santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Win32/TrojanDownloader.Delf.BTT и CoinMiner.GA

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 07.02.2019 10:10:22

хорошо, ждем результат (можно добавить новый лог журнала обнаружения угроз) после установки патча.
+
добавьте новый образ автозапуска.
по нему видно, что добавляются внедренные потоки в в svchost.exe
(и скорее всего после сетевой атаки).
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\SVCHOST.EXE [2188], tid=2196
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\SVCHOST.EXE [3884], tid=1104

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/TrojanDownloader.Delf.BTT и CoinMiner.GA

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 07.02.2019 09:59:49

если есть такая информация в журнале, добавьте еще часть лога за 06.02.2019

Цитата
06.02.2019 23:30:33;Защита в режиме реального времени;файл;C:\Windows\System32\Tasks\9e8b42dd-d090-5aef-05988218f949eab4;PowerShell/Agent.AS троянская программа;очищен удалением;NT AUTHORITY\система;Событие произошло в новом файле, созданном следующим приложением: C:\Windows\System32\svchost.exe (4AF001B3C3816B860660CF2DE2C0FD3C1DFB4878).;EAE11DFB3A4663D1EB26B8348DF904EC70154B2F;

Цитата

06.02.2019 23:30:33;Защита в режиме реального времени;файл;C:\Windows\System32\Tasks\9e8b42dd-d090-5aef-05988218f949eab4;PowerShell/Agent.AS троянская программа;очищен удалением;NT AUTHORITY\система;Событие произошло в новом файле, созданном следующим приложением: C:\Windows\System32\svchost.exe (4AF001B3C3816B860660CF2DE2C0FD3C1DFB4878).;EAE11DFB3A4663D1EB26B8348DF904EC70154B2F;

возможно, пробивает по сети.
если система не обновляется, установите для начала патч MS-2017-010 (здесь накопительное обновление)
http://www.catalog.update.microsoft.com/search.aspx?q=kb4012215

или отдельно установить патч для вашей системы
http://download.windowsupdate.com/d/msdownload/update/software/secu/2017/02/windows6.1-kb4012212-x86_6bb04d3971bb58ae4bac44219e7169812914df3f.msu

------------
после установки патча, перегрузить систему,
наблюдаем за системой, и пишем результат

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/TrojanDownloader.Delf.BTT и CoinMiner.GA

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 07.02.2019 09:41:39

добавьте так же лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

[ Как создать образ автозапуска? ]

Перейти

Троянская программа DOC001.EXE

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 07.02.2019 08:53:46

@Евгений Смотров,
добавьте образ автозапуска системы, где обнаружен DOC001.exe

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Проблемы с активацией, главная

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 07.02.2019 08:30:06

@Сергей Иванов,
добавьте образ автозапуска системы

[ Как создать образ автозапуска? ]

Перейти

Установка завершена с ошибкой: 1603, при установки через консоль ESET Remote Agent вылезает ошибка 1603

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.02.2019 13:56:39

Цитата

Алексей Сапожников написал:

Цитата
santy написал: а локально вы можете установить Remote Administrator Agent? будет ли ошибка при установке?

Локально уже пробовал. Все работает без ошибок, но нужно загрузить удаленно

посмотрите в режиме отчеты:
https://help.eset.com/era_admin/65/ru-RU/?reports.html

"сведения о задачах по развертыванию агентов",
возможно там более подробно описана ошибка по удаленной установке на вашем компутере.

[ Как создать образ автозапуска? ]

Перейти

Установка завершена с ошибкой: 1603, при установки через консоль ESET Remote Agent вылезает ошибка 1603

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.02.2019 13:39:03

а локально вы можете установить Remote Administrator Agent? будет ли ошибка при установке?

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx;.santa; .bizer, Filecoder.Crysis / Encoder.3953; r/n: info.hta

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.02.2019 15:47:04

Цитата
Никита Король написал: "Добрый" день. Расшифровки пока нет?

"пока" - это очень оптимистично,
ее может не быть никогда.
в любом случае, если вы пострадали от шифратора по данному списку,
обращайтесь в [email protected] или [email protected] (какой к вам ближе),
при наличие реальной лицензии на продукт ESET

[ Как создать образ автозапуска? ]

Перейти

Не устанавливаются все компоненты

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.02.2019 15:34:53

@Денис Смирнов,

если тема "Установка из командной строки" непонятна в русской редакции (бывает и такое),
можно посмотреть аналогичную статью в английской редакции.
https://help.eset.com/efsw/7.0/en-US/installation_cmd.html

из этой статьи становится ясно:

Цитата
If you want to remove any of the following features, you need to remove the whole group by specifying every feature that belongs to the group. Otherwise, the feature will not be removed. Here are two groups (each line represents one group): GraphicUserInterface,ShellExt NetworkProtection,WebAccessProtection,IdsAndBotnetProtection,ProtocolFiltering,MailPlugins,EmailClientProtection

что функции, перечисленные в этих двух группах взаимосвязанные, т.е. нельзя удалить одну функцию из списка,
необходимо удалить всю группу.

отсюда ответ на ваш вопрос:
нельзя удалить WebAccessProtection или EmailClientProtection, оставив при NetworkProtection
необходимо удалить всю группу NetworkProtection,WebAccessProtection,IdsAndBotnetProtection,ProtocolFiltering,MailPlugins,EmailClientProtection

[ Как создать образ автозапуска? ]

Перейти

вирус newscommer.com, Самопроизвольно завершается процесс Explorer.exe

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 02.02.2019 18:39:54

проверьте, есть ли точки восстановления близкие, к дате, когда появилась проблема.
если есть такие точки, попробуйте запустить восстановление системы из данной точки восстановления.

[ Как создать образ автозапуска? ]

Перейти