santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Оперативная память = explorer.exe(1796) - модифицированный Win32/Spy.Zbot.ZR троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 07.12.2012 05:48:13

это удалите в мбам

Цитата
Обнаруженные параметры в реестре: 1 HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\|{B55BEEF2-6390-5F26-E204-A67CA0FCE376} (Trojan.ZbotR.Gen) -> Параметры: "C:\Documents and Settings\Admin\Application Data\Igonek\qeevo.exe" -> Действие не было предпринято.

далее,
выполните рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Невозможность создания временного файла для обновления и лога с помощью uVS.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 07.12.2012 05:46:46

антивирус отключите перед запуском uVs, или добавьте папку с uvs в исключение.
------
и повторите создание образа.

если не получится в нормальном режиме создать образ, сделайте в безопасном режиме системы.

[ Как создать образ автозапуска? ]

Перейти

Предложение по улучшению форума

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.12.2012 22:39:37

да, я сообщение старое удалил, а новое в этой теме создал.

[ Как создать образ автозапуска? ]

Перейти

Оперативная память = svchost.exe(908) - вероятно модифицированный Win32/Spy.Ranbyus.I троянская программа - очистка невозможна, Помогите пожалуйста решить проблему!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.12.2012 22:16:43

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.76 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ЭКСПЕРТ\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE addsgn 1AD78B9A5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 8 praetorian zoo %SystemRoot%\GIGALAN.SYS addsgn 98EC1D65BD454C720B516EC54D9D99E9A4667CF689FA4FF5C1E7E53F70D6FC0007EB7B7360549DCAE17F7B8F8E4E6F05691A440354DAB02CAC9B342FC706DAFE 8 newdriver1203 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ЭКСПЕРТ\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE addsgn A7679B23506A4C7261D4C4B12DBDEB5673320453C8FAF7F53E3D3A02581D304C10D7963F2EFEDC494F7FB4FBCF36A1E3C02117F98D32A291D3888FECFA266C73 8 Randbyus.1206 zoo %Sys32%\DGQWABLPRSDYHE.EXE delall %Sys32%\DGQWABLPRSDYHE.EXE delref COPY delref HTTP://SEARCH.QIP.RU deltmp delnfr CZOO sreg delref %SystemRoot%\GIGALAN.SYS areg

Код

;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ЭКСПЕРТ\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE
addsgn 1AD78B9A5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 8 praetorian
zoo %SystemRoot%\GIGALAN.SYS
addsgn 98EC1D65BD454C720B516EC54D9D99E9A4667CF689FA4FF5C1E7E53F70D6FC0007EB7B7360549DCAE17F7B8F8E4E6F05691A440354DAB02CAC9B342FC706DAFE 8 newdriver1203
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ЭКСПЕРТ\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE
addsgn A7679B23506A4C7261D4C4B12DBDEB5673320453C8FAF7F53E3D3A02581D304C10D7963F2EFEDC494F7FB4FBCF36A1E3C02117F98D32A291D3888FECFA266C73 8 Randbyus.1206
zoo %Sys32%\DGQWABLPRSDYHE.EXE
delall %Sys32%\DGQWABLPRSDYHE.EXE
delref COPY
delref HTTP://SEARCH.QIP.RU
deltmp
delnfr
CZOO
sreg
delref %SystemRoot%\GIGALAN.SYS
areg

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

Изменено: santy - 06.12.2012 22:18:32

[ Как создать образ автозапуска? ]

Перейти

Оперативная память заражена, очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.12.2012 21:36:05

Код
;uVS v3.76 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE zoo %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24NAQ.EXE addsgn 1A34649A5583C58CF42B254E3143FE8E608277F608C27C0BE823B096D3AE614F563348172A68BD4CB899F08A7B374C6964ABE64F77DF23355970992F879F2306 8 Trojan.PWS.Panda.547 [DrWeb] addsgn 1A0E639A5583C58CF42B254E3143FE84C9A2FFF6895927D4C5C34CB1647A314CAA02F3FB7E551454072CC49FCF2361563DDF614F7176F02C4BFBB17F6B462215 8 Dorkbot.1206 zoo %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\W7RGGR.EXE addsgn 1A37639A5583C58CF42B254E3143FE84C9A2FFF6895927D4C5C34CB1647A314CAA02F3FB7E551454072CC49FCF2361563DDF614F7176F02C4BFBB17F6B462215 8 Dorkbot.1206 zoo %SystemRoot%\YWDRIVE32.EXE adddir %SystemDrive%\DOCUMENTS AND SETTINGS\CТАРИК\APPLICATION DATA addsgn A7679B1991821F24381427F48C4157E99D7A49B689129DEC7A3C7C408796717FE342AB5586159D2DD4B0E01666D14CE2A59FE87655DAB094F8D9AF2F00077C73 8 BackDoor.IRC.NgrBot.42 [DrWeb] zoo %SystemDrive%\DOCUMENTS AND SETTINGS\CТАРИК\APPLICATION DATA\MICROSOFT\AZPTPT.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\CТАРИК\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\СОДЕРЖАНИЕ ONENOTE.ONETOC2 chklst delvir delall %SystemDrive%\DOCUMENTS AND SETTINGS\CТАРИК\APPLICATION DATA\5.EXE deltmp delnfr czoo regt 5 restart

Код

;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
zoo %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24NAQ.EXE
addsgn 1A34649A5583C58CF42B254E3143FE8E608277F608C27C0BE823B096D3AE614F563348172A68BD4CB899F08A7B374C6964ABE64F77DF23355970992F879F2306 8 Trojan.PWS.Panda.547 [DrWeb]
addsgn 1A0E639A5583C58CF42B254E3143FE84C9A2FFF6895927D4C5C34CB1647A314CAA02F3FB7E551454072CC49FCF2361563DDF614F7176F02C4BFBB17F6B462215 8 Dorkbot.1206
zoo %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\W7RGGR.EXE
addsgn 1A37639A5583C58CF42B254E3143FE84C9A2FFF6895927D4C5C34CB1647A314CAA02F3FB7E551454072CC49FCF2361563DDF614F7176F02C4BFBB17F6B462215 8 Dorkbot.1206
zoo %SystemRoot%\YWDRIVE32.EXE
adddir %SystemDrive%\DOCUMENTS AND SETTINGS\CТАРИК\APPLICATION DATA
addsgn A7679B1991821F24381427F48C4157E99D7A49B689129DEC7A3C7C408796717FE342AB5586159D2DD4B0E01666D14CE2A59FE87655DAB094F8D9AF2F00077C73 8 BackDoor.IRC.NgrBot.42 [DrWeb]
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\CТАРИК\APPLICATION DATA\MICROSOFT\AZPTPT.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\CТАРИК\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\СОДЕРЖАНИЕ ONENOTE.ONETOC2
chklst
delvir
delall %SystemDrive%\DOCUMENTS AND SETTINGS\CТАРИК\APPLICATION DATA\5.EXE
deltmp
delnfr
czoo
regt 5
restart

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Ошибка создания временного файла NOD32

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.12.2012 14:14:12

ок, закрываю тему

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Ошибка создания временного файла NOD32

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.12.2012 13:58:05

мбам можно удалить.
-----------

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Ошибка создания временного файла NOD32

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.12.2012 13:23:32

если нет архива ZOO, тогда просто папку ZOO из каталога uVS добавьте в архив с паролем infected.
-------
лог мбам лучше было все таки показать нам.

если проблем сейчас нет, выполните рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

Изменено: santy - 06.12.2012 13:26:50

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Ошибка создания временного файла NOD32

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.12.2012 11:53:47

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.76 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE zoo %SystemRoot%\GIGALAN.SYS addsgn 98EC1D65BD454C720B516EC54D9D99E9A4667CF689FA4FF5C1E7E53F70D6FC0007EB7B7363549DCAE17F7B8F8E4E6F05691AEC0054DAB02CAC9B342FC706DAFE 8 newdriver.1128 delall %SystemRoot%\APPPATCH\AOOCIIR.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\DAEC6E.EXE delref HTTP://WEBALTA.RU/SEARCH delref HTTP://HOME.SWEETIM.COM delall %Sys32%\DGQWABLPRSDYHE.EXE deltmp delnfr delref HTTP://HOME.SWEETIM.COM/?BARID={B8D99323-587C-11E1-81E2-001731467060} regt 14 regt 12 sreg delref %SystemRoot%\GIGALAN.SYS areg

Код

;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
zoo %SystemRoot%\GIGALAN.SYS
addsgn 98EC1D65BD454C720B516EC54D9D99E9A4667CF689FA4FF5C1E7E53F70D6FC0007EB7B7363549DCAE17F7B8F8E4E6F05691AEC0054DAB02CAC9B342FC706DAFE 8 newdriver.1128
delall %SystemRoot%\APPPATCH\AOOCIIR.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\DAEC6E.EXE
delref HTTP://WEBALTA.RU/SEARCH
delref HTTP://HOME.SWEETIM.COM
delall %Sys32%\DGQWABLPRSDYHE.EXE
deltmp
delnfr
delref HTTP://HOME.SWEETIM.COM/?BARID={B8D99323-587C-11E1-81E2-001731467060}
regt 14
regt 12
sreg
delref %SystemRoot%\GIGALAN.SYS
areg

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS, созданный после скрипта (например: ZOO_2011-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] win32/spyvoltar как мне его можно удалить????, вирус win32/spyvoltar

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 04.12.2012 20:14:56

далее, выполните очистку в малваребайт

[ Как создать образ автозапуска? ]

Перейти