Дорогие участники форума!

Наш форум переведен в режим работы "только для чтения", публикация новых тем и сообщений недоступна. Мы искренне благодарны вам за то, что были с нами, но пришло время двигаться дальше. После официального ухода компании ESET с российского рынка мы приступили к разработке новых продуктов вместе с новыми партнёрами. Приглашаем вас присоединиться к нашему новому форуму PRO32.

Мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.

Купить и продлить лицензии ESET на нашем сайте больше нельзя.

Предлагаем вам попробовать новые продукты компании PRO32.

PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств. Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.

Выбрать дату в календареВыбрать дату в календаре

поговорить о uVS, Carberp, планете Земля
Цитата
RP55 RP55 пишет:
MBX@758@3F3238
Цитата
RP55 RP55 пишет:
А что по этому файлу ?
MBX@758@3F3238.###
http://forum.esetnod32.ru/forum6/topic3867/
А что ты имеешь ввиду по этому файлу?
Я не в курсе, RP55, что это за файл.
Изменено: santy - 31.01.2012 08:39:07
Вирус Оперативная память - модифицированный Win32/Dorkbot.B червь - очистка невозможна, Оперативная память - модифицированный Win32/Dorkbot.B червь - очистка невозможна
выполнить скрипт в uVS
скопировать содержимое кода в буфер обмена
uVS: start.exe, текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена
закрыть браузеры перед выполнением скрипта

Код

;uVS v3.73.2 script [http://dsrt.dyndns.org]

deltmp
delnfr
delref HTTP://WWW.SMAXXI.BIZ

adddir %SystemDrive%\USERS\UZER\APPDATA\ROAMING
crimg



без перезагрузки
новый образ автозапуска будет создан автоматически скриптом.
его добавить на форум.
------
+
добавить лог журнала обнаружения угроз
Изменено: santy - 31.01.2012 05:46:37
[ Закрыто] Вирус Win32/AutoRun.Spy.Banker.M в оперативной памяти
выполнить скрипт в uVS
скопировать содержимое кода в буфер обмена
uVS: start.exe, текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена
закрыть браузеры перед выполнением скрипта

Код

;uVS v3.73.2 script [http://dsrt.dyndns.org]

addsgn 79F927BA176AC76022C1EAA126C8A895018AFC779CFA0F3A85C3D5FE5057644C3355C3572E179DC8268094DD46662DFA7D5E32904ADAB079A69B25C3AF022273 8 Spy.Banker

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\APPLICATION DATA\KB00016433.EXE
bl 02BD12B8605075E86EAFF014E800CCA8 143360
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\APPLICATION DATA\KB00016433.EXE
chklst
delvir
deltmp
delnfr
restart



перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected], [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected
---------
далее,
сделайте дополнительно проверку системы в малваребайт
ФАЕРВОЛ, Помогите пожалуста я открыл порт 27018 фаервол блокирует доступ отключая фаервол все работает что мне делать как его настроить_)
Цитата
smilik пишет:
В чем причина?И что делать)
читаем документацию по ESET Smart Security
http://www.esetnod32.ru/.download/doc/
сообщение о повреждении ядра
знание о возможностях лечения ZAccess с помощью uVS так же важно, как возможности утилиты Sirefef.
Изменено: santy - 30.01.2012 20:51:37
модифицированный Win32/TrojanDownloader.Carberp.AD, вирус
выполнить скрипт в uVS
скопировать содержимое кода в буфер обмена
uVS: start.exe, текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена
закрыть браузеры перед выполнением скрипта

Код

;uVS v3.73.2 script [http://dsrt.dyndns.org]

addsgn A7679B19B936F5F80BD4AE38293841EDC592FCF6DF128D6E85C392D627BCB1260CFF45413E551E8D27EA73F55E7CFA12A3CBE872D61EBCC4536EA42F44FE9B06 8 a variant of Win32/Kryptik.ZJA [NOD32]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\TIOLBVFXAEU.EXE
bl 8189B53F6CB4C941F489855C3E569F7C 173056
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\TIOLBVFXAEU.EXE
chklst
delvir
deltmp
delnfr
restart



перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected], [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected
сообщение о повреждении ядра
ZloyDi, использовать утилиту Sirefef - это самый простой вариант, мы же здесь используем возможность uVS вылечить ZAccess.
Цитата
uVS v3.73: Windows 7 Ultimate x86 (NT v6.1) build 7601 Service Pack 1 [D:\WINDOWS]
Изменено: santy - 30.01.2012 19:29:05
[ Закрыто] win32/spy.spyeye, Оперативная память - модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна
удалить все найденное в МБАМ, кроме
Цитата
Объекты реестра обнаружены:  1
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
далее,
выполнить наши рекомендации по безопасной работе в сети
сообщение о повреждении ядра
что делать.
------------
из под Live.CD в uVS выполнить скрипт из файла (script.txt).
без перезагрузки,
заменяем зараженный файл
Цитата
D:\WINDOWS\SYSTEM32\DRIVERS\AFD.SYS
на чистый
перегружаем систему.
пишем результат.
сообщение о повреждении ядра
1.
(!) Обнаружен измененный файл "AFD.SYS" [ D:\WINDOWS\SYSTEM32\DRIVERS\AFD.SYS ]
этот драйвер надо заменить на чистый. из под Live.CD
2. троянская dll в сервисах
Цитата
Полное имя                  D:\WINDOWS\SYSTEM32\MAFWBOOT.DLL
Имя файла                   MAFWBOOT.DLL
Тек. статус                 ?ВИРУС? сервисная_DLL в автозапуске [SVCHOST]
                           
www.virustotal.com          2012-01-29 [2012-01-11 17:27:01 UTC ( 2 weeks, 4 days ago )]
BitDefender                 Trojan.Sirefef.BP
                           
Сохраненная информация      на момент создания образа
Статус                      сервисная_DLL в автозапуске [SVCHOST]
Размер                      5120 байт
Создан                      14.07.2009 в 02:19:28
Изменен                     14.07.2009 в 04:14:41
Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Оригинальное имя            adserxvice.exe
Версия файла                2, 1, 0, 0
Версия продукта             2, 1, 0, 0
Описание                    Iomega® Active Disk™
Продукт                     Disk Service
Copyright                   Copyright © 2009
Производитель               Iomega
                           
Доп. информация             на момент обновления списка
SHA1                        A4023B8E38F1E18D0DFFB43567C5E0AEF6C8086B
MD5                         B89CFBE8CB247B57D8C10ADAA66B462B
                           
Ссылки на объект            
Ссылка                      HKLM\uvs_system\ControlSet001\Services\tbhsd\Parameters\Serv­iceDLL
ServiceDLL                  %systemroot%\system32\mafwboot.dll