santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] модифицированный Win32/Spy.SpyEye.CA, Оперативная память » winlogon.exe(464)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2012 09:16:27

файл образа запишите на http://rghost.ru и дайте ссылку на форуме

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Ужастно тормозит комп

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2012 07:37:40

софт не обновляете.
-------
1. обновите thunderbird до 11.0
2. обновите ESET NOD32 до 4.2.76 (или 5.0.95)
3. возможно есть конфликт с ZoneAlarm (если нужен фаерволл, имеет смысл перейти на ESS)
-------
так же надо смотреть настройки Startup сканера ESET NOD32, как бы чего лишнего он не проверял, возможно почтовые базы,
и так каждый раз при старте системы и обновлений антивирусных баз.

Изменено: santy - 17.03.2012 07:39:44

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » explorer.exe(440) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.03.2012 17:53:24

а зачем здесь AVZ? откройте редактор реестра,
найдите данный ключ

Цитата
HKLM\SOFTWARE\Microsoft\Security Center\|UpdatesDisableNotify

и исправьте значение наоборот тому, что сделал мбам.
далее,
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

Изменено: santy - 16.03.2012 17:53:38

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Веселые картинки =), предлагаю тут выкладывать приколы на которые Вы наткнулись на просторах Интернета, но только связанные с софтом)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.03.2012 17:07:59

RP55, тогда с тебя фото с футболкой (в этой футболке) в окружении восхищенной публики

.
----------
заголовок фото будет такой - RP55 на страже города.

Изменено: santy - 16.03.2012 17:09:08

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.03.2012 13:06:40

из этой темы:
http://forum.esetnod32.ru/forum6/topic4249/
там образ для Win7 с заражением Carberp / сорри, Corkow /
-------------------
файлик

Цитата
C:\USERS\ЮЛИАНА\APPDATA\ROAMING\MICROSOFT CORPORATION\SYSRCPL.RC3

был прописан по этой ссылке

Цитата
HKEY_USERS\S-1-5-21-2229413025-3452629496-3526477641-1000_Classes\CLSID\{35CEC8A3-2BE6-11D2-8773-92E220524153}\InprocServer32\

-------
вот для чего нужны образы по интересующим заражениям.

Изменено: santy - 16.03.2012 13:07:18

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.03.2012 12:37:46

в отличие от XP (такм это действительно так) для win7 не факт что объект systray стартует через этот ключ

Цитата
HKLM\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.03.2012 11:35:42

по логу вроде видно, что Corkow присутствует

Цитата
15.03.2012 21:29:34 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память » explorer.exe(1604) модифицированный Win32/Corkow.A троянская программа очистка невозможна TOSHIBA\Show Must Go On

судя по тому что пропал значок сети, значит увс нашел таки объект связанный с systray в реестре, но как это выглядит под win7 - не знаю, может потому и не помогла команда восстановления через EXEC. Это для XP сработает точно - проверено. Как для win 7 - не уверен.
-------
тоже не всегда замечаю что образ сделан старой версией, но стараюсь глянуть всегда в лог по alt+L

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] 16.03.2012 9:00:07 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память » explorer.exe(320) вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа очистка невозможна, не лечится NOD32

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.03.2012 10:46:40

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 zoo %SystemDrive%\USERS\МЕГА ФОТОГРАФ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\EOENOZZSBYE.EXE addsgn A7679B1BB9D24D720B132B1D9A37ED05258AFC310C16E1877AC3C5BC5011F430DDE83C333E559D8EAE687A60B91449FA7D18AD8A55DAB02CEAF214D138F92273 10 tr.Carberp bl CB202FB39E245A1060CD45C440A6BF64 312344 delall %SystemDrive%\USERS\МЕГА ФОТОГРАФ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\EOENOZZSBYE.EXE chklst delvir deltmp delnfr restart

Код

;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

zoo %SystemDrive%\USERS\МЕГА ФОТОГРАФ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\EOENOZZSBYE.EXE
addsgn A7679B1BB9D24D720B132B1D9A37ED05258AFC310C16E1877AC3C5BC5011F430DDE83C333E559D8EAE687A60B91449FA7D18AD8A55DAB02CEAF214D138F92273 10 tr.Carberp

bl CB202FB39E245A1060CD45C440A6BF64 312344
delall %SystemDrive%\USERS\МЕГА ФОТОГРАФ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\EOENOZZSBYE.EXE
chklst
delvir
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.
архив (например: 2011-12-31_23-59-59.rar/7z) из папки uVS отправить в почту [email protected], [email protected]
(если архив не был создан автоматически, добавить папку ZOO (если она не пуста) в архив с паролем virus )
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.03.2012 09:45:08

Цитата

marshal64 пишет:

Цитата
RP55 RP55 пишет: NOD32 В КОСМОСЕ

Это фотошоп или реальный снимок?)

Тогда какой туманности?

Похоже на Туманность Улитка (Глаз Бога)
http://www.lassy.ru/news/tumannost_ulitka_glaz_boga/2012-01-25-216
второй глаз близнец

http://www.lassy.ru/novosti/eso_tumannost_ulitka_glaz_boga.jpg

а в этой теме и само фото, добавленное RP55
http://www.ulitka.com/%D0%B2%D1%81%D1%82%D1%80%D0%B5%D1%87%D0%B8_%D0%BF%D1%83%D1%82%D0%B5%D1%88%D0%B5%D1%81%D1%82%D0%B2%D0%B8%D1%8F_%D1%82%D1%83%D1%81%D0%BE%D0%B2%D0%BA%D0%B8/%D1%82%D1%83%D0%BC%D0%B0%D0%BD%D0%BD%D0%BE%D1%81%D1%82%D1%8C_%D1%83%D0%BB%D0%B8%D1%82%D0%BA%D0%B0_-_%D0%B3%D0%BB%D0%B0%D0%B7_%D0%B1%D0%BE%D0%B3%D0%B0-31432.html

Туманность Песочные часы
http://space.1001chudo.ru/pic/full/swd2.jpg

Изменено: santy - 16.03.2012 10:01:15

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » winlogon.exe(976) - модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 16.03.2012 09:04:24

все верно сделали.
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/
тему закрываю.

Изменено: santy - 16.03.2012 09:05:17

[ Как создать образ автозапуска? ]

Перейти