santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.07.2012 16:52:16

virusscan
http://virusscan.jotti.org/ru/scanresult/d985e0280d43e398d7c0ffe8f0e4c1b1796e6d27
и размер для трояна приличный

Цитата
Размер файла: 1169224 байт Тип файла: PE32 executable for MS Windows (console) Intel 80386 32-bit MD5: aeec0405a1c587562275ab20cc6e3521 SHA1: 750d74424e8fca55094bbcd264970da6e59ddc09

Изменено: santy - 05.07.2012 16:52:32

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.07.2012 16:45:50

по идее, надо бы его в основные вирлабы заслать, чтобы проанализировали.

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.07.2012 16:41:45

это фильтр в uVS по результату на VT. в инфо выводится только детект тех антивирусов, которые есть в этом списке.

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.07.2012 16:38:37

Цитата
C:\USERS\ROOT\APPDATA\ROAMING\HVGB5Z69HR.EXE SHA1: 750D74424E8FCA55094BBCD264970DA6E59DDC09 Хэш найден в базе проверенных файлов, файл помечен как проверенный -------------------------------------------------------- C:\USERS\ROOT\APPDATA\ROAMING\HVGB5Z69HR.EXE Дата: 2012-06-27 [2010-05-04 00:51:17 UTC ( 2 years, 2 months ago )] Имя: server.e123456 Детектов: 0 из 8 Файл был чист на момент проверки. --------------------------------------------------------

Цитата

C:\USERS\ROOT\APPDATA\ROAMING\HVGB5Z69HR.EXE
SHA1: 750D74424E8FCA55094BBCD264970DA6E59DDC09
Хэш найден в базе проверенных файлов, файл помечен как проверенный
--------------------------------------------------------
C:\USERS\ROOT\APPDATA\ROAMING\HVGB5Z69HR.EXE
Дата: 2012-06-27 [2010-05-04 00:51:17 UTC ( 2 years, 2 months ago )]
Имя: server.e123456
Детектов: 0 из 8
Файл был чист на момент проверки.
--------------------------------------------------------

а ну , понятно. у меня фильтр по списку проверяемых антивирусов. файл подозрительный конечно, но не факт (100%), что вредоносный.

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.07.2012 16:34:12

ты удалил его из списка sha1 и проверил?

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.07.2012 16:27:54

Арвид, вот это я не понял, откуда?

Цитата
www.virustotal.com 2012-06-27 [2010-05-04 00:51:17 UTC ( 2 years, 2 months ago )] TheHacker W32/Behav-Heuristic-CorruptFile-EP F-Prot W32/Damaged_File.B.gen!Eldorado TrendMicro-HouseCall TROJ_GEN.R47H1LD Comodo Heur.Corrupt.PE Commtouch W32/Damaged_File.B.gen!Eldorado AVG Suspicion: unknown virus

у меня по хэшу - чисто. причем в списке sha1 разработчика.

Изменено: santy - 05.07.2012 16:30:42

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.07.2012 13:21:20

ну, по любому - на форуме главный всегда админ.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Модифицированный Win32/Dorkbot.A червь очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.07.2012 13:17:43

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.75 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 addsgn A7679BF0AA022C524BD4C68176881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CBA5D9FE82BD6D7D01C6D775BACCA621233 8 Dorkbot.0705 zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\678E.EXE zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\6E63.EXE zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\84BC.EXE zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\DEDC.EXE zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\EB59.EXE addsgn 9AFC6EDA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BC5840FEBD143FB714BF22AE5BB9AB5FBC461649FA7DDFE97255DAB02C2D77A42F91345725 8 Dorkbot.0705 zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\12CF.EXE zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\64B4.EXE addsgn 9AEC6EDA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BC78BC97785DD40B17939EA650D464D854461649FA7DDFE97255DAB0AC2D77A42F8F697A16 8 Dorkbot.0705 zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\24DA.EXE zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\50CQRSBUILD.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\50CQRSBUILD.EXE addsgn 9A146FDA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BC99B93FA16E2D5E1CAFB575789E3FEEF6461649FA7DDFE97255DAB0AC2D77A42F8073761B 8 Dorkbot.0705 zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\5AF6.EXE zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\5X6WKWYQVTGGGG.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\5X6WKWYQVTGGGG.EXE zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\ADX0Z9REF84QGGGG.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\ADX0Z9REF84QGGGG.EXE zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\GH5UUX5YEZ44GGGG.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\GH5UUX5YEZ44GGGG.EXE zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\JYYHRZZGGGG.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\JYYHRZZGGGG.EXE chklst delvir deltmp delnfr CZOO restart

Код

;uVS v3.75 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
addsgn A7679BF0AA022C524BD4C68176881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CBA5D9FE82BD6D7D01C6D775BACCA621233 8 Dorkbot.0705
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\678E.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\6E63.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\84BC.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\DEDC.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\EB59.EXE
addsgn 9AFC6EDA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BC5840FEBD143FB714BF22AE5BB9AB5FBC461649FA7DDFE97255DAB02C2D77A42F91345725 8 Dorkbot.0705
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\12CF.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\64B4.EXE
addsgn 9AEC6EDA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BC78BC97785DD40B17939EA650D464D854461649FA7DDFE97255DAB0AC2D77A42F8F697A16 8 Dorkbot.0705
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\24DA.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\50CQRSBUILD.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\50CQRSBUILD.EXE
addsgn 9A146FDA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BC99B93FA16E2D5E1CAFB575789E3FEEF6461649FA7DDFE97255DAB0AC2D77A42F8073761B 8 Dorkbot.0705
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\5AF6.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\5X6WKWYQVTGGGG.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\5X6WKWYQVTGGGG.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\ADX0Z9REF84QGGGG.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\ADX0Z9REF84QGGGG.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\GH5UUX5YEZ44GGGG.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\GH5UUX5YEZ44GGGG.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\JYYHRZZGGGG.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\JYYHRZZGGGG.EXE
chklst
delvir
deltmp
delnfr
CZOO
restart

Изменено: santy - 05.07.2012 13:18:07

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Модифицированный Win32/Dorkbot.A червь очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.07.2012 12:45:02

в мбам удалите все найденное, перегрузите систему,
еще раз выполните быстрое сканирование
-----------
новый образ сейчас гляну.
+
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.75 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 adddir %SystemDrive%\USERS\ROOT\APPDATA\ROAMING delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\GCXUXA.EXE crimg

без перезагрузки,
добавьте образ автозапуска, который будет автоматически создан этим скриптом

Изменено: santy - 05.07.2012 12:48:05

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Модифицированный Win32/Dorkbot.A червь очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.07.2012 11:51:08

Код
;uVS v3.75 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 addsgn 9AA062DA5582A28DF42BAEB164C81205158AFCF6C9FA1F7885C3C5BC7641CE146085DB12913ECF233DE92076461649FA7DDFE97255DAB02C2D77A42F94724712 8 Trojan.Siggen4.8760 [DrWeb] zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\7 9\RUNDLL32.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\7 9\RUNDLL32.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\BOT.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\D370EA.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\DDXUXX.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\EXPLORER.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\GCXUXA.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\7 9\L3.LNK delall %SystemDrive%\USERS\ROOT\MNLSLEXI.EXE delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\SVCHOST.EXE addsgn 9AE456DA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BCE49D99C6102BCB10BE82434ADFB5CF88461649FA7DDFE97255DAD9494303EC4A97745634 8 Dorkbot zoo %SystemDrive%\USERS\PUBLIC\R-344233-5553-2-32\WINLOGON.EXE bl 466B64DDCF76EE8AEDEEFF738E612EBE 274432 delall %SystemDrive%\USERS\PUBLIC\R-344233-5553-2-32\WINLOGON.EXE adddir %SystemDrive%\USERS\ROOT\APPDATA\ROAMING chklst delvir delref HTTP://WWW.SMAXI.NET delref HTTP://SEARCH.CONDUIT.COM?SEARCHSOURCE=10&CTID=CT1060933 deltmp delnfr czoo regt 5 regt 12 restart

Код

;uVS v3.75 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
addsgn 9AA062DA5582A28DF42BAEB164C81205158AFCF6C9FA1F7885C3C5BC7641CE146085DB12913ECF233DE92076461649FA7DDFE97255DAB02C2D77A42F94724712 8 Trojan.Siggen4.8760 [DrWeb]
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\7 9\RUNDLL32.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\7 9\RUNDLL32.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\BOT.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\D370EA.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\DDXUXX.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\EXPLORER.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\GCXUXA.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\7 9\L3.LNK
delall %SystemDrive%\USERS\ROOT\MNLSLEXI.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\SVCHOST.EXE
addsgn 9AE456DA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BCE49D99C6102BCB10BE82434ADFB5CF88461649FA7DDFE97255DAD9494303EC4A97745634 8 Dorkbot
zoo %SystemDrive%\USERS\PUBLIC\R-344233-5553-2-32\WINLOGON.EXE
bl 466B64DDCF76EE8AEDEEFF738E612EBE 274432
delall %SystemDrive%\USERS\PUBLIC\R-344233-5553-2-32\WINLOGON.EXE
adddir %SystemDrive%\USERS\ROOT\APPDATA\ROAMING
chklst
delvir
delref HTTP://WWW.SMAXI.NET
delref HTTP://SEARCH.CONDUIT.COM?SEARCHSOURCE=10&CTID=CT1060933
deltmp
delnfr
czoo
regt 5
regt 12
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS, созданный после скрипта (например: ZOO_2011-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти