santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Обнаружен модифицированный Win32/Collector.AS - Как убить и вычистить систему. Так же проблема в ВК

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2015 18:15:55

это происходит во все браузерах, или в каком-то одном?

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирусы, хардваре

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2015 18:10:58

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.86.7 [http://dsrt.dyndns.org] ;Target OS: NTv10.0 v385c OFFSGNSAVE zoo %SystemDrive%\PROGRAMDATA\TMP0X0X\PROTECTWINDOWSMANAGER.EXE addsgn 1A9D969A5583338CF42BFB3A88434711AEC7F4A00C286A75000AB0B1699B7D39022403BC10D0543D320BC193C3D63DE8F80D9D76DDCB5BC5A602B4AA317335B5 8 Adware.Downloader.BO [BitDefender] zoo %SystemDrive%\PROGRAM FILES\CONTENT DEFENDER\CD.EXE addsgn BA6F9BB2BD19DF720B9C2D754C211005258A303AC173435C958B4CC874CE2604A0FBF3BF2E0B9D4924377426441649FA95207A725562FD762D77ECA2FA851B88 8 Win64/Riskware.NetFilter zoo %SystemDrive%\PROGRAM FILES (X86)\6A926AC0-1449287745-81E4-2ADA-382C4A0B1D1A\HNSW6F5F.TMP addsgn 1ABED79A5583C58CF42B5184F0DC5005DA9F7466C8FA9AB8F1C13A6C3ACF995F7217C33D3F3F9DA1D5A5849FC5D24513BEFAE87299167CE0E1BB68E30BCAEEBF 64 Win32/Adware.ConvertAd zoo %SystemDrive%\PROGRAM FILES (X86)\6A926AC0-1449287745-81E4-2ADA-382C4A0B1D1A\JNSJ508A.TMP addsgn 1A93ED9A5583C58CF42BC8BE8B084356AE4B7F16867FDF0DFA48073FB2A9B0A42463F4DA9A719D492B80E29039172FF5029EF8145AA5F10C4B78DB6EF7602D0C 64 Win32/Adware.ConvertAd zoo %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\BUBBLE WEB\{75221C21-8055-6EA3-B10B-5E0DE2112B2A}\BUBBLEWEB.DLL addsgn 79132211B939C72F038225C4684DE452AEF7EC83807922B0F1C3D5BCBBF0F2B22263C6D4C057E86B8A18019F5693898E7488BE21AA0A35EC597BF37994EE2C8C 64 Win32/Toolbar.CrossRider zoo %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\BUBBLE WEB\{75221C21-8055-6EA3-B10B-5E0DE2112B2A}\ANZXP.DLL addsgn 79132211B939C72F038225C4684DE452AEF7EC8380792208C7C3D5BCBBF0F2B22263C6D4C057E86B8A50C69F5693898E7488BE21AA0A35EC597BF37994EE2C8C 64 Win32/Toolbar.CrossRider zoo %SystemDrive%\PROGRAM FILES\CONTENT DEFENDER\CONTENTDEFENDERCONTROL.EXE addsgn BA6F9BB2BDCD0D720B9C2D754C2124FBDA75303A4536D3B4490F09709C1ABD80EFDB0F9BF299FB2F249F009F461649FA3554293AA203F8852A77A42FB30944E3 8 Win64/Riskware.NetFilter delref HTTP://COSMOSEARCH.RU/?RI=1&RSID=BA817F471F91FCF06943316BAB6F1679&Q={SEARCHTERMS} delref %SystemDrive%\USERS\РЊР°РЄСЃРЁРЈ\APPDATA\LOCAL\BUBBLE WEB\COMPONENT\BUBBLE WEB delref OBJSHELL.RUN delall %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\TEMP\R.VBS delref %SystemDrive%\USERS\2BA0~1\APPDATA\LOCAL\TEMP/UPDATER.EXE ;------------------------autoscript--------------------------- sreg chklst delvir deldirex %SystemDrive%\PROGRAM FILES\CONTENT DEFENDER deldirex %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER delref %Sys32%\DRIVERS\CONDEF.SYS del %Sys32%\DRIVERS\CONDEF.SYS delref %Sys32%\DRIVERS\CONTENTDEFENDERDRV.SYS del %Sys32%\DRIVERS\CONTENTDEFENDERDRV.SYS delref %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\CPEGCOPCFAJIIIBIDLAELHJJBLPEFBJK\1.2.0.4_0\СТАРТОВАЯ — ЯНДЕКС delref %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\EIODDFAEPDOEIFBHJPHFEFGIPCJCDIEO\5.0.1_0\ПОИСК MAIL.RU delref NUL)&(@START\B GPUPDATE.EXE del %SystemDrive%\PROGRAMDATA\RNQZCYX\KHLLQSXMPQ5.BAT deldirex %SystemDrive%\USERS\МАКСИМ\APPDATA\ROAMING\ASPACKAGE deldirex %SystemDrive%\USERS\МАКСИМ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\ASPACKAGE del %SystemDrive%\PROGRAMDATA\BAYTL\QYVSAEPDK0.BAT delref HTTP:\\PLARIUM.COM\PLAY\RU\SPARTA\001_TOP?ADCAMPAIGN=80404&CLICKID=TAZZTB0CYE0ATD0BTC0DTC0ATCYE0EZZ&PUBLISHERID=0_68 del %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\MEOFDJOP\MNPDOH1.BAT del %SystemDrive%\PROGRAMDATA\JLSVYJSKABKYFM\KXNBHSYPP0.BAT del %SystemDrive%\PROGRAMDATA\MVAOJXXUP\NYQXEW3.BAT deldirex %SystemDrive%\PROGRAM FILES (X86)\GMSD_RU_005010165 regt 27 regt 28 regt 29 ; AnySend exec C:\Users\Максим\AppData\Roaming\ASPackage\Uninstall.exe ; GamesDesktop 033.005010165 exec C:\Program Files (x86)\gmsd_ru_005010165\unins000.exe ; SmartWeb exec C:\Users\Максим\AppData\Local\SmartWeb\__u.exe _?=C:\Users\Максим\AppData\Local\SmartWeb deltmp delnfr areg ;-------------------------------------------------------------

Код


;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
OFFSGNSAVE
zoo %SystemDrive%\PROGRAMDATA\TMP0X0X\PROTECTWINDOWSMANAGER.EXE
addsgn 1A9D969A5583338CF42BFB3A88434711AEC7F4A00C286A75000AB0B1699B7D39022403BC10D0543D320BC193C3D63DE8F80D9D76DDCB5BC5A602B4AA317335B5 8 Adware.Downloader.BO [BitDefender]

zoo %SystemDrive%\PROGRAM FILES\CONTENT DEFENDER\CD.EXE
addsgn BA6F9BB2BD19DF720B9C2D754C211005258A303AC173435C958B4CC874CE2604A0FBF3BF2E0B9D4924377426441649FA95207A725562FD762D77ECA2FA851B88 8 Win64/Riskware.NetFilter

zoo %SystemDrive%\PROGRAM FILES (X86)\6A926AC0-1449287745-81E4-2ADA-382C4A0B1D1A\HNSW6F5F.TMP
addsgn 1ABED79A5583C58CF42B5184F0DC5005DA9F7466C8FA9AB8F1C13A6C3ACF995F7217C33D3F3F9DA1D5A5849FC5D24513BEFAE87299167CE0E1BB68E30BCAEEBF 64 Win32/Adware.ConvertAd

zoo %SystemDrive%\PROGRAM FILES (X86)\6A926AC0-1449287745-81E4-2ADA-382C4A0B1D1A\JNSJ508A.TMP
addsgn 1A93ED9A5583C58CF42BC8BE8B084356AE4B7F16867FDF0DFA48073FB2A9B0A42463F4DA9A719D492B80E29039172FF5029EF8145AA5F10C4B78DB6EF7602D0C 64 Win32/Adware.ConvertAd

zoo %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\BUBBLE WEB\{75221C21-8055-6EA3-B10B-5E0DE2112B2A}\BUBBLEWEB.DLL
addsgn 79132211B939C72F038225C4684DE452AEF7EC83807922B0F1C3D5BCBBF0F2B22263C6D4C057E86B8A18019F5693898E7488BE21AA0A35EC597BF37994EE2C8C 64 Win32/Toolbar.CrossRider

zoo %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\BUBBLE WEB\{75221C21-8055-6EA3-B10B-5E0DE2112B2A}\ANZXP.DLL
addsgn 79132211B939C72F038225C4684DE452AEF7EC8380792208C7C3D5BCBBF0F2B22263C6D4C057E86B8A50C69F5693898E7488BE21AA0A35EC597BF37994EE2C8C 64 Win32/Toolbar.CrossRider

zoo %SystemDrive%\PROGRAM FILES\CONTENT DEFENDER\CONTENTDEFENDERCONTROL.EXE
addsgn BA6F9BB2BDCD0D720B9C2D754C2124FBDA75303A4536D3B4490F09709C1ABD80EFDB0F9BF299FB2F249F009F461649FA3554293AA203F8852A77A42FB30944E3 8 Win64/Riskware.NetFilter

delref HTTP://COSMOSEARCH.RU/?RI=1&RSID=BA817F471F91FCF06943316BAB6F1679&Q={SEARCHTERMS}
delref %SystemDrive%\USERS\РЊР°РЄСЃРЁРЈ\APPDATA\LOCAL\BUBBLE WEB\COMPONENT\BUBBLE WEB
delref OBJSHELL.RUN
delall %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\TEMP\R.VBS
delref %SystemDrive%\USERS\2BA0~1\APPDATA\LOCAL\TEMP/UPDATER.EXE
;------------------------autoscript---------------------------

sreg

chklst
delvir

deldirex %SystemDrive%\PROGRAM FILES\CONTENT DEFENDER

deldirex %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

delref %Sys32%\DRIVERS\CONDEF.SYS
del %Sys32%\DRIVERS\CONDEF.SYS

delref %Sys32%\DRIVERS\CONTENTDEFENDERDRV.SYS
del %Sys32%\DRIVERS\CONTENTDEFENDERDRV.SYS

delref %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\CPEGCOPCFAJIIIBIDLAELHJJBLPEFBJK\1.2.0.4_0\СТАРТОВАЯ — ЯНДЕКС
delref %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\EIODDFAEPDOEIFBHJPHFEFGIPCJCDIEO\5.0.1_0\ПОИСК MAIL.RU
delref NUL)&(@START\B GPUPDATE.EXE
del %SystemDrive%\PROGRAMDATA\RNQZCYX\KHLLQSXMPQ5.BAT

deldirex %SystemDrive%\USERS\МАКСИМ\APPDATA\ROAMING\ASPACKAGE

deldirex %SystemDrive%\USERS\МАКСИМ\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\ASPACKAGE

del %SystemDrive%\PROGRAMDATA\BAYTL\QYVSAEPDK0.BAT

delref HTTP:\\PLARIUM.COM\PLAY\RU\SPARTA\001_TOP?ADCAMPAIGN=80404&CLICKID=TAZZTB0CYE0ATD0BTC0DTC0ATCYE0EZZ&PUBLISHERID=0_68
del %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\MEOFDJOP\MNPDOH1.BAT

del %SystemDrive%\PROGRAMDATA\JLSVYJSKABKYFM\KXNBHSYPP0.BAT

del %SystemDrive%\PROGRAMDATA\MVAOJXXUP\NYQXEW3.BAT

deldirex %SystemDrive%\PROGRAM FILES (X86)\GMSD_RU_005010165

regt 27
regt 28
regt 29
; AnySend
exec  C:\Users\Максим\AppData\Roaming\ASPackage\Uninstall.exe
; GamesDesktop 033.005010165
exec  C:\Program Files (x86)\gmsd_ru_005010165\unins000.exe
; SmartWeb
exec  C:\Users\Максим\AppData\Local\SmartWeb\__u.exe _?=C:\Users\Максим\AppData\Local\SmartWeb
deltmp
delnfr
areg

;-------------------------------------------------------------

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Перейти

зашифровано с расширением .just; .green; .neitrino;, Filecoder.BM

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2015 07:47:46

Код
;uVS v3.86.7 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 v385c OFFSGNSAVE zoo %SystemDrive%\DOCUMENTS AND SETTINGS\OFFICE\РАБОЧИЙ СТОЛ\CUTEWRITER.EXE addsgn A7679B1991AE1F245CE76E3821389B40F9627A627605F7F5233C3A544C7F8EB3CB440AA8C1BD0780D47F6C56B4E9B6124D2B178D661AE544D1D5E42FA3F91217 57 Win32/InstallCore ;------------------------autoscript--------------------------- chklst delvir delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID] delref USB.WSF deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\OFFICE\РАБОЧИЙ СТОЛ\CUTEWRITER.EXE
addsgn A7679B1991AE1F245CE76E3821389B40F9627A627605F7F5233C3A544C7F8EB3CB440AA8C1BD0780D47F6C56B4E9B6124D2B178D661AE544D1D5E42FA3F91217 57 Win32/InstallCore

;------------------------autoscript---------------------------

chklst
delvir

delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID]

delref USB.WSF

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы в Cryakl CL 0.1.*.*-1.3.*.*, Filecoder.EQ/Encoder.567/Cryakl

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 27.12.2015 07:43:38

Владимир,
образ чистый, нет уже следов шифратора,
заставку на экране поменяйте,
по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

Изменено: santy - 22.02.2020 15:46:18

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .xtbl; .breaking_bad, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: readme*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.12.2015 18:35:47

Цитата
Николай Проц написал: Добрый день, та же проблема зашифровало ПОМОГИТЕ

аналогично,
судя по образу система уже очищена от шифратора,
по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .xtbl; .breaking_bad, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: readme*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.12.2015 18:34:34

Цитата
Вячеслав Ветров написал: Здравствуйте, вот тоже получили breaking_bad LARISA-PC_2015-12-24_08-55-26.7z (596.37 КБ)

судя по образу система уже очищена от шифратора,
по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .xtbl; .breaking_bad, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: readme*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.12.2015 16:47:10

желательно тело шифратора (или исходное сообщение, с которого было запущено шифрование), + несколько зашифрованных файлов (+если есть чистые копии этих же файлов),
остальные логи там запросят, если решат, что это поможет в расшифровке документов.

Изменено: santy - 28.05.2016 04:14:55

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .xtbl; .breaking_bad, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: readme*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.12.2015 16:42:33

прокс ваш?
HTTP://SVEC:8080/CONFIG.SCRIPT
в остальном все чисто.
по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .xtbl; .breaking_bad, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: readme*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.12.2015 16:40:24

Александр,
образ чистый,

по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы в Cryakl CL 0.1.*.*-1.3.*.*, Filecoder.EQ/Encoder.567/Cryakl

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.12.2015 16:37:00

Владимир Станислав,

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.86.7 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 v385c OFFSGNSAVE zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\VOPACKAGE\VOPACKAGE.EXE addsgn 7300F79B556A1F275DE775E6ED94361DE2CED8E6B96B5F78B63503F874C251B33627B3173E3D9CC92B807B8AF26609FA2E20FD0E279AB04625D4FCC38506CA7A 60 poli.0225 delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\APPLICATION DATA\URMEDIA\801AE357.EXE hide %SystemDrive%\SPU_ORB\UNINSTALL.EXE ;------------------------autoscript--------------------------- chklst delvir delref %Sys32%\URGJJWAB_OALWD.EXE ; SuperMegaBest version 3.4.5 exec C:\WINDOWS\unins000.exe ; Java(TM) 6 Update 17 exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216017FF} /quiet deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\VOPACKAGE\VOPACKAGE.EXE
addsgn 7300F79B556A1F275DE775E6ED94361DE2CED8E6B96B5F78B63503F874C251B33627B3173E3D9CC92B807B8AF26609FA2E20FD0E279AB04625D4FCC38506CA7A 60 poli.0225

delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\APPLICATION DATA\URMEDIA\801AE357.EXE
hide %SystemDrive%\SPU_ORB\UNINSTALL.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref %Sys32%\URGJJWAB_OALWD.EXE

; SuperMegaBest version 3.4.5
exec C:\WINDOWS\unins000.exe
; Java(TM) 6 Update 17
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216017FF} /quiet
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
+
по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

Изменено: santy - 22.02.2020 15:47:39

[ Как создать образ автозапуска? ]

Перейти