santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Вирус в оперативной памяти taskhost.exe(512)модифицированный Win32/Spy.Shiz.NCE

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 12.09.2012 10:26:03

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.76 BETA4 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 ;OFFSGNSAVE zoo %Sys32%\FHISSJG.DLL addsgn 925277BA126AC1CC0B24564E334BDFFACE9A6C66196A8FE80FC583345791709756104849BDBB6158F0F26927471649FA7C049D75DEC433C2D1667F3E0707F900 8 Win32/Injector.URA [ESET-NOD32] zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\TEMP\002E3F6A.EXE addsgn 9A1C67DA5582BC8DF42BAEB164C81205158AFCF6C1FA1F7885C3C5BC4091C3513703E814BADC9A6518923900461649FA7DDFE97255DAF12CAB27262E8F751641 8 Trojan.Packed.22944 [DrWeb] zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\LOCAL SETTINGS\TEMP\MSICNO.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\MXRORA.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\WVRORK.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\TEMP\UNI1.TMP.BAT delref %Sys32%\FHISSJG.DLL delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\TEMP\002E3F6A.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\LOCAL SETTINGS\TEMP\MSICNO.EXE chklst delvir deltmp delnfr czoo regt 12 restart

Код

;uVS v3.76 BETA4 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
;OFFSGNSAVE
zoo %Sys32%\FHISSJG.DLL
addsgn 925277BA126AC1CC0B24564E334BDFFACE9A6C66196A8FE80FC583345791709756104849BDBB6158F0F26927471649FA7C049D75DEC433C2D1667F3E0707F900 8 Win32/Injector.URA [ESET-NOD32]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\TEMP\002E3F6A.EXE
addsgn 9A1C67DA5582BC8DF42BAEB164C81205158AFCF6C1FA1F7885C3C5BC4091C3513703E814BADC9A6518923900461649FA7DDFE97255DAF12CAB27262E8F751641 8 Trojan.Packed.22944 [DrWeb]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\LOCAL SETTINGS\TEMP\MSICNO.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\MXRORA.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\WVRORK.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\TEMP\UNI1.TMP.BAT
delref %Sys32%\FHISSJG.DLL
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\TEMP\002E3F6A.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\LOCAL SETTINGS\TEMP\MSICNO.EXE
chklst
delvir
deltmp
delnfr
czoo
regt 12
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS, созданный после скрипта (например: ZOO_2011-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] ПОМОГИТЕ ВИРУС!!!, Вирус SpyVolter

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.09.2012 21:39:12

варианты такие:
1. очистить кэш браузера IE 9
2. почистить систеему с помощью ccleaner
3. пробуйте переустановить IE9

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] После обращения в тех поддержку

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.09.2012 21:13:16

да, удалено.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] ПОМОГИТЕ ВИРУС!!!, Вирус SpyVolter

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.09.2012 21:11:11

такой еще выполните скрипт в uVS

Код
;uVS v3.76 BETA4 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 ;OFFSGNSAVE delref HTTP://WWW.MICROSOFT.COM/ISAPI/REDIR.DLL?PRD=IE&PVER=6&AR=MSNHOME

без перезагрузки,

если не помжет, проверьте стартовые страницы в Internet Explorer

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] После обращения в тех поддержку

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.09.2012 21:05:20

удалите его. на этом все. тему закрываю.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] После обращения в тех поддержку

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.09.2012 20:46:31

это файлик, который был у вас в автозапуске
https://www.virustotal.com/file/d180836a4e2d8c74f2c7e3e63e24ec1bd98ae7fe29d8d460946c9bc1059d69b4/analysis/1347381915/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] После обращения в тех поддержку

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.09.2012 20:39:11

удалите найденное в мбам, кроме этой записи

Цитата
HKLM\SOFTWARE\Microsoft\Security Center\|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

далее,
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/
-------
архив с ZOO надо отправить не сюда, на форум, а в указанную в рекомендациях почту.

Изменено: santy - 11.09.2012 20:40:30

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] После обращения в тех поддержку

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.09.2012 20:01:38

нет, пока не надо, просто закройте его,
а после перезагрузки (после выполнения скрипта) еще раз сделайте быстрый скан в мбам для контроля.

Изменено: santy - 11.09.2012 20:02:14

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] ПОМОГИТЕ ВИРУС!!!, Вирус SpyVolter

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.09.2012 20:00:29

такой еще скрипт выполните в uVS
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.76 BETA4 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 ;OFFSGNSAVE delref MHTB:NEWTAB deltmp delnfr restart

перезагрузка, пишем о старых и новых проблемах.

------------

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] После обращения в тех поддержку

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.09.2012 19:54:55

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.76 BETA4 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 ;OFFSGNSAVE addsgn 4BEC779A55E18DB50E895EF264C812052501F1AB79B91F29B60395434522A10D23B4C6AE7D55AE899080849F46C7A2B9AC34EBACD419E5242D77A53253FF6173 8 Shiz.0911 zoo %SystemRoot%\APPPATCH\CRTWWYN.DAT delall %SystemRoot%\APPPATCH\CRTWWYN.DAT delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\RND0312.TMP chklst delvir delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE delref HTTP://SEARCH.QIP.RU deltmp delnfr czoo regt 12 restart

Код

;uVS v3.76 BETA4 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
;OFFSGNSAVE
addsgn 4BEC779A55E18DB50E895EF264C812052501F1AB79B91F29B60395434522A10D23B4C6AE7D55AE899080849F46C7A2B9AC34EBACD419E5242D77A53253FF6173 8 Shiz.0911
zoo %SystemRoot%\APPPATCH\CRTWWYN.DAT
delall %SystemRoot%\APPPATCH\CRTWWYN.DAT
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\RND0312.TMP
chklst
delvir
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE
delref HTTP://SEARCH.QIP.RU
deltmp
delnfr
czoo
regt 12
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти