santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

оперативная память модифицированный win32/dorkbot.b червь очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 12.01.2014 09:03:37

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.81.9 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE addsgn A7655BBEDE670F7148D4462964C8122EEF89311EDAFA1F786D59F3BC5086FA412D0F8157848DBD46E437FCC7AE744CFA7D98EBA105D506E5A68F4C23C20622F8 8 BackDoor.IRC.NgrBot.42 [DrWeb] zoo %SystemDrive%\USERS\НАСТЯ\APPDATA\ROAMING\IDENTITIES\QERKRA.EXE zoo %SystemDrive%\USERS\НАСТЯ\APPDATA\LOCAL\TEMP\ADOBE\READER_SL.EXE zoo %SystemDrive%\USERS\НАСТЯ\APPDATA\ROAMING\C731200 adddir %SystemDrive%\USERS\НАСТЯ\APPDATA\ROAMING dirzooex %SystemDrive%\USERS\НАСТЯ\APPDATA\ROAMING delall %SystemDrive%\RECYCLER\BARCODE.EXE delall %SystemDrive%\RECYCLER\WIVSYS.EXE delall %SystemDrive%\PROGRA~3\MSHBAC.EXE ;------------------------autoscript--------------------------- chklst delvir deltmp delnfr ;------------------------------------------------------------- czoo restart

Код

;uVS v3.81.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
addsgn A7655BBEDE670F7148D4462964C8122EEF89311EDAFA1F786D59F3BC5086FA412D0F8157848DBD46E437FCC7AE744CFA7D98EBA105D506E5A68F4C23C20622F8 8 BackDoor.IRC.NgrBot.42 [DrWeb]

zoo %SystemDrive%\USERS\НАСТЯ\APPDATA\ROAMING\IDENTITIES\QERKRA.EXE
zoo %SystemDrive%\USERS\НАСТЯ\APPDATA\LOCAL\TEMP\ADOBE\READER_SL.EXE
zoo %SystemDrive%\USERS\НАСТЯ\APPDATA\ROAMING\C731200
adddir %SystemDrive%\USERS\НАСТЯ\APPDATA\ROAMING
dirzooex %SystemDrive%\USERS\НАСТЯ\APPDATA\ROAMING
delall %SystemDrive%\RECYCLER\BARCODE.EXE
delall %SystemDrive%\RECYCLER\WIVSYS.EXE
delall %SystemDrive%\PROGRA~3\MSHBAC.EXE
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

Изменено: santy - 12.01.2014 09:11:04

[ Как создать образ автозапуска? ]

Перейти

Концепция Стратегии Кибербезопасности Российской Федерации

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 12.01.2014 07:26:13

Сферы ответственности действующих лиц:
государство – правовое регулирование сферы кибербезопасности и координация усилий стейкхолдеров;

а русского аналога нет для этого термина, если уж пишется стратегия национальной кибербезопасности?
---------
интересно, сколько лет уже разрабатывается концепция? пока что на уровне проекта для обсуждения

Изменено: santy - 12.01.2014 07:34:21

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Cообщение об угрозе Win32/Qhost троянская программа, бесконечно выдает сообщение C:\WINDOWS\system32\drivers\etc\host

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.01.2014 16:29:51

ок, закрываю тему

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Cообщение об угрозе Win32/Qhost троянская программа, бесконечно выдает сообщение C:\WINDOWS\system32\drivers\etc\host

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.01.2014 15:42:15

+
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.81.9 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE exec "C:\Program Files (x86)\LoviVkontakte\unins000.exe" deltmp delnfr restart

перезагрузка, пишем о старых и новых проблемах.

(скорее всего lovivkontakte подстраивает под себя hosts)
------------
+
добавьте новый лог журнала обнаружения угроз
+
рекомендуем оставить вам один антивирус: ESET NOD32 или TREND MICRO

Изменено: santy - 11.01.2014 15:43:08

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Cообщение об угрозе Win32/Qhost троянская программа, бесконечно выдает сообщение C:\WINDOWS\system32\drivers\etc\host

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.01.2014 15:38:20

Цитата
11.01.2014 14:20:22 Защита в режиме реального времени файл C:\Windows\System32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован NT AUTHORITY\система Событие произошло в файле модифицированном приложением: C:\Program Files (x86)\LoviVkontakte\VkontakteService.exe. 11.01.2014 14:03:47 Защита в режиме реального времени файл C:\Windows\System32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован NT AUTHORITY\система Событие произошло в файле модифицированном приложением: C:\Program Files (x86)\LoviVkontakte\VkontakteService.exe. 11.01.2014 14:01:25 Защита в режиме реального времени файл C:\Windows\system32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован AsusПК\Роман Событие произошло в новом файле, созданном следующим приложением: C:\Users\Роман\AppData\Local\Yandex\Updater\fixhosts.exe. 11.01.2014 14:01:20 Защита в режиме реального времени файл C:\Windows\system32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован AsusПК\Роман Событие произошло в новом файле, созданном следующим приложением: C:\Users\Роман\AppData\Local\Yandex\Updater\fixhosts.exe.

Цитата

11.01.2014 14:20:22 Защита в режиме реального времени файл C:\Windows\System32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован NT AUTHORITY\система Событие произошло в файле модифицированном приложением: C:\Program Files (x86)\LoviVkontakte\VkontakteService.exe.
11.01.2014 14:03:47 Защита в режиме реального времени файл C:\Windows\System32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован NT AUTHORITY\система Событие произошло в файле модифицированном приложением: C:\Program Files (x86)\LoviVkontakte\VkontakteService.exe.
11.01.2014 14:01:25 Защита в режиме реального времени файл C:\Windows\system32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован AsusПК\Роман Событие произошло в новом файле, созданном следующим приложением: C:\Users\Роман\AppData\Local\Yandex\Updater\fixhosts.exe.
11.01.2014 14:01:20 Защита в режиме реального времени файл C:\Windows\system32\drivers\etc\hosts Win32/Qhost троянская программа очищен удалением - изолирован AsusПК\Роман Событие произошло в новом файле, созданном следующим приложением: C:\Users\Роман\AppData\Local\Yandex\Updater\fixhosts.exe.

проверьте сейчас содержимое hosts.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Cообщение об угрозе Win32/Qhost троянская программа, бесконечно выдает сообщение C:\WINDOWS\system32\drivers\etc\host

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.01.2014 15:24:49

лог мбам чистый,
добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

+
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

Изменено: santy - 11.01.2014 15:25:26

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] ESET Smart Security и локальная сеть., Моя не понимать, почему сеть не работать

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.01.2014 13:17:01

добавьте подсеть, которой хотите разрешить доступ к расшаренным ресурсам целевого компа в доверенную зону (это в настройках фаерволла)

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Cообщение об угрозе Win32/Qhost троянская программа, бесконечно выдает сообщение C:\WINDOWS\system32\drivers\etc\host

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.01.2014 13:12:29

Код
;uVS v3.81.8 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE zoo %SystemDrive%\USERS\РОМАН\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE addsgn 1AF67A9B5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 8 praetorian zoo %SystemDrive%\USERS\РОМАН\APPDATA\LOCAL\MEDIAGET2\MEDIAGET.EXE addsgn 1A65719A55839B8EF42B5194406C9105DAAF40530AFAE05DD96646BCAFF329E9A01748A86BDE71B65E886C1EB3E9B6A3201C638D00515C71C46AA42FC7CADD56 8 mediaget delall %SystemDrive%\PROGRAM FILES (X86)\TICNO\MULTIBAR\MULTIBAR.EXE ;------------------------autoscript--------------------------- chklst delvir REGT 14 ; Bonjour exec MsiExec.exe /X{6E3610B2-430D-4EB0-81E3-2B57E8B9DE8D} /quiet deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.81.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
zoo %SystemDrive%\USERS\РОМАН\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE
addsgn 1AF67A9B5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 8 praetorian

zoo %SystemDrive%\USERS\РОМАН\APPDATA\LOCAL\MEDIAGET2\MEDIAGET.EXE
addsgn 1A65719A55839B8EF42B5194406C9105DAAF40530AFAE05DD96646BCAFF329E9A01748A86BDE71B65E886C1EB3E9B6A3201C638D00515C71C46AA42FC7CADD56 8 mediaget

delall %SystemDrive%\PROGRAM FILES (X86)\TICNO\MULTIBAR\MULTIBAR.EXE
;------------------------autoscript---------------------------

chklst
delvir
REGT 14
; Bonjour
exec MsiExec.exe /X{6E3610B2-430D-4EB0-81E3-2B57E8B9DE8D} /quiet

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

очистка реестра с помощью UVS

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.01.2014 19:58:50

читаем документацию по uVS. она есть в папке DOC если распаковать архив с uVS.

Реестр не так много места занимает на HDD чтобы его очистка дала вам возможность записать еще пару гигабайтных видео-фильмов.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Не могу войти во "ВКонтакте"

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 08.01.2014 16:11:07

судя по новым настройкам браузеров все у вас хорошо. думаю, тему можно закрывать.

[ Как создать образ автозапуска? ]

Перейти