ESET CONNECT

EAV-0138750602
ESET Endpoint Antivirus 5.0.2126.3, ESET File Security 4.5.12005.0
XP, Vista, 7, 8.1, Server 2003, Server 2008

Здравствуйте!
Сегодня часть файлов на сетевых обменниках оказалась зашифрована.
Файлы вида [имя файла].id-[число][URL=mailto:_bitcoin@huobi.in]_bitcoin@huobi.in[/URL]
Образцы в архиве, пароль infected
Источник заражения неизвестен.

Заранее благодарю.

доброго времени суток!
вышла лечилка Codplat.AA Cleaner
http://www.eset.com/download/utilities/detail/family/204/
с одним НО - не понимает русский язык в именах расшифрованных файлов
обещали передать в лабораторию

[QUOTE]santy пишет:
[QUOTE]nadworny_av пишет:
С Наступившим вас! :)
Слышно что-нибудь по данной проблеме?[/QUOTE]
ну, в первую очередь от вас должны быть новости. помогают ли обновленные базы в излечении зараженных файлов или нет.[/QUOTE]
инфицированные файлы с sysnt.exe теперь обнаруживаются и пихаются в карантин. про лечение ничего не слышно (

С Наступившим вас! :)
Слышно что-нибудь по данной проблеме?

[QUOTE]santy пишет:
продублируете тогда на support@esetnod32.ru.
[QUOTE]\Рабочий стол\Служебка на вывоз Cisco 2801.exe.[/QUOTE]
а сам док сохраняется при этом после распаковки? документ чистый после удаления тела вируса?[/QUOTE]
продублировал
сам док, как написано в первом посте, вирус сохраняет в C:\temp32 в нумерованной подпапке. И если при очередном запуске вируса он не успевает инфицировать док повторно, то документом вполне можно пользоваться. Видимых повреждений структуры и содержимого документа нет.

отправил примеры зараженных доков и файл s[B]y[/B]sNT.exe через форму
[QUOTE][B]Invalid address:[/B]
Спасибо, Ваше сообщение успешно отправлено.
[/QUOTE]"Invalid address" - это нормально?
[QUOTE]santy пишет:
судя по VT ESET NOD32 [url=https://www.virustotal.com/file/24653d2fa1e10a3b5d3e55635e56b9f9a76488f29677f0a7fcc64cdf96d7153f/analysis/1356670579/]теперь детектирует данный файл[/url]
[QUOTE]ESET-NOD32 Win32/Delf.RBB 20121227[/QUOTE]
обновите базы и проверьте, будет ли он лечить зараженные файлы[/QUOTE]базы обновились, файл s[B]t[/B]sNT.exe ESET EA нашел и поместил в карантин. Инфицированные документы сканированием не детектирует. Только при запуске обнаруживает и кидает в карантин s[B]y[/B]sNT.exe:
[QUOTE]28.12.2012 8:58:00 Защита в режиме реального времени файл C:\sysNT.exe вероятно модифицированный Win32/TrojanDropper.Agent.IISTPVU троянская программа очищен удалением - изолирован Событие произошло в новом файле, созданном следующим приложением: C:\Documents and Settings\nadworny\Рабочий стол\Служебка на вывоз Cisco 2801.exe.[/QUOTE]

[QUOTE]santy пишет:
здесь имеет смысл выслать в вирлабы не только сам файл, но и зараженные доки, чтобы была выполнена процедура лечения.
[/QUOTE]
надеюсь, не ВСЕ зараженные файлы? %) только для примера? на какой адрес?
[QUOTE]santy пишет:
либо здесь другой вариант. доки скрываются, а вместо них добавляется вирусное тело.
[/QUOTE]если бы доки скрывались - это было бы вообще сказочно ) но, к сожалению, нет (

[url=https://www.virustotal.com/file/24653d2fa1e10a3b5d3e55635e56b9f9a76488f29677f0a7fcc64cdf96d7153f/analysis/1356611123/]ссылка на virustotal[/url]
stsNT.exe отправил

zoo отослал на почту
Mbam автоматически лог не вывел. сделал "показать результаты - сохранить отчет".
кгм... в логе далеко не все инфицированные объекты

Доброго времени суток!

Проблема проявилась, когда у одного из пользователей сетевого обменника перестали открываться документы из его сетевой папки.
"Приложение sysNT.exe выполнило... и будет закрыто". Документы оказались исполняемыми файлами с иконкой Word'а, скрытых файлов в папке не обнаружено. Пользователь говорит, что незадолго до этого ESET Endpoint Antivirus выругался на что-то, но вспомнить больше не смог.

Взял проверить папку к себе на компьютер. Что удалось выяснить.
Сканирование ESET EA 5.0.2122.10 инфицированных файлов заразы не обнаружило.
Сканирование утилитами DrWeb CureIT и Kaspersky Virus Removal Tool обнаружило трояны, но лечить отказалось.

Далее... При запуске инфицированного файла ESET EA обнаруживает запущенный процесс sysNT.exe и благополучно убивает его с сообщением:
[QUOTE]вероятно модифицированный Win32/TrojanDropper.Agent.IISTPVU троянская программа очищен удалением - изолирован[/QUOTE]
Но не слишком быстро, поэтому в системе становится на несколько инфицированных документов (doc, docx) больше. Тем не менее в некоторых случаях документ открывается в ассоциированной программе. Позже распакованные документы удавалось обнаружить в папке C:\temp32 в нумерованных подкаталогах (если до них не успевал добираться вирус и инфицировать снова :)
В автозагрузке появился файл s[B]t[/B]sNT.exe, но ESET EA на него не среагировал. Файл был удален мной из автозагрузки и после перезагрузки снова туда не прописался.

Краткое резюме (как я себе это вижу): приложение sysNT.exe при запуске прописывает s[B]t[/B]sNT.exe в автозагрузку пакует документы, до которых успевает добраться и себя в исполняемый файл. При запуске распаковывает документ в папку C:\temp32, открывает его вордом, распаковывает и запускает sysNT.exe

Необходимо решение по автоматическому лечению и восстановлению инфицированных документов.
Очень надеюсь на вашу помощь.
Лог UVS во вложении.