santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Win32/SpyVoltar.A, SpyVoltar.A в C:\Users\ACER 7736ZG-433\AppData\Roaming\taskhost.exe

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.06.2012 13:46:08

сделайте лог малваребайт для очистки системы

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.06.2012 12:44:40

Цитата
Предложение. В Контекстное меню файла добавить: "Ложное срабатывание - исключить объект из работы скрипта по Sha1 " т.е. При применении данной команды uVS автоматически проводит считывание данных - поиск. При обнаружении в скрипте заданной Sha1 - автоматически исключает/отменяет из скрипта команды, а также их применение по избранному объекту. * Помимо того, что это позволит исключить из скрипта избыточные команды для ложно попавшего под сигнатурное определение файла - это, даст возможность править скрипт в случае ошибок с минимальными временными затратами. т.е. При таком подходе нет необходимости править/редактировать весь скрипт. Пример: ----------------------------------------------------------- ;uVS v3.76 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 exclude 3BC10B8D00BF12038D180FBBA7FCDF48E1264C6D zoo %SystemDrive%\DOCUMENTS AND SETTINGS\АСВ\LOCAL SETTINGS\TEMP\LXXOXVX.EXE bl CFF46DCF92ACA98A53FB7D7C920F8A96 212992 addsgn A7679BF0AA024C064BD4C62C24881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92 A2DD78F544E95C0E0C9FE82BD6D7B08C69775BACCA028237 8 Por.exe.Vir.DNS RESTART

Цитата

Предложение.
В Контекстное меню файла добавить:
"Ложное срабатывание - исключить объект из работы скрипта по Sha1 "
т.е. При применении данной команды uVS автоматически проводит считывание данных - поиск.
При обнаружении в скрипте заданной Sha1 - автоматически исключает/отменяет из скрипта команды, а также их применение по избранному объекту.
* Помимо того, что это позволит исключить из скрипта избыточные команды для ложно попавшего под сигнатурное определение файла - это, даст возможность править скрипт в случае ошибок с минимальными временными затратами.
т.е. При таком подходе нет необходимости править/редактировать весь скрипт.
Пример:
-----------------------------------------------------------
;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

exclude 3BC10B8D00BF12038D180FBBA7FCDF48E1264C6D
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\АСВ\LOCAL SETTINGS\TEMP\LXXOXVX.EXE
bl CFF46DCF92ACA98A53FB7D7C920F8A96 212992
addsgn A7679BF0AA024C064BD4C62C24881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92
A2DD78F544E95C0E0C9FE82BD6D7B08C69775BACCA028237 8 Por.exe.Vir.DNS
RESTART

RP55, поясни, что ты имеешь ввиду в данном предложении, как uVS это должен выполнять. (не стал офтопить на АМ, чтобы не забивать топик ненужными комментариями.)
-------
допустим добавили данный текст в скрипт и запустили на выполнение на удаленной машине. Что дальше.

Изменено: santy - 16.06.2012 15:19:27

[ Как создать образ автозапуска? ]

Перейти

Win32/SpyVoltar.A, SpyVoltar.A в C:\Users\ACER 7736ZG-433\AppData\Roaming\taskhost.exe

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.06.2012 07:27:58

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.75 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 zoo %SystemDrive%\USERS\ACER 7736ZG-433\APPDATA\ROAMING\TASKHOST.EXE addsgn 925277BA146AC1CC0B24504E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5FC202ADA4D985CC8F 14 Winlock delall %SystemDrive%\USERS\ACER 7736ZG-433\APPDATA\ROAMING\TASKHOST.EXE deltmp delnfr regt 14 czoo restart

Код

;uVS v3.75 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
zoo %SystemDrive%\USERS\ACER 7736ZG-433\APPDATA\ROAMING\TASKHOST.EXE
addsgn 925277BA146AC1CC0B24504E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5FC202ADA4D985CC8F 14 Winlock
delall %SystemDrive%\USERS\ACER 7736ZG-433\APPDATA\ROAMING\TASKHOST.EXE
deltmp
delnfr
regt 14
czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память spy voltar.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.06.2012 07:25:25

смотрим решение здесь
http://pchelpforum.ru/f26/t98724/

[ Как создать образ автозапуска? ]

Перейти

Троян

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.06.2012 20:56:20

Код
;uVS v3.75 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\VEZAGZYCCP8.EXE addsgn A7679B19B92EC77F83A4EFB157089B48D9E2FCCC771B755AEDC350F5CD3E2F66231740933206F756438002A233FEE5D57DDF6BB65DB2B0865F26CE57AF06B230 8 tr.Carberp bl 7A9FCF8C9894228F0EA01D83668BE303 130560 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\VEZAGZYCCP8.EXE delall %SystemRoot%\APPPATCH\KAXGYN.EXE chklst delvir deltmp delnfr regt 12 czoo restart

Код

;uVS v3.75 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\VEZAGZYCCP8.EXE
addsgn A7679B19B92EC77F83A4EFB157089B48D9E2FCCC771B755AEDC350F5CD3E2F66231740933206F756438002A233FEE5D57DDF6BB65DB2B0865F26CE57AF06B230 8 tr.Carberp
bl 7A9FCF8C9894228F0EA01D83668BE303 130560
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\VEZAGZYCCP8.EXE
delall %SystemRoot%\APPPATCH\KAXGYN.EXE
chklst
delvir
deltmp
delnfr
regt 12
czoo
restart

[ Как создать образ автозапуска? ]

Перейти

Заблокирован доступ к рабочему столу Windows, удаление trojan winlock вируса

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.06.2012 08:25:58

проверьте так же доступ к рабочему столу в безопасном режиме.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/TrojanDownloader.Carberp.AF троянская программа, Поиогите лечить

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.06.2012 19:23:37

выполните в uVS (из под Winpe) скрипт из файла

файл скрипта скачайте отсюда
http://rghost.ru/38643873

перегрузите систему в нормальный режим,

и сделайте новый образ автозапуска для контроля.
(уже с рабочего стола)

Изменено: santy - 13.06.2012 19:24:44

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/TrojanDownloader.Carberp.AF троянская программа, Поиогите лечить

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.06.2012 18:03:30

да, и tsskiller не помог.
остается вариант удаления с winpe&uVS
(4случай за последнее время.)

сделайте образ автозапуска с помощью Winpe&uVS
http://forum.esetnod32.ru/forum27/topic2102/
полученный образ добавьте на форум.

Изменено: santy - 13.06.2012 18:03:48

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/TrojanDownloader.Carberp.AF троянская программа, Поиогите лечить

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.06.2012 17:01:17

Код
;uVS v3.75 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\APPLICATION DATA\HWYUYB.EXE fixvbr C: 5 deltmp delnfr restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/
+
Скачайте, распакуйте и запустите TDSSKiller:
http://support.kaspersky.ru/faq/?qid=208636926
Если программа найдет файл WINDOWS\system32\Drivers\sptd.sys, то не удаляйте его.
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.

Изменено: santy - 13.06.2012 17:01:36

[ Как создать образ автозапуска? ]

Перейти

Компьютер стал очень медленно работать

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.06.2012 08:28:37

проверьте это решение
http://pchelpforum.ru/f26/t95290/
лог malwarebytes добавить сюда

[ Как создать образ автозапуска? ]

Перейти