santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Нужна помощь, Обнаружение вируса в оперативной памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2012 21:59:46

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.76.2 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE setdns Беспроводное сетевое соединение\4\{F8185684-7F5B-43A4-97D1-0E4EBD94382A}\8.8.8.8,8.8.4.4 setdns Подключение по локальной сети\4\{FD8EFE84-2011-4A93-9226-CC64AC42A276}\8.8.8.8,8.8.4.4 restart

Код

;uVS v3.76.2 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
setdns Беспроводное сетевое соединение\4\{F8185684-7F5B-43A4-97D1-0E4EBD94382A}\8.8.8.8,8.8.4.4
setdns Подключение по локальной сети\4\{FD8EFE84-2011-4A93-9226-CC64AC42A276}\8.8.8.8,8.8.4.4
restart

перезагрузка, пишем о старых и новых проблемах.
------------

[ Как создать образ автозапуска? ]

Перейти

Нужна помощь, Обнаружение вируса в оперативной памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2012 21:58:05

удалите в мбам, найденное кроме этого

Цитата
Объекты реестра обнаружены: 2 HKLM\SOFTWARE\Microsoft\Security Center\|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

далее, пробуйте изменить настойки DNS в сетевом подключении.

и сделать проверку доступа в инет.

[ Как создать образ автозапуска? ]

Перейти

Нужна помощь, Обнаружение вируса в оперативной памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2012 21:47:15

возможно, надо настроить DNS сетевых подключений, потому что у вас был прописан левый DNS
http://www.nic.ru/whois/?query=37.157.255.150
и я его обнулил. если не знаете DNS вашего провайдера, пропишите 8.8.8.8, 8.8.8.4 это гугловские DNS.

[ Как создать образ автозапуска? ]

Перейти

Нужна помощь, Обнаружение вируса в оперативной памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2012 21:35:19

Код
;uVS v3.76.2 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE delref %Sys32%\KPKGYZD.DLL delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\APPLICATION DATA\TNUSUL.EXE deltmp delnfr setdns Подключение по локальной сети\4\{FD8EFE84-2011-4A93-9226-CC64AC42A276}\ setdns Беспроводное сетевое соединение\4\{F8185684-7F5B-43A4-97D1-0E4EBD94382A}\ EXEC cmd /c"ipconfig /flushdns" restart

Код

;uVS v3.76.2 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
delref %Sys32%\KPKGYZD.DLL
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\APPLICATION DATA\TNUSUL.EXE
deltmp
delnfr
setdns Подключение по локальной сети\4\{FD8EFE84-2011-4A93-9226-CC64AC42A276}\
setdns Беспроводное сетевое соединение\4\{F8185684-7F5B-43A4-97D1-0E4EBD94382A}\
EXEC cmd /c"ipconfig /flushdns"
restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

Нужна помощь, Обнаружение вируса в оперативной памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2012 21:12:05

Цитата
chepay пишет: Очень тормозит, жду проверку цифровых подписей...А вот Malvwarebytes выдает такое: Была предотвращена попытка доступа к вредоносному веб сайт: 37.157.255.150

образ можно сделать без проверки цифровых подписей. Если не получится в нормальном режиме, сделайте из безопасного режима системы (safe mode)

[ Как создать образ автозапуска? ]

Перейти

Нужна помощь, Обнаружение вируса в оперативной памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2012 21:11:12

+
добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

[ Как создать образ автозапуска? ]

Перейти

sysNT.exe Win32/TrojanDropper.Agent.IISTPVU, Подмена файлов MS Word исполняемым файлом с распаковкой документа и тела вируса

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2012 17:22:19

Цитата
nadworny_av пишет: zoo отослал на почту Mbam автоматически лог не вывел. сделал "показать результаты - сохранить отчет". кгм... в логе далеко не все инфицированные объекты

да, mbam здесь показывает все зараженные файлы. здесь имеет смысл выслать в вирлабы не только сам файл, но и зараженные доки, чтобы была выполнена процедура лечения.

либо здесь другой вариант. доки скрываются, а вместо них добавляется вирусное тело.
---------------
на виртуалке не запускается, возможно есть защита от запуска на VM.

Изменено: santy - 27.12.2012 21:09:03

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память = taskhost.exe(1684) - модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2012 17:20:14

чисто,
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

Перейти

sysNT.exe Win32/TrojanDropper.Agent.IISTPVU, Подмена файлов MS Word исполняемым файлом с распаковкой документа и тела вируса

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2012 16:16:21

+
если сохранилась копия файла STSNT.EXE, сделайте его проверку на http://virustotal.com
и добавьте в сообщение ссылку на линк проверки.
+
вышлите копию данного файла в архиве с паролем infected в почту [email protected]

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2012 16:10:26

Код
;uVS v3.76.2 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE addsgn 988C1F3A442A4C9A71D7AEB1DB5C120525013B1EBFDF1F780CA62D37A45F4F1ADC02EF477E5516073B0989979D5649713BDB4B668E9AB0A77B7F2D3ADFDD6273 8 SpyEye.1227 zoo %SystemDrive%\SYSTEMHOST\24FC2AE3345.EXE delall %SystemDrive%\SYSTEMHOST\24FC2AE3345.EXE chklst delvir delref HTTP://WWW.SEARCHQU.COM/410 deltmp delnfr czoo restart

Код

;uVS v3.76.2 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
addsgn 988C1F3A442A4C9A71D7AEB1DB5C120525013B1EBFDF1F780CA62D37A45F4F1ADC02EF477E5516073B0989979D5649713BDB4B668E9AB0A77B7F2D3ADFDD6273 8 SpyEye.1227
zoo %SystemDrive%\SYSTEMHOST\24FC2AE3345.EXE
delall %SystemDrive%\SYSTEMHOST\24FC2AE3345.EXE
chklst
delvir
delref HTTP://WWW.SEARCHQU.COM/410
deltmp
delnfr
czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти