santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Glupteba.O, поймал вирус через архив

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.02.2015 13:55:40

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.6 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE delref HTTP://OVGORSKIY.RU deltmp delnfr restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Перейти

Ошибка подключния к ядру ESET.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.02.2015 19:05:31

1. не надо цитировать мой ответ. и так понятно, кто, где и что пишет.

2. по БСОД погуглите на тему ошибок
https://www.google.ru/search?q=DRIVER_POWER_STATE_FAILURE+ntoskrnl.exe&gws_rd=cr,ssl&ei=nSHeVNySEKXq...
https://www.google.ru/search?q=THREAD_STUCK_IN_DEVICE_DRIVER+dxgkrnl.sys&gws_rd=cr,ssl&ei=BiTeVJWaKY...

Изменено: santy - 13.02.2015 19:20:42

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы в Cryakl с расширением *.cbf, Filecoder.CQ,Filecoder.EQ/Encoder.567/Cryakl/ ver 4.0.0.0-8.0.0.0

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.02.2015 19:03:22

пока не за что. в ваших интересах сделать это все как можно быстрее. тем более, что завтра суббота.

Изменено: santy - 20.11.2017 10:18:28

[ Как создать образ автозапуска? ]

Перейти

Glupteba.O, поймал вирус через архив

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.02.2015 16:51:50

добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

+
добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

Изменено: santy - 13.02.2015 16:52:23

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы в Cryakl с расширением *.cbf, Filecoder.CQ,Filecoder.EQ/Encoder.567/Cryakl/ ver 4.0.0.0-8.0.0.0

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.02.2015 11:18:39

1. восстановить данные к сожалению, невозможно, по данному методу, поскольку защита не включена для диска данных.
теперь включена, возможно это поможет в следующий раз восстановить данные.
выполните скрипт из сообщения 3 для очистки системы.

2. по расшифровке данных обратитесь в техническую поддержку при наличии лицензии на антивирус.
[email protected]

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы в Cryakl с расширением *.cbf, Filecoder.CQ,Filecoder.EQ/Encoder.567/Cryakl/ ver 4.0.0.0-8.0.0.0

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.02.2015 10:58:26

выполните скрипт очистки системы, далее, проверим, возможно ли восстановление данных по одному из методов.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.6 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE zoo %Sys32%\KBDMAI.DLL addsgn 79132211B9E9317E0AA1AB592F951205DAFFF47DC4EA942D892B2942AF292811E11BC3DCC10016A5A8FD8C9F323BB68F75B5E88D6072C02E3D88B1E7170732F6 64 statinko zoo %SystemDrive%\USERS\USER PC\APPDATA\ROAMING\DESKTOPY.RU\DESKTOPY.EXE addsgn 1A40C19A5583C58CF42B254E3143FE86C99A5DA6A5B01F4B404A8040DB83691F10CC95000586E356A0C590148C5F71E209D7A8499EAF46AFE4882FEDECC76A48 8 Trojan.Triosir.3 [DrWeb] deldirex %SystemDrive%\PROGRAM FILES\BAIDUSD3.0\BAIDUSD\3.0.0.4605 deldirex %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUHIPS\1.2.0.751 deldirex %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619 delall %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108\BDCOMPROXY.DLL delall %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108\BDDOWNLOADER.EXE delall %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108\DL.DLL delall %SystemDrive%\PROGRAMDATA\BAIDU\SDWS\TMPFILES\BDMNETGETINFO.DLL delall %SystemDrive%\USERS\USER PC\APPDATA\LOCAL\MICROSOFT\INTERNET EXPLORER\EXTENSIONS\APIHELPER.DLL delall %Sys32%\DRIVERS\BD0001.SYS delall %Sys32%\DRIVERS\BD0002.SYS delall %Sys32%\DRIVERS\BD0003.SYS delall %Sys32%\DRIVERS\BD0004.SYS delall %Sys32%\DRIVERS\BDARKIT.SYS delall %Sys32%\DRIVERS\BDDEFENSE.SYS delall %Sys32%\DRIVERS\BDFILEDEFEND.SYS delall %Sys32%\DRIVERS\BDMWRENCH.SYS delall %Sys32%\DRIVERS\BDSAFEBROWSER.SYS delall %Sys32%\DRIVERS\BDSANDBOX.SYS zoo %Sys32%\D3DADAPTER.DLL addsgn 79132211B9E9317E0AA1AB5917971205DAFFF47DC4EA942D892B2942AF292811E11BC3DCC10016A5AA6CAC9C4616EA72CADDF8FB585E072E3DFEB1AF700432FA 64 statinko addsgn 79132211B9E9317E0AA1AB596A521205DAFFF47DC4EA942D892B2942AF292811E11BC3DCC10016A5AA6CAC9C4616EAA283DBF8FB588E4E283DFEB17F390232FA 64 statinko zoo %Sys32%\IR16_32.DLL delall %SystemDrive%\PROGRAM FILES\MEDIAWATCHV1\MEDIAWATCHV1HOME1445\IE\MEDIAWATCHV1HOME1445.DLL delall %SystemDrive%\PROGRAM FILES\REGTASK\REGTASK.EXE hide %SystemDrive%\USERS\USER PC\APPDATA\ROAMING\UTORRENT\UTORRENT.EXE ;------------------------autoscript--------------------------- hide %SystemDrive%\PROGRAMDATA\MCAFEE SECURITY SCAN\EXTENSIONS\REGFIREFOXADDON.EXE chklst delvir delref {15DEE173-1BE9-4424-81E0-58A87076E9B1}\[CLSID] delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID] delref HTTP://WEBALTA.RU/SEARCH ; desktopy.ru exec C:\Users\User PC\AppData\Roaming\desktopy.ru\uninstall.exe deltmp delnfr ;------------------------------------------------------------- czoo restart

Код

;uVS v3.85.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
zoo %Sys32%\KBDMAI.DLL
addsgn 79132211B9E9317E0AA1AB592F951205DAFFF47DC4EA942D892B2942AF292811E11BC3DCC10016A5A8FD8C9F323BB68F75B5E88D6072C02E3D88B1E7170732F6 64 statinko

zoo %SystemDrive%\USERS\USER PC\APPDATA\ROAMING\DESKTOPY.RU\DESKTOPY.EXE
addsgn 1A40C19A5583C58CF42B254E3143FE86C99A5DA6A5B01F4B404A8040DB83691F10CC95000586E356A0C590148C5F71E209D7A8499EAF46AFE4882FEDECC76A48 8 Trojan.Triosir.3 [DrWeb]

deldirex %SystemDrive%\PROGRAM FILES\BAIDUSD3.0\BAIDUSD\3.0.0.4605
deldirex %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUHIPS\1.2.0.751
deldirex %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108\BDCOMPROXY.DLL
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108\BDDOWNLOADER.EXE
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108\DL.DLL
delall %SystemDrive%\PROGRAMDATA\BAIDU\SDWS\TMPFILES\BDMNETGETINFO.DLL
delall %SystemDrive%\USERS\USER PC\APPDATA\LOCAL\MICROSOFT\INTERNET EXPLORER\EXTENSIONS\APIHELPER.DLL
delall %Sys32%\DRIVERS\BD0001.SYS
delall %Sys32%\DRIVERS\BD0002.SYS
delall %Sys32%\DRIVERS\BD0003.SYS
delall %Sys32%\DRIVERS\BD0004.SYS
delall %Sys32%\DRIVERS\BDARKIT.SYS
delall %Sys32%\DRIVERS\BDDEFENSE.SYS
delall %Sys32%\DRIVERS\BDFILEDEFEND.SYS
delall %Sys32%\DRIVERS\BDMWRENCH.SYS
delall %Sys32%\DRIVERS\BDSAFEBROWSER.SYS
delall %Sys32%\DRIVERS\BDSANDBOX.SYS
zoo %Sys32%\D3DADAPTER.DLL
addsgn 79132211B9E9317E0AA1AB5917971205DAFFF47DC4EA942D892B2942AF292811E11BC3DCC10016A5AA6CAC9C4616EA72CADDF8FB585E072E3DFEB1AF700432FA 64 statinko

addsgn 79132211B9E9317E0AA1AB596A521205DAFFF47DC4EA942D892B2942AF292811E11BC3DCC10016A5AA6CAC9C4616EAA283DBF8FB588E4E283DFEB17F390232FA 64 statinko

zoo %Sys32%\IR16_32.DLL
delall %SystemDrive%\PROGRAM FILES\MEDIAWATCHV1\MEDIAWATCHV1HOME1445\IE\MEDIAWATCHV1HOME1445.DLL
delall %SystemDrive%\PROGRAM FILES\REGTASK\REGTASK.EXE
hide %SystemDrive%\USERS\USER PC\APPDATA\ROAMING\UTORRENT\UTORRENT.EXE
;------------------------autoscript---------------------------

hide %SystemDrive%\PROGRAMDATA\MCAFEE SECURITY SCAN\EXTENSIONS\REGFIREFOXADDON.EXE
chklst
delvir

delref {15DEE173-1BE9-4424-81E0-58A87076E9B1}\[CLSID]

delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID]

delref HTTP://WEBALTA.RU/SEARCH

; desktopy.ru
exec C:\Users\User PC\AppData\Roaming\desktopy.ru\uninstall.exe
deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,

сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

Изменено: santy - 20.11.2017 10:17:45

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы в Cryakl с расширением *.cbf, Filecoder.CQ,Filecoder.EQ/Encoder.567/Cryakl/ ver 4.0.0.0-8.0.0.0

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.02.2015 10:45:21

добавьте id и пароль от Тимвьювера в почту [email protected]

[ Как создать образ автозапуска? ]

Перейти

Ошибка подключния к ядру ESET.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.02.2015 09:44:55

это оставьте в мбам

Цитата
Processes: 1 Trojan.FakeAlert, C:\Windows\kmsem\KMService.exe, 1772, , [622f63bac5c51f172076ceab6c949b65]

и это
Files: 54

Цитата
Trojan.FakeAlert, C:\Windows\kmsem\KMService.exe, , [622f63bac5c51f172076ceab6c949b65],

остальное удалите в карантин

далее,

сделайте проверку в АдвКлинере
http://forum.esetnod32.ru/forum9/topic7084/
----

в АдвКлинере, после завершения сканирования, в секции [b]Папки[/b] снимите галки с записей mail.ru, yandex

остальное удалите по кнопке [b]Очистить[/b]

далее,

если проблема не решится, добавьте логи расширений браузеров
http://forum.esetnod32.ru/forum9/topic10570/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Блокировка браузера

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.02.2015 07:22:09

проблема была в левом DNS.
если мбам нашел только KMService.exe, тогда лог не нужен,
далее, выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

Изменено: santy - 13.02.2015 07:22:25

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.02.2015 05:55:06

угу, возвращеньице не из приятных
http://forum.drweb.com/index.php?showtopic=320137

[ Как создать образ автозапуска? ]

Перейти