Наш форум переведен в режим работы "только для чтения", публикация новых тем и сообщений недоступна. Мы искренне благодарны вам за то, что были с нами, но пришло время двигаться дальше. После официального ухода компании ESET с российского рынка мы приступили к разработке новых продуктов вместе с новыми партнёрами. Приглашаем вас присоединиться к нашему новому форуму PRO32.
Мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.
Купить и продлить лицензии ESET на нашем сайте больше нельзя.
Предлагаем вам попробовать новые продукты компании PRO32.
PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств. Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.
по второму образу ПОСЛЕ ПАТЧА И ПЕРЕЗАГРУЗКИ С ИНТЕРНЕТОМ____*
для очистки системы:
выполняем скрипт в uVS: - скопировать содержимое кода в буфер обмена; - стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена; - закрываем все браузеры перед выполнением скрипта; при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
по первому образу ПОСЛЕ_ПЕРЕЗАГРУЗКИ_ДО ПАТЧА_______*
HitmanPro 3.8 и это C:\PROGRAM FILES (X86)\TROJAN REMOVER\TRUPD.EXE имхо, можно и удалить. достаточно для проверок проверенных программ: антивирусный монитор с обновлением, сканеры mbam, adwcleaner, FRST
судя по последнему образу ПОСЛЕ_СКРИПТА_ИПРОВЕРКИ_КИЛЛЕРОМ_____* политика безопасности ipsec удалена.
да, именно в такой последовательности: проверить еще раз killer-ом (без сети) и убедиться в том, что mbr более не заражен. пропатчить систему, а потом еще раз провериться (киллером и в uVS) уже после подключения к инету. --------
после этого можно будет решать проблему с незапуском антивируса, если она останется.
по образу автозапуска все чисто, но из нормального режима мы не сможем увидеть заражен ли MBR#0 [149,0GB] или нет. (сеть в момент перезагрузки системы пока не включайте)
сделайте пока лог проверки в tdsskiller
Цитата
сделайте проверку системы этой утилитой,
но ничего не удаляйте при обнаружении. (если будет что-то найдено)
+
такой скрипт выполните в uVS
выполняем скрипт в uVS: - скопировать содержимое кода в буфер обмена; - стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена; - закрываем все браузеры перед выполнением скрипта; при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
расшифровки по вышеуказанным расширениям для Crysis в настоящее время нет, восстанавливаем документы из архивных копий, потому что теневые копии так же удаляются после того как отработал Crysis (если был запущен с правами администратора).
по очистке системы:
выполняем скрипт в uVS: - скопировать содержимое кода в буфер обмена; - стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена; - закрываем все браузеры перед выполнением скрипта; при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
Код
;uVS v4.1.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-9CB21DBF.[[email protected]].STUN
del %SystemDrive%\USERS\COMODA3\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-9CB21DBF.[[email protected]].STUN
del %SystemDrive%\USERS\ADMINISTRATOR.COLUMNA\APPDATA\ROAMING\INFO.HTA
del %SystemDrive%\USERS\COMODA3\APPDATA\ROAMING\INFO.HTA
del %Sys32%\INFO.HTA
zoo %Sys32%\1SVHOST.EXE
addsgn A7679B1BB9DA4D720B132BD59A37ED05258AFC31CC061F7885C302F9A8D6714C237F43573E55F549CBC084F77AB749FA155F083255B230CC6D774CEEA8F9DDF0 8 Win32/Filecoder.Crysis.L 7
zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\1SVHOST.EXE
zoo %SystemDrive%\USERS\COMODA3\APPDATA\ROAMING\1SVHOST.EXE
zoo %SystemDrive%\USERS\ADMINISTRATOR.COLUMNA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\1SVHOST.EXE
chklst
delvir
czoo
QUIT
без перезагрузки системы, пишем о старых и новых проблемах. архив из каталога uVS (по формату: ZOO_гггг-мм-дд_чч-мм-сс.rar/7z) отправить в почту [email protected], [email protected], [email protected] ------------ + добавьте новый образ автозапуска для контроля.
еще и политика безопасности IPSec обнаружена Active IPSec Policy [Local]: SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{7dc75e5e-a9d9-443e-8d2d-e8b216c9090c} -------------- у вас скорее всего заражение BOOT.DarkGalaxy, (с заражением MBR)
удалите все найденное в мбам, перегрузите систему, добавьте новый образ автозапуска системы
+ сделайте проверку системы этой утилитой,
но ничего не удаляйте при обнаружении. (если будет что-то найдено)
