[QUOTE]Евгения Жаднова написал:
Ну так именно что в разумных пределах... А каждый час это вот точно не разумно.[/QUOTE]
в любом случае обновления на сервера выкладывают 3-5 раза в сутки, чаще лишь в период особой вирусной активности,

так что настраивая обновление "ежедневно" вы можете получить актуальные базы с опозданием, и пропустить актуальную угрозу. (например шифратор).

[QUOTE]Дмитрий написал:
https://www.piriform.com/news/blog/2017/9/18/security-notification-for-ccleaner-v5336162-and-ccleaner-cloud-v1073191-for-32-bit-windows-users [/QUOTE]

[B]Что случилось?[/B]

Неизвестная группа угроз скомпрометировала инфраструктуру CCleaner.
Атакующий добавил вредоносное ПО в 32-разрядные версии CCleaner 5.33.6162 и CCleaner Cloud 1.07.3191.
Файлы были доступны для скачивания с 15 августа по 12 сентября.

[B]Кто пострадал?[/B]

Все, кто скачал и установил затронутые версии в этот промежуток времени.
Avast оценивает количество пораженных машин на 2,27 миллиона.

[B]Как я могу узнать, заражен ли я?[/B]

Когда была установлена зараженная версия CCleaner, она создала ключ реестра Windows, расположенный в HKEY_LOCAL_MACHINE \ SOFTWARE \ Piriform \ Agomo.
Под этим ключом будут два значения данных с именем MUID и TCID, которые используются установленной инфекцией Floxif.

[IMG WIDTH=1152 HEIGHT=566]https://www.bleepstatic.com/images/news/malware/c/ccleaner-infection/ccleaner-infection.jpg[/IMG]

Редактор реестра можно использовать для перехода к ключу Agomo и посмотреть, существует ли он. Если это так, то вы заражены этим вредоносным ПО.

Пожалуйста, обратите внимание. как показано ниже, обновление до версии 5.34 не приведет к удалению ключа Agomo из реестра Windows. Он заменит только вредоносные исполняемые файлы законными, чтобы вредоносная программа больше не присутствовала.

[B]Что делает вредоносное ПО Floxif?[/B]

Вредоносная программа с именем Floxif - собирает данные с зараженных компьютеров, таких как имя компьютера, список установленных программ, список запущенных процессов, MAC-адреса для первых трех сетевых интерфейсов и уникальные идентификаторы для идентификации каждого компьютера.

Вредоносная программа также может загружать и выполнять другие вредоносные программы, но Avast заявила, что не обнаружила доказательств того, что злоумышленники когда-либо использовали эту функцию.

[B]Как удалить вредоносное ПО Floxif или CCleaner?[/B]

Вредоносная программа была встроена в исполняемый файл CCleaner. Обновление CCleaner до версии 5.3 исключает старый исполняемый файл и вредоносное ПО. CCleaner не имеет системы автоматического обновления, поэтому пользователи должны загружать и устанавливать CCleaner 5.34 вручную.

Avast сказал, что это уже подтолкнуло обновление пользователям CCleaner Cloud, и все должно быть хорошо. Чистая версия - CCleaner Cloud 1.07.3214.

[B]Что-нибудь еще?[/B]

Вредоносная программа была выполнена только в том случае, если пользователь использовал учетную запись администратора. Если вы используете низкоприоритетную учетную запись и установили CCleaner 5.33, вы больше не будете затронуты. Если вы используете Windows 7 Home Premium, ваша основная учетная запись, скорее всего, является учетной записью администратора, и вы должны предположить, что вы заражены, если вы установили эту версию CCleaner.

Тем не менее рекомендуется обновить до версии 5.34.
[B]
Почему антивирусное программное обеспечение пропустило инфекцию?[/B]

Бинарный файл CCleaner, включающий вредоносное ПО, был подписан с использованием действительного цифрового сертификата.


https://www.bleepingcomputer.com/how-to/security/ccleaner-malware-incident-what-you-need-to-know-and-how-to-remove/


+
отчет  от Cisco's Talos:
http://blog.talosintelligence.com/2017/09/avast-distributes-malware.html#more

майнеры (код на JavaScript) могут запускаться в браузере  при посещении определенных сайтов.

https://www.bleepingcomputer.com/news/security/malvertising-campaign-mines-cryptocurrency-right-in-your-browser/

вот эти файлы (записки о выкупе) еще удалите вручную
C:\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\INFO.HTA
C:\USERS\AVITIM\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\INFO.HTA

@A Degtyarev,
добавьте лог выполнения скрипта.
(файл дата_времяlog.txt в папке uVS)
посмотрю сейчас еще раз образ. возможно эта записка о выкупе болтается еще в автозапуске

[QUOTE]A Degtyarev написал:
"по очистке системы выполните: " это для очистки системы?
или я сначала прогоняю cureit, которым обычно пользуюсь, а потом выполняю скрипт? или наоборот?[/QUOTE]
для очистки системы.
в данном случае имел ввиду, что скрипт только удалит тела шифратора,
(без расшифровки ваших файлов).

[QUOTE]A Degtyarev написал:
Этот сайт не может обеспечить безопасное соединение
Сайт mega.nz отправил недействительный ответ.ERR_SSL_PROTOCOL_ERROR
К компу просто подключу монитор, и сниму образ автозапуска обычным uvs_latest, который уже скачал. В сеть ему, без очистки и удаления, ещё рано[/QUOTE]
кстати, обновил ссылку
https://mega.nz/#!pAtgTCLL!-xrFBQDh42PUW8BDxxDtJt9o5WLohwyaBwHPKHLhBGA

можно так же эту утилиту скачать и запустить на серверах для проверки существующей уязвимости SMB сервера.
https://help.eset.com/eset_tools/ESETEternalBlueChecker.exe

http://support.eset.com/kb6481/?viewlocale=en_US

[QUOTE]Arslan Gaipberdyyew написал:
Хорошо когда снова появится вирус я посмотрю кто является владельцем.
Я правильно понял если это сетевая атака, то надо установить на все сервера обновление под названием  MS17-010??[/QUOTE]
в любом случае - установите.
https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

[QUOTE]A Degtyarev написал:
Образ автозапуска uvs_latest в аттаче[/QUOTE]
да, файлы шифратора остались в системе.

по очистке системы выполните:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v4.0.10 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
zoo %SystemDrive%\USERS\AVITIM\APPDATA\ROAMING\INFO.HTA
zoo %Sys32%\INFO.HTA
;------------------------autoscript---------------------------

delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-FCE36AAB.[DEFUNES@AOLONLINE.TOP].ARENA
delall %SystemDrive%\USERS\AVITIM\APPDATA\ROAMING\MICROSOFT\WINDOWS­\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-FCE36AAB.[DEFUNES@AOLONLINE.TOP].ARENA
delall %SystemDrive%\USERS\MYADMIN\APPDATA\ROAMING\MICROSOFT\WINDOW­S\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-FCE36AAB.[DEFUNES@AOLONLINE.TOP].ARENA
delall %SystemDrive%\USERS\AVITIM\APPDATA\ROAMING\INFO.HTA
delall %Sys32%\INFO.HTA
zoo %SystemDrive%\USERS\AVITIM\APPDATA\ROAMING\MICROSOFT\WINDOWS­\START MENU\PROGRAMS\STARTUP\DEFUNES@AOLONLINE.TOP.EXE
addsgn A7679B1BB9DA4D720B132BD59A37ED05258AFC31CC061F7885C302F9A8D6­714C237F43573E55F549CBC084F77AB749FA155F083255B230CC6D774CEE­A8F9DDF0 8 crysis 7

zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DEFUNES@AOLONLINE.TOP.EXE
zoo %Sys32%\DEFUNES@AOLONLINE.TOP.EXE
zoo %SystemDrive%\USERS\AVITIM\DESKTOP\XYI\DEFUNES@AOLONLINE.TOP.EXE
chklst
delvir

apply

deltmp
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {6BF52A52-394A-11D3-B153-00C04F79FAA6}\[CLSID]
delref {88D969C0-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C1-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C2-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C3-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C4-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C5-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {8AD9C840-044E-11D1-B3E9-00805F499D93}\[CLSID]
delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref {D27CDB6E-AE6D-11CF-96B8-444553540000}\[CLSID]
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
;-------------------------------------------------------------
czoo

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------