santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Оперативная память = dwm.exe(588) - вероятно модифицированный Win32/Ciavax.B троянская программа - очистка невозможна, Заражено несколько программ. Вероятно модифицированный Win32/Ciavax.B троянская программа - очистка невозможна.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 10.08.2013 02:49:35

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.80.17 [http://dsrt.dyndns.org] ;Target OS: NTv6.0 OFFSGNSAVE delall %SystemDrive%\USERS\ГЕОРГИЙ\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE bl 1DE86B53F8FD688BA9F1BA7FC00F12D7 69632 ;------------------------autoscript--------------------------- delref %Sys32%\EXPLORER.DLL deltmp delnfr ;------------------------------------------------------------- czoo restart

Код

;uVS v3.80.17 [http://dsrt.dyndns.org]
;Target OS: NTv6.0

OFFSGNSAVE
delall %SystemDrive%\USERS\ГЕОРГИЙ\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE
bl 1DE86B53F8FD688BA9F1BA7FC00F12D7 69632
;------------------------autoscript---------------------------

delref %Sys32%\EXPLORER.DLL

deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

Изменено: santy - 10.08.2013 02:50:32

[ Как создать образ автозапуска? ]

Перейти

Непонятка, Что это такое?

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.08.2013 19:36:03

такой скриптик можно выполнить.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.80.17 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE delref HTTP://YAMBLER.NET deltmp delnfr restart

перезагрузка, пишем о старых и новых проблемах.

[ Как создать образ автозапуска? ]

Перейти

На всех сайтах выскакивает рекламный банер слева!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.08.2013 18:07:30

выполните еще такой скрипт, без перезагрузки системы

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.80.17 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE CEXEC cmd /c"route print" crimg

без перезагрузки, добавьте образ автозапуска, который будет создан автоматически
------------

[ Как создать образ автозапуска? ]

Перейти

На всех сайтах выскакивает рекламный банер слева!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.08.2013 17:48:03

здесь пока висит левый DNS

Цитата
Адаптер PPP RAS (Dial In) Interface: DNS-суффикс подключения . . . . . : Описание. . . . . . . . . . . . . : RAS (Dial In) Interface Физический адрес. . . . . . . . . : DHCP включен. . . . . . . . . . . : Нет Автонастройка включена. . . . . . : Да IPv4-адрес. . . . . . . . . . . . : 192.168.1.200(Основной) Маска подсети . . . . . . . . . . : 255.255.255.255 Основной шлюз. . . . . . . . . : DNS-серверы. . . . . . . . . . . : 37.157.255.228 NetBios через TCP/IP. . . . . . . . : Включен

Цитата

Адаптер PPP RAS (Dial In) Interface:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : RAS (Dial In) Interface
Физический адрес. . . . . . . . . :
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
IPv4-адрес. . . . . . . . . . . . : 192.168.1.200(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.255
Основной шлюз. . . . . . . . . :
DNS-серверы. . . . . . . . . . . : 37.157.255.228
NetBios через TCP/IP. . . . . . . . : Включен

[ Как создать образ автозапуска? ]

Перейти

На всех сайтах выскакивает рекламный банер слева!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.08.2013 16:01:57

а ipconfig /all сейчас что показывает?

[ Как создать образ автозапуска? ]

Перейти

На всех сайтах выскакивает рекламный банер слева!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.08.2013 14:49:36

по идее, получается, что банеры могли получать те, кто по vpn коннектился в серверу.

[ Как создать образ автозапуска? ]

Перейти

На всех сайтах выскакивает рекламный банер слева!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.08.2013 14:45:55

да, тогда руками пропишите первый dns провайдера, второй можно гугловский оставить.

тогда скрипт можно не выполнять.
-----------
и понаблюдайте за vpn подключением, как оно изменится.... но, видимо только после перезагрузки системы можно будет увидеть. есть изменение DNS для него или нет.

Изменено: santy - 09.08.2013 14:47:19

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] siavax удаление невозможно

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.08.2013 14:25:54

выполните рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

Перейти

На всех сайтах выскакивает рекламный банер слева!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.08.2013 14:24:56

uvS тоже его определяет

Цитата
Полное имя 37.157.255.228,192.168.1.1,8.8.8.8\DNS Server list Имя файла DNS Server list Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ DNS Удовлетворяет критериям DNS.FALSE (DNS ~ 156.154.70.)(0) OR (DNS ~ 5.199.140.)(0) OR (DNS ~ 37.157.255.)(1) OR (DNS ~ 46.165.194.)(0) OR (DNS ~ 217.23.3.)(0) OR (DNS ~ 80.82.209.)(0) OR (DNS ~ 193.111.137.)(0) OR (DNS ~ 134.255.241)(0) OR (DNS ~ 124.23.24.)(0) OR (DNS ~ 217.23.)(0) Сохраненная информация на момент создания образа DNS 37.157.255.228,192.168.1.1,8.8.8.8 Статус DNS

Цитата

Полное имя 37.157.255.228,192.168.1.1,8.8.8.8\DNS Server list
Имя файла DNS Server list
Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ DNS

Удовлетворяет критериям
DNS.FALSE (DNS ~ 156.154.70.)(0) OR (DNS ~ 5.199.140.)(0) OR (DNS ~ 37.157.255.)(1) OR (DNS ~ 46.165.194.)(0) OR (DNS ~ 217.23.3.)(0) OR (DNS ~ 80.82.209.)(0) OR (DNS ~ 193.111.137.)(0) OR (DNS ~ 134.255.241)(0) OR (DNS ~ 124.23.24.)(0) OR (DNS ~ 217.23.)(0)

Сохраненная информация на момент создания образа
DNS 37.157.255.228,192.168.1.1,8.8.8.8
Статус DNS

давайте попробуем убрать из настроек DNS подключения ссылку на роутер. т.е. будут работать статические адреса DNS (без передачи по dhcp из роутера)

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.80.17 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE setdns Подключение по локальной сети 2\4\{3DABCA81-48E0-4753-8D73-F0E707CCA3C0}\8.8.8.8,8.8.4.4 dnsreset deltmp delnfr restart

Код


;uVS v3.80.17 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
setdns Подключение по локальной сети 2\4\{3DABCA81-48E0-4753-8D73-F0E707CCA3C0}\8.8.8.8,8.8.4.4
dnsreset
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.
------------

[ Как создать образ автозапуска? ]

Перейти

На всех сайтах выскакивает рекламный банер слева!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.08.2013 14:19:02

а сервер VPN у вас не поднят?

[ Как создать образ автозапуска? ]

Перейти