santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Не открываются браузеры

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.04.2015 09:33:17

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.20 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 v385c OFFSGNSAVE delall %SystemDrive%\DOCUMENTS AND SETTINGS\USERRR\CSRSS.EXE delall %Sys32%\MJKXRWAMJRIHKK.EXE delall %SystemDrive%\DOCUME~1\ALLUSE~1\APPLIC~1\QOH delall %SystemDrive%\PROGRAM FILES\ASK.COM\UPDATETASK.EXE deldir %SystemDrive%\DOCUMENTS AND SETTINGS\USERRR\APPLICATION DATA\VOPACKAGE hide %SystemDrive%\PROGRAM FILES\AMICON\CLIENT FPSU-IP\FILEHASH\WINFPSUHASH.EXE ;------------------------autoscript--------------------------- chklst delvir delref HTTP://ELTRASTA.COM/SIUPD/COMPLETED2.RHT REGT 27 REGT 28 REGT 29 ; Ask Toolbar exec MsiExec.exe /X{86D4B82A-ABED-442A-BE86-96357B70F4FE} /quiet ; Ask Toolbar Updater exec Updater\Updater.exe -uninstall deltmp delnfr ;------------------------------------------------------------- restart

Код

;uVS v3.85.20 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE

delall %SystemDrive%\DOCUMENTS AND SETTINGS\USERRR\CSRSS.EXE
delall %Sys32%\MJKXRWAMJRIHKK.EXE
delall %SystemDrive%\DOCUME~1\ALLUSE~1\APPLIC~1\QOH
delall %SystemDrive%\PROGRAM FILES\ASK.COM\UPDATETASK.EXE
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\USERRR\APPLICATION DATA\VOPACKAGE
hide %SystemDrive%\PROGRAM FILES\AMICON\CLIENT FPSU-IP\FILEHASH\WINFPSUHASH.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://ELTRASTA.COM/SIUPD/COMPLETED2.RHT
REGT 27
REGT 28
REGT 29
; Ask Toolbar
exec MsiExec.exe /X{86D4B82A-ABED-442A-BE86-96357B70F4FE} /quiet
; Ask Toolbar Updater
exec Updater\Updater.exe -uninstall
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Перейти

Нужен дешифратор

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.04.2015 09:26:22

Виктор Леушин, файл удалите с форума.
отправьте в архиве с паролем infected в почту [email protected]

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .vault, bat encoder /CryptVault

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.04.2015 09:21:19

VAULT. что делать.
http://chklst.ru/forum/discussion/1481/vault-chto-delat
без ненулевого secring.gpg расшифровка на нашей стороне невозможна.

[ Как создать образ автозапуска? ]

Перейти

Шифровирусы шумной толпою

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.04.2015 06:22:50

вот еще один приемчик используют распространители шифраторов

Цитата
Тема: ПРОЦЕСС No 268 Дата: Tue, 21 Apr 2015 01:50:04 +0200 От: Судебные приставы <[email protected]> Отвечать: Судебные приставы <[email protected]> Кому: <[email protected]> Уведомление о начале судебного разбирательства Здравствуйте, [email protected] Поскольку Ваша финансовая задолженность не была урегулирована в добровольном порядке, новый кредитор вынужден прибегнуть к принудительным мерам взыскания, предусмотренным законодательством Российской Федерации: направлению выездных групп по адресу регистрации, судебному разбирательству, инициированию исполнительного производства до полного погашения задолженности. Напоминаем Вам, что в случае Вашего неучастия в процессе, решение суда может быть вынесено заочно, что может повлечь за собой принудительное исполнение решения суда. Всю информацию о ходе предварительного судебного производства и сроках рассмотрения, включая копию искового заявления, Вы можете получить перейдя по ссылке находящейся в конце этого письма. ЗАГРУЗИТЬ ИНФОРМАЦИЮ Это сообщение создано автоматической системой и не требует ответа.

Цитата

Тема: ПРОЦЕСС No 268
Дата: Tue, 21 Apr 2015 01:50:04 +0200
От: Судебные приставы <[email protected]>
Отвечать: Судебные приставы <[email protected]>
Кому: <[email protected]>

Уведомление о начале судебного разбирательства
Здравствуйте, [email protected]

Поскольку Ваша финансовая задолженность не была урегулирована в добровольном порядке, новый кредитор вынужден прибегнуть к принудительным мерам взыскания, предусмотренным законодательством Российской Федерации: направлению выездных групп по адресу регистрации, судебному разбирательству, инициированию исполнительного производства до полного погашения задолженности. Напоминаем Вам, что в случае Вашего неучастия в процессе, решение суда может быть вынесено заочно, что может повлечь за собой принудительное исполнение решения суда. Всю информацию о ходе предварительного судебного производства и сроках рассмотрения, включая копию искового заявления, Вы можете получить перейдя по ссылке находящейся в конце этого письма.

ЗАГРУЗИТЬ ИНФОРМАЦИЮ

Это сообщение создано автоматической системой и не требует ответа.

здесь используется реальный домен службы судебных приставов (fssprus.ru), но адреса mail, inform - несуществующие.

по ссылке "загрузить информацию" как правило скачивается архив с вредоносной программой, сейчас таким образом распространяется шифратор Cryakl.

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .vault, bat encoder /CryptVault

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.04.2015 20:06:41

помогут только архивные копии, и точки восстановления, если они живые.
расшифровки по VAULT нет в вирлабах, и скорее всего не будет в ближайшем, и отдаленном (через год-два) будущем
разве только если математический гений Григорий Перельман не подключится к решению этой проблемы

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] У меня тот же вирус JS/Spy.Banker.BF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.04.2015 17:12:21

пробуйте удалить (деинсталлировать) FF вместе с профилем. если есть закладки, предварительно экспортируйте их в файл.
и заново установите актуальную версию ФФ

Изменено: santy - 21.04.2015 17:12:43

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] У меня тот же вирус JS/Spy.Banker.BF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.04.2015 16:46:00

в каком браузере сейчас всплывает сообщение антивируса? в FF?
проверьте настройки прокси в FF, если есть ссылка на этот прокси, то отключите его
+ пробуйте очистить локальный кэш браузера.

Изменено: santy - 21.04.2015 16:46:17

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .vault, bat encoder /CryptVault

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.04.2015 16:43:47

угу, есть теперь детект на 11509

Цитата
Время;Модуль сканирования;Тип объекта;Oбъeкт;Bиpуc;Дeйcтвиe;Пoльзoвaтeль;Информация 21.04.2015 19:39:23;Защита в режиме реального времени;файл;D:\Soft\for_ERD_commander_disk\test\Акт сверки апрель 2015 года составлено зам главного бухгалтера подписано директором для отправки контрагенту AVAST checked OK doc.js;BAT/Filecoder.AM троянская программа;очищен удалением - изолирован;***;Событие произошло при попытке доступа к файлу следующим приложением: C:\Program Files\Total Commander\Totalcmd.exe.

Цитата

Время;Модуль сканирования;Тип объекта;Oбъeкт;Bиpуc;Дeйcтвиe;Пoльзoвaтeль;Информация
21.04.2015 19:39:23;Защита в режиме реального времени;файл;D:\Soft\for_ERD_commander_disk\test\Акт сверки апрель 2015 года составлено зам главного бухгалтера подписано директором для отправки контрагенту AVAST checked OK doc.js;BAT/Filecoder.AM троянская программа;очищен удалением - изолирован;***;Событие произошло при попытке доступа к файлу следующим приложением: C:\Program Files\Total Commander\Totalcmd.exe.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] У меня тот же вирус JS/Spy.Banker.BF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.04.2015 16:22:26

добавьте новый образ автозапуска

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .vault, bat encoder /CryptVault

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.04.2015 16:12:13

ВАУЛТ. что делать?
http://forum.esetnod32.ru/forum35/topic11845/

файл архива вышлите в техподдержку [email protected]
с форума удалите.

на данный момент файл js не детектируется ESET NOD32
https://www.virustotal.com/ru/file/50623cd7136d05eaf1893cb2805e12f131995649ade88fc7208d69e3a4c9716d/analysis/1429622078/

Изменено: santy - 04.06.2016 18:24:10

[ Как создать образ автозапуска? ]

Перейти