santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Помогите: lsass.exe - модифицированный Win32/SpyVoltar.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 19:15:29

Цитата
Что значит "пофиксите в hj"?smile:oops: Отметить галочкой и нажать Fix checked? Правильно?

да, именно так

Изменено: santy - 03.11.2012 19:16:04

[ Как создать образ автозапуска? ]

Перейти

Не открываются файлы! Не являются приложением Win32

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 19:14:22

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.76 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE delall %SystemDrive%\TEMP\3582-490\PRAETO~1.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\VKSAVER\VKSAVER.EXE delall %SystemDrive%\PROGRAM FILES\TICNO\TABS\TICNO TABS.EXE zoo %SystemRoot%\SVCHOST.COM delall %SystemRoot%\SVCHOST.COM EXEC cmd /c"reg add HKCR\exefile\shell\open\command /ve /d "\"%1\" %*" /f" deltmp delnfr restart

Код

;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
delall %SystemDrive%\TEMP\3582-490\PRAETO~1.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\VKSAVER\VKSAVER.EXE
delall %SystemDrive%\PROGRAM FILES\TICNO\TABS\TICNO TABS.EXE
zoo %SystemRoot%\SVCHOST.COM
delall %SystemRoot%\SVCHOST.COM
EXEC cmd /c"reg add HKCR\exefile\shell\open\command /ve /d "\"%1\" %*" /f"
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

Изменено: santy - 03.11.2012 19:15:03

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите: lsass.exe - модифицированный Win32/SpyVoltar.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 19:09:12

эту строку пофиксите в hj

Цитата
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://unesxhange.com/JTtw23l/proxy.pac

затем, проверьте еще раз доступ к вашей банковской системе

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите: lsass.exe - модифицированный Win32/SpyVoltar.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 19:05:50

Цитата
Ластик пишет: прочитала. Я и так понимаю что вирус. Вопрос как от него избавиться? В ссылке, указанной Вами, увидела что надо проверить " конфигурацию интернет-соединения на наличие вышеупомянутой вредоносной настройки.": В Opera: Settings -> Preferences -> Advanced -> Network -> Proxy Servers… -> Use automatic proxy configuration У меня Опера по русски всё пишет. Где чего смотреть, подскажите пжлста. И вообще возможно от этой гадости избавиться?

Цитата

Ластик пишет:
прочитала. Я и так понимаю что вирус.

Вопрос как от него избавиться? В ссылке, указанной Вами, увидела что надо проверить " конфигурацию интернет-соединения на наличие вышеупомянутой вредоносной настройки.":
В Opera: Settings -> Preferences -> Advanced -> Network -> Proxy Servers… -> Use automatic proxy configuration
У меня Опера по русски всё пишет. Где чего смотреть, подскажите пжлста. И вообще возможно от этой гадости избавиться?

вируса скорее всего нет, но изменены настройки прокси в IE, а Опера использует настройки IE.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память = explorer.exe(1620), вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна MICROSOF-8B1C75\Admin

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 18:55:57

удалите в мбам все, за исключением этих объектов

Цитата
HKLM\SOFTWARE\Microsoft\Security Center\|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято. Обнаруженные папки: 0 (Вредоносных программ не обнаружено) Обнаруженные файлы: 2 C:\WINDOWS\notepad.exe (Trojan.Agent) -> Действие не было предпринято.

Цитата

HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

Обнаруженные папки: 0
(Вредоносных программ не обнаружено)

Обнаруженные файлы: 2
C:\WINDOWS\notepad.exe (Trojan.Agent) -> Действие не было предпринято.

далее,
выполните рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите: lsass.exe - модифицированный Win32/SpyVoltar.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 18:53:27

возможно прокси прописан в настройках
сделайте лог hj
http://forum.esetnod32.ru/forum9/topic53/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите: lsass.exe - модифицированный Win32/SpyVoltar.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 18:27:54

что то у вас с DNS не в порядке

Цитата
CEXEC cmd /c"tracert sberbank.ru" -------------------------------------------------------- Запуск процесса под текущим пользователем... CMD /C"TRACERT SBERBANK.RU" -------------------------------------------------------- Упрощенный запуск процесса... Не удается разрешить системное имя узла SBERBANK.RU.

уточните у провайдера, ваши это днс или нет

Цитата
80.80.111.254,80.80.111.244

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 18:00:15

Код
;uVS v3.76 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\Q2VDVRD0CGS.EXE addsgn A7679B1BB97248720B822584240252054F8A71736101E087D5048050EE29AEF149170412CAE86296967F52A230933FFE7259EF7255DA83ECC4D8A52FC751A94E 8 Carberp.1008 bl A2E62FA012406C48AD398A0FF36E72D6 189440 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\Q2VDVRD0CGS.EXE chklst delvir delref COPY delref HTTP://START.ALAWAR.RU/ deltmp delnfr czoo regt 14 restart

Код

;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\Q2VDVRD0CGS.EXE
addsgn A7679B1BB97248720B822584240252054F8A71736101E087D5048050EE29AEF149170412CAE86296967F52A230933FFE7259EF7255DA83ECC4D8A52FC751A94E 8 Carberp.1008
bl A2E62FA012406C48AD398A0FF36E72D6 189440
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\Q2VDVRD0CGS.EXE
chklst
delvir
delref COPY
delref HTTP://START.ALAWAR.RU/
deltmp
delnfr
czoo
regt 14
restart

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите: lsass.exe - модифицированный Win32/SpyVoltar.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 17:57:14

ip для esk.sbrf.ru такой 194.186.207.11

выполните еще такой скрипт:

Код
;uVS v3.76 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE CEXEC cmd /c"ping sberbank.ru" CEXEC cmd /c"tracert sberbank.ru" crimg

без перезагрузки, добавьте новый образ

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите: lsass.exe - модифицированный Win32/SpyVoltar.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.11.2012 17:35:50

у меня такой рисунок

---------
выполните скрипт, который написал вам выше

Изменено: santy - 03.11.2012 17:38:50

[ Как создать образ автозапуска? ]

Перейти