santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] win32/spy.spyeye, Оперативная память - модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 30.01.2012 15:54:17

далее,
сделайте дополнительно проверку системы в малваребайт

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 30.01.2012 15:51:16

выполнить скрипт в uVS
скопировать содержимое кода в буфер обмена
uVS: start.exe, текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена
закрыть браузеры перед выполнением скрипта

Код
;uVS v3.73.2 script [http://dsrt.dyndns.org] delall %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE bl B5B5D11A6D2FD7C656E46A0511536B9A 333824 addsgn A7679BF0AA02AC024AD4C64952891261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C13F0C59F75C4C32EF4CA9CE414DA3BE4AC965B2FC706AB7E 8 Spy.SpyEye zoo %SystemDrive%\SYSTEMHOST\24FC2AE3ED2.EXE delall %SystemDrive%\SYSTEMHOST\24FC2AE3ED2.EXE chklst delvir deltmp delnfr restart

Код


;uVS v3.73.2 script [http://dsrt.dyndns.org]

delall %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE
bl B5B5D11A6D2FD7C656E46A0511536B9A 333824
addsgn A7679BF0AA02AC024AD4C64952891261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C13F0C59F75C4C32EF4CA9CE414DA3BE4AC965B2FC706AB7E 8 Spy.SpyEye

zoo %SystemDrive%\SYSTEMHOST\24FC2AE3ED2.EXE
delall %SystemDrive%\SYSTEMHOST\24FC2AE3ED2.EXE
chklst
delvir
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected], [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 30.01.2012 14:31:21

Код
;uVS v3.73.2 script [http://dsrt.dyndns.org] zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\SUN\JAVA\PHQGHUME.EXE addsgn A7679BF0AA026CF34BD4C6D113881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CB6FD9FE82BD6D780BC6D775BACCA32B233 8 Trojan.PWS.SpySweep.302 [DrWeb] zoo %SystemRoot%\WEWFS.SYS addsgn A76D8B9A556ACC01FA8C2F4B82F80964506DF9F288FA1E90C243C5BC51C360593212C25209C70C589C27859E4715E15864DEE96340CBB52D28B8AD8B9B372372 8 Win32/Rootkit.Kryptik.EN [NOD32] bl EBC924FBCA085BC56B855884DA818716 44544 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\SUN\JAVA\PHQGHUME.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\APPLICATION DATA\NETPROTOCOL.EXE addsgn A7679B1BB9864C720BBEC85969DE1205A64EF89C7490D41205A9D9548AC1714CA0D3D3040D8E24E12B8084F5787CB89074B5B39A93FAB02CAEB3B445386C1119 8 a variant of Win32/Kryptik.ZPA [NOD32] zoo %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\LRO7IDWFTOK.EXE bl 0EA439BAF48D699A4242558EEFCE7FC1 174592 delall %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\LRO7IDWFTOK.EXE delref HTTP://SEARCH.BABYLON.COM/?BABSRC=NT_SS&MNTRID=382EDBAE00000000000000235474F057&TLVER=1.4.19.19&AFFID=17160 deltmp delnfr sreg delref %SystemRoot%\WEWFS.SYS areg

Код


;uVS v3.73.2 script [http://dsrt.dyndns.org]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\SUN\JAVA\PHQGHUME.EXE
addsgn A7679BF0AA026CF34BD4C6D113881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CB6FD9FE82BD6D780BC6D775BACCA32B233 8 Trojan.PWS.SpySweep.302 [DrWeb]

zoo %SystemRoot%\WEWFS.SYS
addsgn A76D8B9A556ACC01FA8C2F4B82F80964506DF9F288FA1E90C243C5BC51C360593212C25209C70C589C27859E4715E15864DEE96340CBB52D28B8AD8B9B372372 8 Win32/Rootkit.Kryptik.EN [NOD32]

bl EBC924FBCA085BC56B855884DA818716 44544
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\SUN\JAVA\PHQGHUME.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\APPLICATION DATA\NETPROTOCOL.EXE
addsgn A7679B1BB9864C720BBEC85969DE1205A64EF89C7490D41205A9D9548AC1714CA0D3D3040D8E24E12B8084F5787CB89074B5B39A93FAB02CAEB3B445386C1119 8 a variant of Win32/Kryptik.ZPA [NOD32]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\LRO7IDWFTOK.EXE
bl 0EA439BAF48D699A4242558EEFCE7FC1 174592
delall %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\LRO7IDWFTOK.EXE
delref HTTP://SEARCH.BABYLON.COM/?BABSRC=NT_SS&MNTRID=382EDBAE00000000000000235474F057&TLVER=1.4.19.19&AFFID=17160
deltmp
delnfr
sreg
delref %SystemRoot%\WEWFS.SYS
areg

[ Как создать образ автозапуска? ]

Перейти

Нод32 4.0 зависает на серверах, сервера перестают отвечать

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 30.01.2012 10:45:57

проверьте так решение от ESET для серверов.
http://www.eset.com/business/products/file-windows/

http://www.eset.eu/products/file-security-for-windows-file-server

Изменено: santy - 30.01.2012 10:49:52

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » winlogon.exe(528) - модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна, Здравствуйте!помогите,пожалуйста,решить данную проблему.буду премного благодарна.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2012 17:36:12

теперь понятно что пустая будет, потому что в первый раз скриптом был вирус удален.

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2012 17:07:28

Странное дело. Spy.SpyEye.CA не всегда, или часто не попадает в образ автозапуска.
Здесь
http://forum.esetnod32.ru/forum6/topic3840/
uVS его "прочитал". В общем случае, достается специализированной утилитой.

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2012 16:48:14

+ сделайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2012 16:08:56

Цитата
RP55 RP55 пишет: 3.73.2 --------------------------------------------------------- o В список для проверки добавлен 1 ключ реестра. o Исправлена ошибка в функции удаления ссылок. Это надо так понимать, это те ссылки что были в Cork.bat И теперь они будут автоматом сохраняться или как ?

Цитата

RP55 RP55 пишет:
3.73.2
---------------------------------------------------------
o В список для проверки добавлен 1 ключ реестра.
o Исправлена ошибка в функции удаления ссылок.
Это надо так понимать, это те ссылки что были в Cork.bat
И теперь они будут автоматом сохраняться или как ?

ошибка здесь в том, что при очистке параметра Systray в ShellServiceObjectDelayLoad пропадают иконки сети в трее,
т.е. неправильно полностью очищать параметр Systray, а зачистить надо только определение модуля в CLSID.

посмотрим, что попадет в образ при лечение новых тем с Corkow на Win7. Установщика нужного пока нет. Хорошо бы, если бы Центр Аналитики ESET обращал внимание почаще на наши проблемы. Но пока контакта нет.

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2012 15:12:52

3.73.2

Цитата
тестируем, пофиксены проблемы с пропуском автозапуска и неправильной очистки реестра от ссылок на троян Corkow в Win7.

http://www.anti-malware.ru/forum/index.php?showtopic=19126&view=findpost&p=149491

[ Как создать образ автозапуска? ]

Перейти

Проблема с вирусом

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2012 12:47:35

Код
;uVS v3.73.1 script [http://dsrt.dyndns.org] zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\JAVAUPDTR\HACK.EXE delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\JAVAUPDTR\HACK.EXE deltmp delnfr restart

[ Как создать образ автозапуска? ]

Перейти