santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Настройка позиции уведомлений

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2018 11:56:19

Александр,
вечером посмотрю на домашнем компутере, как настраиваются уведомления в 11.0.590

[ Как создать образ автозапуска? ]

Перейти

Невероятные приключения бат-энкодера в России

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2018 09:49:17

Расшифровка по варианту .GOOD

[2018.01.29 13:37:10.023] - Begin
[2018.01.29 13:37:10.023] -
[2018.01.29 13:37:10.023] - ....................................
[2018.01.29 13:37:10.024] - ..::::::::::::::::::....................
[2018.01.29 13:37:10.025] - .::EEEEEE:::SSSSSS::..EEEEEE..TTTTTTTT.. Win32/Filecoder.GPGCrypt
[2018.01.29 13:37:10.026] - .::EE::::EE:SS:::::::.EE....EE....TT...... Version: 1.0.0.0
[2018.01.29 13:37:10.028] - .::EEEEEEEE::SSSSSS::.EEEEEEEE....TT...... Built: Jan 25 2018
[2018.01.29 13:37:10.028] - .::EE:::::::::::::SS:.EE..........TT......
[2018.01.29 13:37:10.030] - .::EEEEEE:::SSSSSS::..EEEEEE.....TT..... Copyright © ESET, spol. s r.o.
[2018.01.29 13:37:10.030] - ..::::::::::::::::::.................... 1992-2018. All rights reserved.
[2018.01.29 13:37:10.030] - ....................................
[2018.01.29 13:37:10.030] -
[2018.01.29 13:37:10.031] - --------------------------------------------------------------------------------
[2018.01.29 13:37:10.031] -

[2018.01.29 13:37:10.034] - INFO: Backup: 1
[2018.01.29 13:37:10.034] - INFO: Looking for infected files...
[2018.01.29 13:37:10.034] - --------------------------------------------------------------------------------
[2018.01.29 13:37:10.035] -
[2018.01.29 13:37:10.035] - INFO: Cleaning file [GOOD_test\01. Цветные сны.mp3.good]
[2018.01.29 13:37:10.254] - INFO: Cleaned.
[2018.01.29 13:37:10.254] -
[2018.01.29 13:37:10.254] - INFO: Cleaning file [GOOD_test\Katalog-06.pdf.good]
[2018.01.29 13:37:10.356] - INFO: Cleaned.
[2018.01.29 13:37:10.356] -
[2018.01.29 13:37:10.356] - INFO: Cleaning file [GOOD_test\marketing_thinking.zip.good]
[2018.01.29 13:37:10.370] - INFO: Cleaned.
[2018.01.29 13:37:10.370] -
[2018.01.29 13:37:10.370] - INFO: Cleaning file [GOOD_test\Ананьев В.А..doc.good]
[2018.01.29 13:37:10.374] - ERROR: Error (499)
[2018.01.29 13:37:10.374] - ERROR: Error (872)
[2018.01.29 13:37:10.375] - ERROR: Not cleaned.
[2018.01.29 13:37:10.375] -
[2018.01.29 13:37:10.375] - INFO: Cleaning file [GOOD_test\беседка1.jpg.good]
[2018.01.29 13:37:10.387] - INFO: Cleaned.
[2018.01.29 13:37:10.388] -
[2018.01.29 13:37:10.388] - INFO: Cleaning file [GOOD_test\бланк заказа.xls.good]
[2018.01.29 13:37:10.441] - INFO: Cleaned.
[2018.01.29 13:37:10.442] -
[2018.01.29 13:37:10.442] - INFO: Cleaning file [GOOD_test\Большаков К.С..doc.good]
[2018.01.29 13:37:10.448] - INFO: Cleaned.
[2018.01.29 13:37:10.449] -
[2018.01.29 13:37:10.449] - INFO: Cleaning file [GOOD_test\Голубев А.В..doc.good]
[2018.01.29 13:37:10.455] - INFO: Cleaned.
[2018.01.29 13:37:10.456] -
[2018.01.29 13:37:10.456] - INFO: Cleaning file [GOOD_test\Голубин Д.А..doc.good]
[2018.01.29 13:37:10.462] - INFO: Cleaned.
[2018.01.29 13:37:10.463] -
[2018.01.29 13:37:10.463] - INFO: Cleaning file [GOOD_test\летний отдых.docx.good]
[2018.01.29 13:37:10.468] - INFO: Cleaned.
[2018.01.29 13:37:10.469] -
[2018.01.29 13:37:10.469] - INFO: Cleaning file [GOOD_test\пленка.cdr.good]
[2018.01.29 13:37:10.475] - INFO: Cleaned.
[2018.01.29 13:37:10.476] - --------------------------------------------------------------------------------
[2018.01.29 13:37:10.476] - INFO: 11 infected files found.
[2018.01.29 13:37:10.476] - INFO: 10 file(s) cleaned.
[2018.01.29 13:37:18.588] - End
----------
один из файлов был поврежден (или модифицирован), поэтому не был успешно расшифрован.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите удалить вирус(ы)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.01.2018 18:19:27

удалите все найденное в мбам,

далее,

сделайте проверку в FRST
http://forum.esetnod32.ru/forum9/topic2798/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите удалить вирус(ы)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.01.2018 17:15:05

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v4.0.10 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 v400c OFFSGNSAVE ;------------------------autoscript--------------------------- zoo %SystemRoot%\HELP\LSMOSEE.EXE addsgn 1A04C99A5583D98CF42B627DA804DEC9E946303A45364AF36994933725DAFA01339CBE5FB59416982846BF61301E7202725D487355DA31D5AD77A42FB51AA14E 8 Win32/Packed.Armadillo 7 chklst delvir deldirex %SystemDrive%\DOCUMENTS AND SETTINGS\A\LOCAL SETTINGS\APPLICATION DATA\UNITY\WEBPLAYER\LOADER delref %SystemRoot%\DEBUG\ITEM.DAT delref WMI_ACTIVESCRIPTEVENTCONSUMER\FUCKYOUMM2_CONSUMER.[FUCKYOUMM2_FILTER] apply ; Java(TM) 6 Update 26 exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216026FF} /quiet deltmp delref %SystemDrive%\DOCUMENTS AND SETTINGS\A\LOCAL SETTINGS\APPLICATION DATA\UNITY\WEBPLAYER\LOADER\UNITYWEBPLUGINAX.OCX delref %Sys32%\BLANK.HTM delref %Sys32%\PSXSS.EXE delref E:\INTERNET-BROWSERS\FIREFOX\BROWSER\FEATURES\[email protected] delref E:\INTERNET-BROWSERS\FIREFOX\BROWSER\FEATURES\[email protected] delref E:\INTERNET-BROWSERS\FIREFOX\BROWSER\FEATURES\[email protected] delref E:\INTERNET-BROWSERS\FIREFOX\BROWSER\FEATURES\[email protected] delref E:\INTERNET-BROWSERS\FIREFOX\BROWSER\EXTENSIONS\{972CE4C6-7E08-4474-A285-3208198CE6FD}.XPI delref %SystemDrive%\DOCUMENTS AND SETTINGS\A\LOCAL SETTINGS\APPLICATION DATA\UNITY\WEBPLAYER\LOADER\NPUNITY3D32.DLL ;------------------------------------------------------------- restart

Код


;uVS v4.0.10 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

zoo %SystemRoot%\HELP\LSMOSEE.EXE
addsgn 1A04C99A5583D98CF42B627DA804DEC9E946303A45364AF36994933725DAFA01339CBE5FB59416982846BF61301E7202725D487355DA31D5AD77A42FB51AA14E 8 Win32/Packed.Armadillo 7

chklst
delvir

deldirex %SystemDrive%\DOCUMENTS AND SETTINGS\A\LOCAL SETTINGS\APPLICATION DATA\UNITY\WEBPLAYER\LOADER

delref %SystemRoot%\DEBUG\ITEM.DAT
delref WMI_ACTIVESCRIPTEVENTCONSUMER\FUCKYOUMM2_CONSUMER.[FUCKYOUMM2_FILTER]
apply

; Java(TM) 6 Update 26
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216026FF} /quiet
deltmp
delref %SystemDrive%\DOCUMENTS AND SETTINGS\A\LOCAL SETTINGS\APPLICATION DATA\UNITY\WEBPLAYER\LOADER\UNITYWEBPLUGINAX.OCX
delref %Sys32%\BLANK.HTM
delref %Sys32%\PSXSS.EXE
delref E:\INTERNET-BROWSERS\FIREFOX\BROWSER\FEATURES\[email protected]
delref E:\INTERNET-BROWSERS\FIREFOX\BROWSER\FEATURES\[email protected]
delref E:\INTERNET-BROWSERS\FIREFOX\BROWSER\FEATURES\[email protected]
delref E:\INTERNET-BROWSERS\FIREFOX\BROWSER\FEATURES\[email protected]
delref E:\INTERNET-BROWSERS\FIREFOX\BROWSER\EXTENSIONS\{972CE4C6-7E08-4474-A285-3208198CE6FD}.XPI
delref %SystemDrive%\DOCUMENTS AND SETTINGS\A\LOCAL SETTINGS\APPLICATION DATA\UNITY\WEBPLAYER\LOADER\NPUNITY3D32.DLL
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
(теперь можно еще раз сканером от малваребайт проверить систему)
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите удалить вирус(ы)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.01.2018 16:53:50

Цитата
Константин Ким написал: Об этом было указано после выполнения кода в самомо начале.У меня сейчас открыта эта программа с обнаруженными угрозами (в том числе LSMOSEE.EXE). Мне эти объекты помещать в карантин или просто закрывать программу?

Цитата

Константин Ким написал:
Об этом было указано после выполнения кода в самомо начале.У меня сейчас открыта эта программа с обнаруженными угрозами (в том числе LSMOSEE.EXE). Мне эти объекты помещать в карантин или просто закрывать программу?

еще раз.
логи мбам нам пока не нужны. закройте программу, и выполните наши рекомендации.

Цитата
1. нужен новый образ автозапуска, созданный актуальной версией uVS http://chklst.ru/data/uVS%20latest/uvs_latest.zip (потому что прежнем образе, созданном устаревшей версией uVS нет информации о черве, который явно находится в системе, и периодически восстанавливает тело майнера) 2. скачайте и установите патч по ссылке отсюда скачайте WindowsXP-KB4012598-x86-Custom-RUS.exe https://www.microsoft.com/ru-ru/download/details.aspx?id=55245 (иначе, атака извне на систему повторится, и червь опять будет прописан в вашей системе)

Цитата

1. нужен новый образ автозапуска, созданный актуальной версией uVS
http://chklst.ru/data/uVS%20latest/uvs_latest.zip
(потому что прежнем образе, созданном устаревшей версией uVS нет информации о черве, который явно находится в системе, и периодически восстанавливает тело майнера)

2. скачайте и установите патч по ссылке
отсюда скачайте
WindowsXP-KB4012598-x86-Custom-RUS.exe
https://www.microsoft.com/ru-ru/download/details.aspx?id=55245
(иначе, атака извне на систему повторится, и червь опять будет прописан в вашей системе)

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите удалить вирус(ы)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.01.2018 16:48:29

Константин Ким,

1. нужен новый образ автозапуска, созданный актуальной версией uVS
http://chklst.ru/data/uVS%20latest/uvs_latest.zip
(потому что прежнем образе, созданном устаревшей версией uVS нет информации о черве, который явно находится в системе, и периодически восстанавливает тело майнера)

2. скачайте и установите патч по ссылке
отсюда скачайте
WindowsXP-KB4012598-x86-Custom-RUS.exe
https://www.microsoft.com/ru-ru/download/details.aspx?id=55245
(иначе, атака извне на систему повторится, и червь опять будет прописан в вашей системе)

лог малваребайт пока не нужен.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите удалить вирус(ы)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.01.2018 06:46:34

Константин Ким,
в вашем случае - сетевой червь использует уязвимости системы для распространения майнеров.
https://chklst.ru/discussion/1596/maynery-kriptovalyut-ispolzuyut-eternalblue-doublepulsar#latest

для обнаружения в системе объектов этого червя необходимо использовать актуальную версию uVS
функции обнаружения закладок в WMI были добавлены разработчиков в последнии версии uVS уже после выхода 4.0.0

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите удалить вирус(ы)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 26.01.2018 13:10:07

отсюда скачайте
WindowsXP-KB4012598-x86-Custom-RUS.exe
https://www.microsoft.com/ru-ru/download/details.aspx?id=55245

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите удалить вирус(ы)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 26.01.2018 00:59:10

Цитата
Константин Ким написал: Находиться по адресу c:\windows\debug\item.dat

+
скорее всего вас атакует червь, который использует уязвимость системы и пытается установить в систему майнер.
для защиты от сетевой атаки необходимо установить патч MS-2017-010 для вашей системы.

Цитата
Microsoft Security Bulletin MS17-010 - Critical Security Update for Microsoft Windows SMB Server (4013389) Published: March 14, 2017 https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Не запускается антивирус, главная

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.01.2018 15:22:21

Цитата
Денис Пов написал: Сделал как Вы и описали. Файлы прикрепил.

один антивирус надо деинсталлировать.
C:\Program Files\360\Total Security
деинсталлируйте 360Тотал через установку_удаление программ, перегрузите систему,
если проблема с незапуском ESET антивируса сохранится,
сделайте новые логи: образ автозапуска и лог ESET sysinspector

[ Как создать образ автозапуска? ]

Перейти