santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Вирус Win32/Sirefef, вирус в памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.05.2014 14:56:49

угу, значит висит в памяти

Цитата
Просканированные диски, папки и файлы: Оперативная память Оперативная память - Win32/Sirefef троянская программа - выбор действия отложен до завершения сканирования Количество просканированных объектов: 389 Количество обнаруженных угроз: 1 Количество очищенных объектов: 0

Цитата

Просканированные диски, папки и файлы: Оперативная память
Оперативная память - Win32/Sirefef троянская программа - выбор действия отложен до завершения сканирования
Количество просканированных объектов: 389
Количество обнаруженных угроз: 1
Количество очищенных объектов: 0

а после завершения проверки ЕСЕТ не предлагает действие по его очистке?
+

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.82.5 [http://dsrt.dyndns.org] ;Target OS: NTv6.2 OFFSGNSAVE delall %SystemDrive%\PROGRAM FILES\AVG SAFEGUARD TOOLBAR\VPROT.EXE delall %SystemDrive%\PROGRAM FILES\COMMON FILES\AVG SECURE SEARCH\VTOOLBARUPDATER\18.1.5\TOOLBARUPDATER.EXE delall %SystemDrive%\PROGRAM FILES\COMMON FILES\AVG SECURE SEARCH\SCRIPTHELPERINSTALLER\18.1.5\SCRIPTHELPER.EXE restart

Код


;uVS v3.82.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

OFFSGNSAVE

delall %SystemDrive%\PROGRAM FILES\AVG SAFEGUARD TOOLBAR\VPROT.EXE
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\AVG SECURE SEARCH\VTOOLBARUPDATER\18.1.5\TOOLBARUPDATER.EXE
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\AVG SECURE SEARCH\SCRIPTHELPERINSTALLER\18.1.5\SCRIPTHELPER.EXE
restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/
+
добавьте лог gmer
http://forum.esetnod32.ru/forum9/topic733/

Изменено: santy - 13.05.2014 15:00:47

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирус Win32/Sirefef, вирус в памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.05.2014 14:40:00

ок, значит не в этом драйвере дело. значит не нужен архив. добавьте новый лог журнала обнаружения угроз.

+
выполните в ESET NOD32 сканирование только оперативной памяти, и добавьте лог сканирования
---------
будем думать дальше. что делать.

+
добавьте лог gmer
http://forum.esetnod32.ru/forum9/topic733/

Изменено: santy - 13.05.2014 14:51:31

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирус Win32/Sirefef, вирус в памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.05.2014 13:56:17

угу, драйвер остался в системе

Цитата
09:44:50.0093 0x0a6c avgtp ( ForgedFile.Multi.Generic ) - skipped by user 09:44:50.0093 0x0a6c avgtp ( ForgedFile.Multi.Generic ) - User select action: Skip

образ сейчас гляну, отпишусь, что дальше делаем

выполняем скрипт в uVS (в нормальном режиме):
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.82.5 [http://dsrt.dyndns.org] ;Target OS: NTv6.2 OFFSGNSAVE sreg delref %Sys32%\DRIVERS\AVGTPX86.SYS ZOO %Sys32%\DRIVERS\AVGTPX86.SYS deltmp delnfr CZOO areg

перезагрузка, пишем о старых и новых проблемах.
(сохранился детект sirefef или нет)

архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected]
------------
далее,

добавьте новый лог проверки в tdsskiller
если этот детект сохранится,

Цитата
avgtp ( ForgedFile.Multi.Generic )

прибейте его в tdsskiller

+
добавьте новый лог журнала обнаружения угроз.

Изменено: santy - 13.05.2014 14:05:59

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирус Win32/Sirefef, вирус в памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.05.2014 09:21:53

похоже, tdsskiller тоже не видит Zaccess/Sirefef

1. деинсталлируйте эту программу

Цитата
AVG SafeGuard toolbar

возможно файлик, который детектирует tdsskiller от AVG
http://www.file.net/process/avgtpx86.sys.html

2. после деинсталляции добавьте новый лог проверки в tdsskiller

3. пробуем найти скрытый объект с помощью загрузочного Winpe&uVS по методу сверки
http://chklst.ru/forum/discussion/12/metod-poiska-rutkitov-v-sisteme-po-faylu-sverki-v-uvs#Item_1

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирус Win32/Sirefef, вирус в памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.05.2014 04:14:59

Цитата
13.05.2014 2:27:32 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа 13.05.2014 1:23:12 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа 13.05.2014 1:22:08 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа F44FFFF416BF475\Юрий

Цитата

13.05.2014 2:27:32 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа
13.05.2014 1:23:12 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа
13.05.2014 1:22:08 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа F44FFFF416BF475\Юрий

по образу:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.82.5 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE hide %SystemDrive%\PROGRAM FILES\WEBMONEY\WEBMONEY.EXE ;------------------------autoscript--------------------------- chklst delvir delref HTTP://WWW.APEHA.RU delref HTTP://SEARCH.QIP.RU ; Delta Chrome Toolbar exec C:\Documents and Settings\Юрий\Application Data\BabSolution\Shared\GUninstaller.exe" -key "Delta Chrome Toolbar" -rmkey -ask ; Java(TM) 6 Update 39 exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216037FF} /quiet deltmp delnfr ;------------------------------------------------------------- regt 12 restart

Код

;uVS v3.82.5 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

OFFSGNSAVE
hide %SystemDrive%\PROGRAM FILES\WEBMONEY\WEBMONEY.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://WWW.APEHA.RU

delref HTTP://SEARCH.QIP.RU

; Delta Chrome Toolbar
exec C:\Documents and Settings\Юрий\Application Data\BabSolution\Shared\GUninstaller.exe" -key "Delta Chrome Toolbar" -rmkey -ask

; Java(TM) 6 Update 39
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216037FF} /quiet

deltmp
delnfr
;-------------------------------------------------------------

regt 12
restart

перезагрузка, пишем о старых и новых проблемах.

добавьте лог tdsskiller

Цитата
Файл C:\TDSSKiller.*_log.txt приложите в теме. (где * - версия программы, дата и время запуска.

Изменено: santy - 13.05.2014 04:22:29

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирус Win32/Sirefef, вирус в памяти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.05.2014 02:21:25

1. добавьте лог обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

2. добавьте образ автозапуска из безопасного режима системы

3. сделайте проверку в tdsskiller
http://support.kaspersky.ru/viruses/utility#tdsskiller
(пока ничего не удаляйте при обнаружении вредоносных объектов)

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирусы в оперативной памяти, очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 12.05.2014 18:38:03

это нормально. все процессы подписаны.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирусы в оперативной памяти, очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 12.05.2014 16:44:03

судя по списку процессов левых (и лишних) процессов нет, за исключением может быть этого

Цитата
spd.exe 0.16 7 260 K 9 384 K 1576 cFosSpeed Service cFos Software GmbH

который похоже используется как Интернет Аксселератор (Internet Accelerator)

http://www.cfos.de/en/cfosspeed/cfosspeed.htm

Изменено: santy - 12.05.2014 16:54:00

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирусы в оперативной памяти, очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.05.2014 22:47:14

в памяти нет обнаруженных вирусов - это уже хорошо.

Цитата
Просканированные диски, папки и файлы: Оперативная память Количество просканированных объектов: 217 Количество обнаруженных угроз: 0 Время выполнения: 0:30:40 Общее время проверки: 4 сек. (00:00:04)

последние угрозы обнаружены сегодня.

Цитата
11.05.2014 20:17:13 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Users\KING\AppData\Local\Temp\unfdt.exe модифицированный Win32/Lethic.AE троянская программа очистка невозможна RUSLAN1-PC\KING 11.05.2014 20:17:13 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Users\KING\AppData\Local\Temp\unfdt.exe модифицированный Win32/Lethic.AE троянская программа очистка невозможна RUSLAN1-PC\KING 11.05.2014 20:17:13 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Users\KING\AppData\Local\Temp\unfdt.exe модифицированный Win32/Lethic.AE троянская программа очистка невозможна RUSLAN1-PC\KING

Цитата

11.05.2014 20:17:13 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Users\KING\AppData\Local\Temp\unfdt.exe модифицированный Win32/Lethic.AE троянская программа очистка невозможна RUSLAN1-PC\KING
11.05.2014 20:17:13 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Users\KING\AppData\Local\Temp\unfdt.exe модифицированный Win32/Lethic.AE троянская программа очистка невозможна RUSLAN1-PC\KING
11.05.2014 20:17:13 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Users\KING\AppData\Local\Temp\unfdt.exe модифицированный Win32/Lethic.AE троянская программа очистка невозможна RUSLAN1-PC\KING

понаблюдайте за системой, если появятся новые угрозы, добавьте новый образ автозапуска

+
выполните рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

+
добавьте лог процессов из программы Process Explorer
http://technet.microsoft.com/ru-ru/sysinternals/bb896653.aspx

Изменено: santy - 12.05.2014 14:22:46

[ Как создать образ автозапуска? ]

Перейти

Sweet Page, Самопроизвольно открываются вкладки sweet page

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.05.2014 22:32:50

добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти