santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Оперативная память » winlogon.exe(848) - модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.11.2011 14:07:13

закрыть браузеры перед выполнением скрипта
выполнить скрипт в uVS
меню - скрипты - выполнить скрипт из буфера обмена

Код
;uVS v3.72 script [http://dsrt.dyndns.org] addsgn A7679B19B9061B24380669F48CC812052501A91EDB3D5ADC85C3C5BCDB9BD51D10CC90A82BDD9C0B2B237ADA04167A212E18EDCB0598B02C2D77A4A4FABF7231 8 Spy.Shiz [ESET NOD32] zoo %SystemRoot%\APPPATCH\CVNEYAE.EXE bl 6593BFF2E46974184824C40CA1D7457B 267136 delall %SystemRoot%\APPPATCH\CVNEYAE.EXE chklst delvir delref HTTP://WEBALTA.RU delref HTTP://WEBALTA.RU/POISK delall %SystemDrive%\DOCUMENTS AND SETTINGS\РИНАТ\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE delall %SystemDrive%\PROGRAM FILES\VPETS\VPETS.EXE delall %SystemDrive%\PROGRAM FILES\PCHD\PCHDPLAYER.EXE deltmp delnfr regt 5 regt 18 czoo restart

Код


;uVS v3.72 script [http://dsrt.dyndns.org]

addsgn A7679B19B9061B24380669F48CC812052501A91EDB3D5ADC85C3C5BCDB9BD51D10CC90A82BDD9C0B2B237ADA04167A212E18EDCB0598B02C2D77A4A4FABF7231 8 Spy.Shiz [ESET NOD32]

zoo %SystemRoot%\APPPATCH\CVNEYAE.EXE
bl 6593BFF2E46974184824C40CA1D7457B 267136
delall %SystemRoot%\APPPATCH\CVNEYAE.EXE
chklst
delvir
delref HTTP://WEBALTA.RU
delref HTTP://WEBALTA.RU/POISK
delall %SystemDrive%\DOCUMENTS AND SETTINGS\РИНАТ\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE
delall %SystemDrive%\PROGRAM FILES\VPETS\VPETS.EXE
delall %SystemDrive%\PROGRAM FILES\PCHD\PCHDPLAYER.EXE
deltmp
delnfr
regt 5
regt 18
czoo
restart

перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected], [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

Изменено: santy - 24.11.2011 14:07:45

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » svchost.exe(1416) - модифицированный Win32/Carberp.A троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.11.2011 11:51:55

удалите все, кроме

Цитата
Объекты реестра заражены: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Цитата

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

перезагрузка,
новый лог мБАМ,
если все чисто будет (кроме этих 3)
выполните рекомендации
http://forum.esetnod32.ru/forum9/topic751/

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.11.2011 11:33:17

сделайте лог МБАМ
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.11.2011 11:20:22

Код
;uVS v3.72 script [http://dsrt.dyndns.org] fixvbr C: 5 delref HTTP://QIP.RU delref HTTP://SEARCH.QIP.RU deltmp delnfr restart

перезагрузка, пишем о старых и новых проблемах.

[ Как создать образ автозапуска? ]

Перейти

tr.Carberp (1)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.11.2011 23:13:57

Код
;uVS v3.72 script [http://dsrt.dyndns.org] fixvbr C: 6 deltmp delnfr delref HTTP://SEARCH.QIP.RU restart

перезагрузка, пишем о старых и новых проблемах.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] tr.Carberp

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.11.2011 23:10:52

+ лог сканирования в МБАМ
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.11.2011 22:11:29

тогда уж и аналитический отчет от Есет Russia до кучи
http://www.esetnod32.ru/.company/.viruslab/analytics/doc/craberp_ru.pdf

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] tr.Carberp

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.11.2011 22:09:24

т.е. лучше все таки такой скрипт в uVS выполнить
-------------
закрыть браузеры перед выполнением скрипта
выполнить скрипт в uVS
меню - скрипты - выполнить скрипт из буфера обмена

Код
;uVS v3.72 script [http://dsrt.dyndns.org] addsgn 79132211B9EBA07E01D4AE3A61E0024425893CC540739A707D3C3ABF995FFC08DEE83C04B59414CCE77B7B6010158173F07F1E8DAA8D93E406BF97F4ECCEABEE 8 a variant of Win32/Kryptik.VWF [NOD32] zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE bl DBE13E194916B88646B0446C3E9CF1BF 175104 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE fixvbr C: 5 deltmp delnfr restart

Код


;uVS v3.72 script [http://dsrt.dyndns.org]

addsgn 79132211B9EBA07E01D4AE3A61E0024425893CC540739A707D3C3ABF995FFC08DEE83C04B59414CCE77B7B6010158173F07F1E8DAA8D93E406BF97F4ECCEABEE 8 a variant of Win32/Kryptik.VWF [NOD32]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
bl DBE13E194916B88646B0446C3E9CF1BF 175104
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
fixvbr C: 5
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] tr.Carberp

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.11.2011 22:05:55

кстати, в этом образе уже и зараженный IPL

Цитата
Полное имя IPL NTFS [C:] Имя файла IPL NTFS [C:] Тек. статус ?ВИРУС? ВИРУС загрузчик www.virustotal.com 2011-11-18 [2011-11-18] AntiVir RKIT/Book.Cidox.A Сохраненная информация на момент создания образа Статус загрузчик Размер 7680 байт Доп. информация на момент обновления списка SHA1 BC08C44FF2E799BEDEA045D0B9251AB375929474

Цитата

Полное имя IPL NTFS [C:]
Имя файла IPL NTFS [C:]
Тек. статус ?ВИРУС? ВИРУС загрузчик

www.virustotal.com 2011-11-18 [2011-11-18]
AntiVir RKIT/Book.Cidox.A

Сохраненная информация на момент создания образа
Статус загрузчик
Размер 7680 байт

Доп. информация на момент обновления списка
SHA1 BC08C44FF2E799BEDEA045D0B9251AB375929474

и
исполняемый трой в папке автозапуска.

Цитата
ПОЛНОЕ ИМЯ: C:\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE

Изменено: santy - 23.11.2011 22:06:15

[ Как создать образ автозапуска? ]

Перейти

модифицированный Win32/TrojanDownloader.Carberp.AF, не удаляется

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.11.2011 17:21:36

очистить кэш обновления, и еще повторить обновить базы,
если ошибка повторится,
еще раз сделайте образ автозапуска.

[ Как создать образ автозапуска? ]

Перейти