santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Вирус,Eset32 не находит, СОздание на рабочем столе 2-х ярлыков,вместо одного

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 19.01.2012 09:59:53

выполнить скрипт в uVS
скопировать содержимое кода в буфер обмена
uVS: start.exe, текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена
закрыть браузеры перед выполнением скрипта

Код
;uVS v3.73 script [http://dsrt.dyndns.org] delall F:\RECYCLER\S-51-9-25-3434476501-1644491933-601014513-1214\INSTMSX.EXE delref HTTP://DREAMLAIR.NET deltmp delnfr regt 5 restart

перезагрузка, пишем о старых и новых проблемах.

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 19.01.2012 07:44:21

а в чем смысл запуска с Live.CD подобных утилит:tdsskiller, kidokiller? они разве рассчитаны на запуск с Live.CD?

[ Как создать образ автозапуска? ]

Перейти

Оперативная память » explorer.exe(980) - модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа, очистка невозможна., При включении системы WinXP стала NOD стал выдовать, что оперативная память заражена торяном и не может быть очищена, что делать, из-за этого система стала работать медленее и намного хуже.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.01.2012 20:14:11

возможно модификация сервиса mkdrv

Цитата
Полное имя C:\WINDOWS\DFVBN.SYS Имя файла DFVBN.SYS Тек. статус АКТИВНЫЙ ВИРУС драйвер в автозапуске Сохраненная информация на момент создания образа Статус АКТИВНЫЙ драйвер в автозапуске Размер 48804 байт Создан 25.12.2011 в 15:21:20 Изменен 25.12.2011 в 15:21:20 Тип файла 32-х битный ИСПОЛНЯЕМЫЙ Цифр. подпись Отсутствует либо ее не удалось проверить Доп. информация на момент обновления списка SHA1 BA03C75CE5A11F731583C9ACD4E6E657F0FC8E7D MD5 437A3F97D75691EE8623337BFA6B0936 Ссылки на объект Ссылка HKLM\System\CurrentControlSet\Services\newdriver\ImagePath ImagePath \??\C:\WINDOWS\dfvbn.sys newdriver тип запуска: При инициализации ядра (1)

Цитата

Полное имя C:\WINDOWS\DFVBN.SYS
Имя файла DFVBN.SYS
Тек. статус АКТИВНЫЙ ВИРУС драйвер в автозапуске

Сохраненная информация на момент создания образа
Статус АКТИВНЫЙ драйвер в автозапуске
Размер 48804 байт
Создан 25.12.2011 в 15:21:20
Изменен 25.12.2011 в 15:21:20
Тип файла 32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись Отсутствует либо ее не удалось проверить

Доп. информация на момент обновления списка
SHA1 BA03C75CE5A11F731583C9ACD4E6E657F0FC8E7D
MD5 437A3F97D75691EE8623337BFA6B0936

Ссылки на объект
Ссылка HKLM\System\CurrentControlSet\Services\newdriver\ImagePath
ImagePath \??\C:\WINDOWS\dfvbn.sys
newdriver тип запуска: При инициализации ядра (1)

Цитата
Trojan-Banker.Win32.Qhost.syp -> c:\windows\dfvbn.sys ( DrWEB: Trojan.Hosts.5268, AVAST4: Win32:Sirefef-IN [Rtk] )

http://virusinfo.info/showthread.php?t=114470

Изменено: santy - 18.01.2012 20:14:44

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] После удаления Win32/Corkow.A пропали значки "подключение интернета и подключения флешки" в области уведомлений.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.01.2012 20:10:00

Цитата
envil пишет: А можно поподробней,а то я только научился создавать "лог uVS"

http://forum.esetnod32.ru/forum9/topic683/

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.01.2012 20:02:50

после перезагрузки,
новый образ автозапуска сделайте.

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.01.2012 20:02:23

Код
;uVS v3.73 script [http://dsrt.dyndns.org] zoo %SystemRoot%\DFVBN.SYS addsgn A76D8B9A556ACC01FA8C2F4B82F80964506DF9F288FA1E90C243C5BC51C360593212C25209C70C589C27859E4715E15864DEE96340CBB52D28B8AD8B9B372372 8 Win32/Rootkit.Kryptik.EN [NOD32] delall %SystemRoot%\APPPATCH\GRJNOU.EXE addsgn A7679B19B92226346106C4EFE70C1E8E282655B489C9CDF1D03BECF1A8851BD249FFA91454CE1E8D3B0B8933EF5449D1B756A58A03B01C468CF460274C43DA40 8 tr.carberp bl BF6FA831438F49F1E1FC76B6C6E581B8 168960 zoo %SystemDrive%\DOCUMENTS AND SETTINGS\АНДРЕЙ\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\KL5NFMPIOYO.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\АНДРЕЙ\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\KL5NFMPIOYO.EXE deltmp delnfr sreg delref %SystemRoot%\DFVBN.SYS areg

Код


;uVS v3.73 script [http://dsrt.dyndns.org]

zoo %SystemRoot%\DFVBN.SYS
addsgn A76D8B9A556ACC01FA8C2F4B82F80964506DF9F288FA1E90C243C5BC51C360593212C25209C70C589C27859E4715E15864DEE96340CBB52D28B8AD8B9B372372 8 Win32/Rootkit.Kryptik.EN [NOD32]

delall %SystemRoot%\APPPATCH\GRJNOU.EXE
addsgn A7679B19B92226346106C4EFE70C1E8E282655B489C9CDF1D03BECF1A8851BD249FFA91454CE1E8D3B0B8933EF5449D1B756A58A03B01C468CF460274C43DA40 8 tr.carberp

bl BF6FA831438F49F1E1FC76B6C6E581B8 168960

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\АНДРЕЙ\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\KL5NFMPIOYO.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АНДРЕЙ\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\KL5NFMPIOYO.EXE
deltmp
delnfr

sreg
delref %SystemRoot%\DFVBN.SYS
areg

перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected], [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.01.2012 19:54:56

это ваша тема?
http://pchelpforum.ru/f26/t84370/
вы уж, в одном месте пролечивайтесь.

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.01.2012 19:51:02

образ автозапуска в uVS сделайте новый для системы

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » taskhost.exe(672) - модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.01.2012 19:43:37

хм,
выполните наши рекомендации по безопасной работе
тема закрыта

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Модуль сканирования файлов, исполняемых при запуске системы Оперативная память » explorer.exe(1656) модифицированный Win32/Spy.Shiz.NCE троянская программа очистка невозможна, Модуль сканирования файлов, исполняемых при запуске системы Оперативная память » explorer.exe(1656) модифицированный Win32/Spy.Shiz.NCE троянская программа очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.01.2012 19:33:58

выполните наши рекомендации по безопасной работе
тему закрываем.

Изменено: santy - 18.01.2012 19:34:12

[ Как создать образ автозапуска? ]

Перейти