Дорогие участники форума!

Наш форум переведен в режим работы "только для чтения", публикация новых тем и сообщений недоступна. Мы искренне благодарны вам за то, что были с нами, но пришло время двигаться дальше. После официального ухода компании ESET с российского рынка мы приступили к разработке новых продуктов вместе с новыми партнёрами. Приглашаем вас присоединиться к нашему новому форуму PRO32.

Мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.

Купить и продлить лицензии ESET на нашем сайте больше нельзя.

Предлагаем вам попробовать новые продукты компании PRO32.

PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств. Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.

Выбрать дату в календареВыбрать дату в календаре

зашифровано с расширением *id-*[email protected], Filecoder.DG / Encoder.741
что делать подробнее вам напишут в техподдержке вашего антивируса.
при наличие лицензии на антивирус ESET напишите в [email protected]

добавьте образ автозапуска системы для проверки на остатки тел шифратора.
зашифровано с расширением *id-*[email protected], Filecoder.DG / Encoder.741
по encoder.741 расшифровка должна быть в рВеб. или в ЛК.
[ Закрыто] Обнаружена угроза - hosts, Win32/Qhost троянская программа
Цитата
zloyDi написал:
Цитата
santy   написал:
если и сейчас продолжает кидать
У меня тоже самое, может ломанули их...
угу, перекидывает туда же.
[ Закрыто] Обнаружена угроза - hosts, Win32/Qhost троянская программа
если и сейчас продолжает кидать, сделайте проверку в FRST
http://forum.esetnod32.ru/forum9/topic2798/
+
логи добавить на sendspace.com
файлы зашифрованы с расширением *.xtbl, .*crysis, *.crypt, *.lock, *.crypted, *.dharma, *.wallet, *.onion, CrySiS /Supported Crysis file extensions: .xtbl, .crysis, .crypt, .lock, .crypted, .dharma, .wallet, .onion /
@Бекзат Егизбаев,

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
Код
;uVS v3.87.2 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
addsgn 1A4E439A5583C58CF42B254E3143FE8E60825FAE38BB1F2546483AE9DB3AF0A00B14C3579F4530082BB3411603EA1A7120D7BFF1AE25C42B7E9FA01AC7067BF0 8 Win32/Filecoder.NFY [ESET-NOD32]

zoo %SystemDrive%\USERS\RECEPTION\APPDATA\ROAMING\АКТ СВЕРКИ.DOC.EXE
zoo %SystemDrive%\USERS\RECEPTION\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
delall %SystemDrive%\USERS\RECEPTION\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\АКТ СВЕРКИ.DOC.EXE
delall %SystemDrive%\USERS\RECEPTION\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\[email protected]
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_**.rar/7z)  отправить в почту [email protected]
------------
по расшифровке файлов, с лицензией на продукт ESET обращайтесь в техподдержку [email protected]
[ Закрыто] Обнаружена угроза - hosts, Win32/Qhost троянская программа
угу,
1. что у вас с системной датой происходит?
Цитата
13.05.2016 11:55:20;Защита в режиме реального времени;файл;C:\WINDOWS\system32\drivers\etc\hosts;Win32/Qhost троянская программа;очищен удалением;;Событие произошло в новом файле, созданном следующим приложением: C:\WINDOWS\system32\cmd.exe (18D5BF5B022F62A4C546BF92F0A4D1B599253669).;37A39A2A81C631999C3D8C31D4C85BBDF8F45476
при том что на момент создания дата нормальная.
2016.05.13 11:58

2. вот эти ключи надо удалить из реестра с помощью regedit
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\9817015
и
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\24990015

через них запускаются команды:
cmd.exe /c copy C:\DOCUME~1\Admin\LOCALS~1\Temp\9816984FdOh C:\WINDOWS\system32\drivers\etc\hosts /Y && attrib +H C:\WINDOWS\system32\drivers\etc\hosts /f
и
cmd.exe /c copy C:\DOCUME~1\Admin\LOCALS~1\Temp\24989671FdOh C:\WINDOWS\system32\drivers\etc\hosts /Y && attrib +H C:\WINDOWS\system32\drivers\etc\hosts /f
------------
по идее, после скрипта выше, это уже не должно работать, потому что файлы \Temp\9816984FdOh и Temp\24989671FdOh должны быть очищены из temp

если они там сохранились, то добавьте их опять же по ссылке на sendspace.com
Изменено: santy - 05.05.2016 13:31:21
[ Закрыто] Обнаружена угроза - hosts, Win32/Qhost троянская программа
по образу:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.2 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

deldirex %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\LOCAL SETTINGS\APPLICATION DATA\UNITY\WEBPLAYER\LOADER
REGT 14

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
[ Закрыто] Обнаружена угроза - hosts, Win32/Qhost троянская программа
+
туда же, на sendspace.com добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/
[ Закрыто] Обнаружена угроза - hosts, Win32/Qhost троянская программа
@Dodger,
зачем вы опять добавляете ссылку на сайт, который находится в черном списке?

добавьте образ на http://sendspace.com, посмотрим куда на этот раз выведет кривая...
Изменено: santy - 05.05.2016 12:41:42
[ Закрыто] Обнаружена угроза - hosts, Win32/Qhost троянская программа
образ залейте на http://rghost.ru