Форум esetnod32.ru [тема: ERAC показывает вирус в d:\system volume information\_restore {...}] http://forum.esetnod32.ru Новое в теме ERAC показывает вирус в d:\system volume information\_restore {...} форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Mon, 27 Apr 2026 16:36:10 +0300 ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
в журналах системы посмотрите отчеты что вызывает ошибку
также стоит глянуть температуру железа - видеокарты, жесткого диска, процессора
10.04.2012 10:07:19, Арвид.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message40037/ http://forum.esetnod32.ru/messages/forum7/topic2060/message40037/ Tue, 10 Apr 2012 10:07:19 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
Периодически уходит в перезагрузку.
10.04.2012 09:01:55, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message40036/ http://forum.esetnod32.ru/messages/forum7/topic2060/message40036/ Tue, 10 Apr 2012 09:01:55 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
как система себя ведет?
09.04.2012 17:10:03, Арвид.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message40007/ http://forum.esetnod32.ru/messages/forum7/topic2060/message40007/ Mon, 09 Apr 2012 17:10:03 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
лог Мбам сообщил, что всё хорошо.
09.04.2012 17:02:52, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message40006/ http://forum.esetnod32.ru/messages/forum7/topic2060/message40006/ Mon, 09 Apr 2012 17:02:52 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
ничего опасного в файле нет
делайте лог Мбам
09.04.2012 16:51:21, Арвид.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message40005/ http://forum.esetnod32.ru/messages/forum7/topic2060/message40005/ Mon, 09 Apr 2012 16:51:21 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
Спасибо за столь оперативный ответ.
Скрипт выполнен.
Но, кажется, проблема осталась. посмотрите ещё раз образ автозапуска, пожалуйста.
В списке подозрительных некий файл G2MUNINSTALL.EXE по пути C:\USERS\A_RACZ\APPDATA\LOCAL\CITRIX\GOTOMEETING\723\G2MUNINST­ALL.EXE
PC-IT-3_2012-04-09_16-28-34.7z
09.04.2012 16:46:46, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message40004/ http://forum.esetnod32.ru/messages/forum7/topic2060/message40004/ Mon, 09 Apr 2012 16:46:46 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
Здравствуйте!

Выполните следующий скрипт в uVS:
- запускаете программу еще раз, ожидаете пока закончится построения списка (убедитесь что программа извлечена из архива в отдельную папку. не нужно запускать ее из самого архива);
- копируете следующий текст из поля "Код" в буфер обмена;
====code==== 
;;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

deltmp
delnfr
exec C:\PROGRAM FILES (X86)\MAIL.RU\SPUTNIK\MAILRUSPUTNIK_RFRLETITBIT2_S_MPCLN9514.EXE UNINSTALL
bl 4E808BD83CC5ECF45163FC7942657A1A 1726552
delall %SystemDrive%\PROGRAM FILES (X86)\MAIL.RU\GUARD\GUARDMAILRU.EXE
delref HTTP://VSHARE.TOOLBARHOME.COM/?HP=DF
delref HTTP://WWW.MAIL.RU/CNT/9514
restart
=============
- затем слева наверху выбираете пункт Скрипт - Выполнить скрипт находящийся в буфере обмена;
- скрипт должен автоматически появиться в этом окне. если он не появился или там находится не то что вы скопировали, то удаляете содержимое и вставляете текст скрипта правой кнопкой мыши;
- обязательно закрываете все открытые браузеры (Opera, Mozilla, IE), отключаете в антивирусе защиту (обычно правой кнопкой мыши по иконке в трее - Временно отключить защиту или т.п.) и жмете в uVS кнопку Выполнить;
- ждете окончания выполнения скрипта в программе. если будут появляться различные запросы на удаление программ, то везде нажимаем кнопки Да или Далее;
- после перезагрузки делаем лог Mbam как написано здесь (можно выполнить быструю проверку, а не полную). программу можно скачать отсюда.
09.04.2012 15:51:43, Арвид.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message40003/ http://forum.esetnod32.ru/messages/forum7/topic2060/message40003/ Mon, 09 Apr 2012 15:51:43 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
Доброго времени суток!
Посмотрите, пожалуйста образ автозапуска и лог SysInspector (-а).
На компьютере, по-видимому, вирус. Компьютер периодически уходит в перезагрузку.
SysInspector-PC-IT-3-120409-1428.zip
PC-IT-3_2012-04-09_14-44-24.7z
09.04.2012 15:48:32, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message40002/ http://forum.esetnod32.ru/messages/forum7/topic2060/message40002/ Mon, 09 Apr 2012 15:48:32 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
ЗАЙТИ В БЕЗОПАСНЫЙ РЕЖИМ

В программе которую скачали выше, запускаем еще раз, только теперь Меню Скрипт выполнить скрипт находящийся в буфере обмена

И вставляем текст скрипта

ПЕРЕД ВЫПОЛНЕНИКМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!

====code==== 
;uVS v3.72 script [http://dsrt.dyndns.org]

delall %SystemDrive%\DOCUMENTS AND SETTINGS\S_LISCHEVICH\APPLICATION DATA\QIPGUARD\QIPGUARD.EXE
zoo %Sys32%\LRBCLQL.DLL
bl 56B320E30F47402C08542BA441AB0951 49152
delall %Sys32%\LRBCLQL.DLL
delref HTTP://QIP.RU
delref HTTP://SEARCH.QIP.RU
deltmp
delnfr
restart
=============
И жмем выполнить.

ПК перезагрузится.
В папке с программой UVS будет папка zoo, ее поместить в архив, установить пароль virus и прислать сюда sendvirus2011@gmail.com
Спасибо.

Выполнить новый лог!
25.11.2011 19:44:22, zloyDi.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message24729/ http://forum.esetnod32.ru/messages/forum7/topic2060/message24729/ Fri, 25 Nov 2011 19:44:22 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
добрый день.
При выполнении скрипта вышла ошибка: "При замене реестр произошла ошибка. Нажмите "ок" для перезагрузка." (и ошибка выглядит пугающе). В перезагрузку система не пошла.
25.11.2011 09:20:59, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message24656/ http://forum.esetnod32.ru/messages/forum7/topic2060/message24656/ Fri, 25 Nov 2011 09:20:59 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
В программе которую скачали выше, запускаем еще раз, только теперь Меню Скрипт выполнить скрипт находящийся в буфере обмена

И вставляем текст скрипта

ПЕРЕД ВЫПОЛНЕНИКМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!

====code==== 
;uVS v3.72 script [http://dsrt.dyndns.org]

zoo %Sys32%\LRBCLQL.DLL
sreg
delref %Sys32%\LRBCLQL.DLL
areg
=============
И жмем выполнить.

ПК перезагрузится.
В папке с программой UVS будет папка zoo, ее поместить в архив, установить пароль virus и прислать сюда sendvirus2011@gmail.com
Спасибо.

Выполнить новый лог!
24.11.2011 17:07:51, zloyDi.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message24543/ http://forum.esetnod32.ru/messages/forum7/topic2060/message24543/ Thu, 24 Nov 2011 17:07:51 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
Спасибо за ссылки.
Пожалуйста, файл.
NACH_CEH_2011-11-24_15-49-30.7z
24.11.2011 15:58:47, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message24531/ http://forum.esetnod32.ru/messages/forum7/topic2060/message24531/ Thu, 24 Nov 2011 15:58:47 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
Все понятно, делайте
http://forum.esetnod32.ru/forum9/topic2687/
24.11.2011 11:51:39, zloyDi.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message24495/ http://forum.esetnod32.ru/messages/forum7/topic2060/message24495/ Thu, 24 Nov 2011 11:51:39 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
Доброго времени суток всем.

Посмотрите, пожалуйста, наш Лог. На компьютере "сидит" вирус. Но удалить не получается...

...
Образ автозапуска по ссылке http://soft.oszone.net/program/8729/U...iffer_uVS/ скачать не получается..
SysInspector-NACH_CEH-111124-0934.zip
24.11.2011 10:13:21, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message24486/ http://forum.esetnod32.ru/messages/forum7/topic2060/message24486/ Thu, 24 Nov 2011 10:13:21 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
Это уже было просмотрено всё. бд сигнатур обновляются, в сети машины работают.

спасибо, развеяли сомнения.
29.06.2011 15:41:52, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17800/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17800/ Wed, 29 Jun 2011 15:41:52 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.

====quote====
anya.rar пишет:
Машины находятся территориально далеко и в ближайшие дни по ряду причин к ним нет возможности удаленно подключиться. я - новичок.
=============
но логи они регулярно отсылают? есть ведь поле "дата последнего коннекта", по нему можно определить... работают эти машины в сети или нет, обновляют ли базы или нет... если свежих записей по этим машинам нет в разделе обнаруженные угрозы, а всего лишь 4-6месячной давности, значит все с ними нормально, и антивир зачистил все что мог.
29.06.2011 14:01:35, santy.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17799/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17799/ Wed, 29 Jun 2011 14:01:35 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
Машины находятся территориально далеко и в ближайшие дни по ряду причин к ним нет возможности удаленно подключиться. я - новичок.
29.06.2011 13:56:48, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17798/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17798/ Wed, 29 Jun 2011 13:56:48 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
вопрос к вам - а какое вы имеете отношение к консоли и серверу ERA? вы администратор в сети, пользователь, или просто проходили мимо и увидели логи 4-6месячной давности?
29.06.2011 13:49:27, santy.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17797/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17797/ Wed, 29 Jun 2011 13:49:27 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
Здравствуйте ещё раз...

В консоли висят в Журнале угроз ещё подобные записи (как в топе) на 4 других машинах. давность записей - 4 -6 месяца назад. Не имею доступ к этим машинам. Записи смущают, возможно как-то проверить наличие реально существующих или уже не актуальных этих угроз без подключения к машинам?
29.06.2011 13:44:51, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17796/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17796/ Wed, 29 Jun 2011 13:44:51 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
1. здесь лучше в настройках консоли указать ДАТУ-ВРЕМЯ абсолютную, чтобы вам не приходилось гадать, а какого же числа это было два месяца назад...
2. вас интересует какой должна быть ваша реакция на запись в журнале угроз по той или иной машине?

как минимум - можно назначить ей частичное или полное сканирование через типовые задачи сканирования с очисткой или без очистки, чтобы получить детальный лог сканирования по этой машине.

можно подключиться к данной машине через удаленный доступ и выпонлить анализ автозапуска, потому что, если есть детект startup scanner, web, email scanner или постоянной защиты, то возможно, что-то остается без детекта в автозапуске.
28.06.2011 14:17:03, santy.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17762/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17762/ Tue, 28 Jun 2011 14:17:03 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
меня конкретно смущает информация на вкладке "Журнал угроз". Для наглядности прикрепляю скрин. надеюсь, там немного понятно...надо исследовать эту машину по принципу,описанному в сообщениях выше?

28.06.2011 13:54:24, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17760/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17760/ Tue, 28 Jun 2011 13:54:24 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
что значит угроза по консоли? это непонятно. мне понятно - запись в разделе_вкладке Логи угроз (threat log)
28.06.2011 13:44:28, santy.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17759/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17759/ Tue, 28 Jun 2011 13:44:28 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
Насчет журнала обнаружения угроз. Он чист. А угроза по консоли висит на машине, где стоит и сервер, и консоль...(давность - 4 месяца назад)
28.06.2011 13:40:43, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17758/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17758/ Tue, 28 Jun 2011 13:40:43 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
да, конечно, записи в журнале обнаружения угроз, те что размещаются на сервере ERA для самого сервера не представляют никакой угрозы... это всего лишь информационные логи с антивирусных клиентов с разных машин, которые подключены к серверу администрирования.

Лично я оставляю все записи из журнала угроз для анализа, статистки обнаружения по разным машинам... технические логи событий, сканирования, задач и другие храню как правило не дольше одного месяца (по событиям вообще всего один день), чтобы не захламлять базу сервера ERA.
28.06.2011 13:39:45, santy.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17757/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17757/ Tue, 28 Jun 2011 13:39:45 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
ок. спасибо большое. значит можно удалить из журнала угроз информацию о заражении d:\system volume information\_restore {...}, с:\system volume information\_restore {...} , f:\system volume information\_restore {...} , чтобы никого не смущали? кстати...эти зараженные файлы были обнаружены от 2-6 месяцев назад...может проблема вообще изначальна была не актуальна на сегодняшний день?
28.06.2011 11:59:02, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17745/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17745/ Tue, 28 Jun 2011 11:59:02 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
лог чистый,

выполните приложенный скрипт в uVS,
он должен очистить точки  восстановления, но восстановление системы при этом не отключается,
если есть все таки подозрение на заражение,

добавьте журнал обнаружения угроз с подозрительной машины
http://forum.esetnod32.ru/forum9/topic1408/

+ сделайте дополнительно лог малваребайт
http://forum.esetnod32.ru/forum9/topic682/

по поводу этого:

====quote====
ERAC показывает вирус в d:\system volume information\_restore {...} на машине, на которой установлены ERAS и ERAC...как бороться?
=============
с этим борется антивирус, ERAC&ERAS только собирают и показывают информацию о событиях (+ еще карантин) с антивирусных клиентов.
script.txt
28.06.2011 09:14:24, santy.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17737/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17737/ Tue, 28 Jun 2011 09:14:24 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
вот образ автозапуска.
образ_2011-06-28_08-46-32.7z
28.06.2011 08:49:18, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17736/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17736/ Tue, 28 Jun 2011 08:49:18 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
хорошо. но что с логом то не то...
27.06.2011 17:37:52, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17724/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17724/ Mon, 27 Jun 2011 17:37:52 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.

====quote====
anya.rar пишет:
вот
=============
так.... с созданием лога ЕсетИнспектор у вас проблемы - потренируйтесь на досуге.

сделайте образ автозапуска в uVS проблемной машины
http://forum.esetnod32.ru/forum9/topic683/
27.06.2011 17:34:44, santy.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17723/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17723/ Mon, 27 Jun 2011 17:34:44 +0400 Удаленное администрирование ERAC показывает вирус в d:\system volume information\_restore {...} ERAC показывает вирус в d:\system volume information\_restore {...} в форуме Удаленное администрирование.
вот
SysInsp.zip
27.06.2011 17:31:42, anya.rar.]]> http://forum.esetnod32.ru/messages/forum7/topic2060/message17721/ http://forum.esetnod32.ru/messages/forum7/topic2060/message17721/ Mon, 27 Jun 2011 17:31:42 +0400 Удаленное администрирование