic751/
script4.txt
13.03.2011 07:05:47, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14115/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14115/ Sun, 13 Mar 2011 07:05:47 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
делаю нодом проверку на всех станциях, большое спасибо за своевременную и качественную поддержку!
11.03.2011 15:22:10, Игорь Лобзиков.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14050/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14050/ Fri, 11 Mar 2011 15:22:10 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Игорь Лобзиков пишет:
нет я флешкой перенесу, выполнил скрипт но не в безопасном, поздно прочитал сообщение, посмотрите лог, стоит еще раз отработать в безопасном?
=============
сейчас чисто.

теперь надо аккуратно зачистить ВСЕ (в том числе и эту) машины СКАНЕРОМ Нода с обновленными базами,
потому что червь расползся по дискам, и маскируется под папки.
---
можно так же сканером uVS воспользоваться, сейчас в нем добавлена сигнатура sohanad_vir, но лучше,
рекомендую ПОЛНУЮ ЗАЧИСТКУ сделать сканером НОДА.

uVS удалил все моды червя из автозапуска, да диске они наврняка еще сохранились, но они неактивны.
11.03.2011 14:48:29, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14049/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14049/ Fri, 11 Mar 2011 14:48:29 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
нет я флешкой перенесу, выполнил скрипт но не в безопасном, поздно прочитал сообщение, посмотрите лог, стоит еще раз отработать в безопасном?
DIREKTOR_2011-03-11_14-34-35.rar
11.03.2011 14:39:26, Игорь Лобзиков.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14048/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14048/ Fri, 11 Mar 2011 14:39:26 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
если не используете зеркало для обновления, а напрямую обновляетесь из инета - я могу записать зеркало на хостинг.
НАДО?
11.03.2011 14:32:21, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14047/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14047/ Fri, 11 Mar 2011 14:32:21 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
скрипт попробуйте выполнить в безопасном режиме, видимо защищает файлы активный процесс.
11.03.2011 14:27:57, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14046/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14046/ Fri, 11 Mar 2011 14:27:57 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Игорь Лобзиков пишет:
антивирус стоит, нужна сеть чтоб обновить с зеркала и обновить до полной версии
можно сеть подкинуть?
=============
нет, пока,
если есть возможность - запишите папку с зеркалом на флэшку, и обновите с флэшки
11.03.2011 14:27:12, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14045/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14045/ Fri, 11 Mar 2011 14:27:12 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
выполните новый скрипт в uVS
после перезагрузки, повторите образ автозапуска.
script3.txt
11.03.2011 14:26:16, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14044/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14044/ Fri, 11 Mar 2011 14:26:16 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
антивирус стоит, нужна сеть чтоб обновить с зеркала и обновить до полной версии
можно сеть подкинуть?
11.03.2011 14:24:49, Игорь Лобзиков.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14043/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14043/ Fri, 11 Mar 2011 14:24:49 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
антивирус установили? выполнили полное сканирование системы?
11.03.2011 14:20:46, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14042/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14042/ Fri, 11 Mar 2011 14:20:46 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
лог после скрипта
DIREKTOR_2011-03-11_14-10-02.rar
11.03.2011 14:14:20, Игорь Лобзиков.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14041/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14041/ Fri, 11 Mar 2011 14:14:20 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
так же надо запустить, как вы создали образ автозапуска, только выполнить другой режим,

Файл - выполнить скрипт из файла.

предваритльно сохраните файл скрипта в папку с uVS, затем надо будет выбртаь его из диалога.
11.03.2011 13:59:02, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14039/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14039/ Fri, 11 Mar 2011 13:59:02 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
в uVS не работал до этого, можно подробней как срипты там отрабатываются, или ссылочку где читать
11.03.2011 13:54:59, Игорь Лобзиков.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14038/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14038/ Fri, 11 Mar 2011 13:54:59 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
закачал, вот такой скрипт выполните в uVS,
после перезагрузки, повторите образ автозапуска.
обратите внимание чтобы все флэшки были чистые, иначе повторное ее заразите,
так же установить антивирус с актуальными базами (обновить можно с локального зеркала), и выполнить полное сканирование системы,

пока машину не пускайте в сеть.
script1.txt
11.03.2011 13:47:39, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14037/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14037/ Fri, 11 Mar 2011 13:47:39 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
ок
DIREKTOR_2011-03-11_13-23-09.rar
11.03.2011 13:44:10, Игорь Лобзиков.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14036/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14036/ Fri, 11 Mar 2011 13:44:10 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
или сделайте перепост лога uVS, но только в добавьте его в архив
11.03.2011 13:38:42, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14035/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14035/ Fri, 11 Mar 2011 13:38:42 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
скорость упала при скачивании файла, медленно качается, ждите...
11.03.2011 13:37:15, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14034/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14034/ Fri, 11 Mar 2011 13:37:15 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
вот логи с зараженной машины
SysInspector-DIREKTOR-110311-1227.zip
DIREKTOR_2011-03-11_13-23-09.txt
11.03.2011 13:27:48, Игорь Лобзиков.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14033/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14033/ Fri, 11 Mar 2011 13:27:48 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Игорь Лобзиков пишет:
сейчас пришлю лог с неё, осталось понять почему там не действуют права админа
=============
там возможны следующие изменения:


====quote====
The following registry entries are set, disabling system software:

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Syst­em
DisableTaskMgr
1

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Syst­em
DisableRegistryTools
1

The following registry entry is also set:

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Expl­orer
NofolderOptions
1
=============
т.е. не запускаются regedit, диспетчер процессов, не отображаются свойства папки и проч...
11.03.2011 13:27:48, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14032/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14032/ Fri, 11 Mar 2011 13:27:48 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
сейчас пришлю лог с неё, осталось понять почему там не действуют права админа
11.03.2011 13:22:01, Игорь Лобзиков.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14031/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14031/ Fri, 11 Mar 2011 13:22:01 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Игорь Лобзиков пишет:
нет не все машины с актуальными базами, одна была нет, она и есть источник, а точнее внешний носитель, недавно вставлялся(
=============
тогда проще, НОД должен выдержать атаку сетевого червя,
а вот с той зараженной машины, сделайте, пожалуйста, логи uVS, но машина, естественно до момента излечения должна быть выключена из сети,

На всех остальных машинах надо запустить полное сканирование всех дисков АНТИВИРУСОМ
11.03.2011 13:14:37, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14030/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14030/ Fri, 11 Mar 2011 13:14:37 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy пишет:
исходные файлы червя.





Цитата  


C:\autorun.inf INF/Autorun вирус очистка невозможна NT AUTHORITY\SYSTEM Событие произошло во вновь созданном файле.
11.03.2011 10:15:00 Защита в режиме реального времени файл C:\SSVICHOSST.exe Win32/Sohanad.NAK червь очищен удалением - изолирован NT AUTHORITY\SYSTEM Событие произошло во вновь созданном файле.
11.03.2011 10:14:59 Защита в режиме реального времени файл C:\New Folder.exe Win32/Sohanad.NAK червь очищен удалением - изолирован NT AUTHORITY\SYSTEM Событие произошло во вновь созданном файле.

http://www.sophos.com/security/analys...hanar.html

все ли машины в сети защищены антивирусами с актуальными базами?
=============

нет не все машины с актуальными базами, одна была нет, она и есть источник, а точнее внешний носитель, недавно вставлялся(
11.03.2011 13:12:41, Игорь Лобзиков.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14029/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14029/ Fri, 11 Mar 2011 13:12:41 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Игорь Лобзиков пишет:

можно немного детальней
=============

при старте uVS есть возможность подключиться к удаленной машине по IP адресу, необходимо указать IP, выбрать текущего поьзователя (если вы являетесь администратором на удаленной машине)
и выполнить указанный скрипт,
(обратите внимание, что я внес исправление)
script.txt
11.03.2011 13:12:41, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14028/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14028/ Fri, 11 Mar 2011 13:12:41 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy пишет:
возможно, такой скрипт поможет вычистить червя на удаленной машине из автозапуска.





Цитата  


;uVS v3.51 script [http://dsrt.jino-net.ru | http://dsrt.dyndns.org]

delall C:\autorun.inf
DELALL C:\SSVICHOSST.exe
cmd /c "REG ADD HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon /v Shell /t REG_SZ /d Explorer.exe /f"
cmd /c "HKCU\Software\Microsoft\Windows\CurrentVersion\Ru n /v Yahoo Messengger /f"
restart

=============

можно немного детальней
11.03.2011 13:07:04, Игорь Лобзиков.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14027/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14027/ Fri, 11 Mar 2011 13:07:04 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
всё так и есть, выяснил с какой машины идет заражение, изолировал. Но очень странная ситуация, я правда немного слаб в этом. В систему вхожу с правами админа, но действует много ограничений, не запускается джек, диспетчер, НОД ругается на лицензию не обновляется. одним словом права не полные, создал еще одну учетную с правами админа, все так же. Как быть дальше?
11.03.2011 13:05:13, Игорь Лобзиков.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14026/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14026/ Fri, 11 Mar 2011 13:05:13 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
возможно, такой скрипт поможет вычистить червя на удаленной машине из автозапуска.


====quote====
;uVS v3.51 script [http://dsrt.jino-net.ru | http://dsrt.dyndns.org]

delall C:\autorun.inf
DELALL C:\SSVICHOSST.exe
cmd /c "REG ADD HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon /v Shell /t REG_SZ /d Explorer.exe /f"
cmd /c "REG DELETE HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v Yahoo Messengger /f"
restart

=============

script.txt
11.03.2011 13:03:28, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14025/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14025/ Fri, 11 Mar 2011 13:03:28 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
возможно, отсюда запускается червь

====quote====
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Yahoo Messengger
<System>\SSVICHOSST.exe

The following registry entry is changed to run SSVICHOSST.exe on startup:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell
Explorer.exe SSVICHOSST.exe
=============

11.03.2011 12:32:31, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14023/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14023/ Fri, 11 Mar 2011 12:32:31 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
зараженную машину необходимо локализовать, отключить из сети, пользоватлей всех предупредите, что активное заражение в сети, чтобы работа была остановлена до излечения всех рабочих станций.
11.03.2011 12:29:07, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14021/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14021/ Fri, 11 Mar 2011 12:29:07 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
исходные файлы червя.


====quote====
C:\autorun.inf INF/Autorun вирус очистка невозможна NT AUTHORITY\SYSTEM Событие произошло во вновь созданном файле.
11.03.2011 10:15:00 Защита в режиме реального времени файл C:\SSVICHOSST.exe Win32/Sohanad.NAK червь очищен удалением - изолирован NT AUTHORITY\SYSTEM Событие произошло во вновь созданном файле.
11.03.2011 10:14:59 Защита в режиме реального времени файл C:\New Folder.exe Win32/Sohanad.NAK червь очищен удалением - изолирован NT AUTHORITY\SYSTEM Событие произошло во вновь созданном файле.

=============
http://www.sophos.com/security/analyses/viruses-and-spyware/w32sohanar.html

все ли машины в сети защищены антивирусами с актуальными базами?
11.03.2011 12:26:36, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14020/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14020/ Fri, 11 Mar 2011 12:26:36 +0300 Обнаружение вредоносного кода и ложные срабатывания говорит червь говорит червь в форуме Обнаружение вредоносного кода и ложные срабатывания.
отключайте расшаренные ресурсы на всех машинах,
возможно, у вас полный доступ открыт на диски C без пароля. если Нод убивает этого червя, то следует выявить комп - источник заражения, отключить от сети, все остальные машины с актуальной защитов (возможно) справятся с удалением червя.
11.03.2011 12:21:51, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic1670/message14019/ http://forum.esetnod32.ru/messages/forum6/topic1670/message14019/ Fri, 11 Mar 2011 12:21:51 +0300 Обнаружение вредоносного кода и ложные срабатывания