santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Win32/Spy.Banker.ZNX, Словили вирус

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.06.2013 14:24:56

ок, получил все.
попробуйте переименовать этот файл в agent.vexe и перегрузить систему.
(чтобы он не попал в автозапуск.)

посмотрим результат.
будет ESET что-то детектировать или нет.

я пока отправлю файл в вирлаб.

Изменено: santy - 22.06.2013 14:25:50

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Spy.Banker.ZNX, Словили вирус

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.06.2013 14:04:58

и еще вопрос:
в этой папке есть другие файлы кроме AGENT.EXE

Цитата
D:\USERS\USER\APPDATA\ROAMING\IBANK2\

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Spy.Banker.ZNX, Словили вирус

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.06.2013 14:00:51

возможно, что этот файл и есть троян, надо проверить.
(совсем недавно появился в системе)

Цитата
Создан 20.06.2013 в 22:34:26 Изменен 20.06.2013 в 22:34:26

и проблема у вас началась сразу же

Цитата
21.06.2013 10:48:19 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = explorer.exe(1788) модифицированный Win32/Spy.Shiz.NCL троянская программа очистка невозможна ws-buh\User

+ поясните что это за страница в браузере

Цитата
HTTP://SBANK.RU/

работаете с этим банком?

Изменено: santy - 22.06.2013 14:03:19

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Spy.Banker.ZNX, Словили вирус

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.06.2013 13:58:52

ссылку дайте на проверку этого файла
и вышлите данный файл в почту [email protected]

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Spy.Banker.ZNX, Словили вирус

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.06.2013 13:32:26

программу ibank сами ставили? сделайте проверку этого файла на Virustotal

Цитата
Полное имя D:\USERS\USER\APPDATA\ROAMING\IBANK2\AGENT.EXE Имя файла AGENT.EXE Тек. статус ПРОВЕРЕННЫЙ в автозапуске www.virustotal.com Хэш НЕ найден на сервере. Сохраненная информация на момент создания образа Статус ПРОВЕРЕННЫЙ в автозапуске File_Id 51C2CCB4D2000 Linker 10.0 Размер 850264 байт Создан 20.06.2013 в 22:34:26 Изменен 20.06.2013 в 22:34:26 Тип файла 32-х битный ИСПОЛНЯЕМЫЙ Цифр. подпись Действительна, подписано IdentityMine Inc Оригинальное имя a Версия файла 1.0.0.1 Описание TODO: <Описание файла> Производитель TODO: <Название компании> Доп. информация на момент обновления списка SHA1 899E37EE56147A82B369A9D76E2405CB40C2CCA8 MD5 7A2B7A536D8019E5DE658199E5C2F55F Ссылки на объект Ссылка HKLM\vdnljpfcx\Software\Microsoft\Windows\CurrentVersion\Run\bifit_agent bifit_agent C:\Users\User\AppData\Roaming\iBank2\agent.exe

Цитата

Полное имя D:\USERS\USER\APPDATA\ROAMING\IBANK2\AGENT.EXE
Имя файла AGENT.EXE
Тек. статус ПРОВЕРЕННЫЙ в автозапуске

www.virustotal.com Хэш НЕ найден на сервере.

Сохраненная информация на момент создания образа
Статус ПРОВЕРЕННЫЙ в автозапуске
File_Id 51C2CCB4D2000
Linker 10.0
Размер 850264 байт
Создан 20.06.2013 в 22:34:26
Изменен 20.06.2013 в 22:34:26
Тип файла 32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись Действительна, подписано IdentityMine Inc

Оригинальное имя a
Версия файла 1.0.0.1
Описание TODO: <Описание файла>
Производитель TODO: <Название компании>

Доп. информация на момент обновления списка
SHA1 899E37EE56147A82B369A9D76E2405CB40C2CCA8
MD5 7A2B7A536D8019E5DE658199E5C2F55F

Ссылки на объект
Ссылка HKLM\vdnljpfcx\Software\Microsoft\Windows\CurrentVersion\Run\bifit_agent
bifit_agent C:\Users\User\AppData\Roaming\iBank2\agent.exe

http://virustotal.com

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Spy.Banker.ZNX, Словили вирус

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.06.2013 12:50:27

сделайте в ESET NOD32 проверку только оперативной памяти

лог сканирования добавьте на форум.

+
добавьте новый лог журнала обнаружения угроз

Изменено: santy - 22.06.2013 12:50:59

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Spy.Banker.ZNX, Словили вирус

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.06.2013 11:00:57

переделайте еще раз образ.

надо сделать выбор каталога системы с жесткого диска, потом уже нажимать текущий пользователь.

у вас сейчас образ системы с загрузочного диска, а не проблемной системы с жесткого диска.

Изменено: santy - 22.06.2013 11:01:46

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] озу и цп загружен

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.06.2013 08:16:11

проблема решается на другом форуме.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Spy.Banker.ZNX, Словили вирус

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.06.2013 16:13:35

из безопасного режима системы сделайте образ автозапуска

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирус! Обнаружена угроза в памяти!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.06.2013 11:30:46

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.80.7 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ОЛЬГА\APPLICATION DATA\NOUXYM\NOAS.EXE addsgn 9A786CDA5582A28DF42BAEB164C81205158AFCF6C9FA1F7885C3C5BCEC7262D3B7CBAD11BBA1EC430AB5D41E461649FA7DDFE97255DAB02C2D77A42F8A635007 8 Zbot.20130620 bl 43F465516738ACF54767710AD6A99085 183418 hide %Sys32%\SPOOL\DRIVERS\W32X86\3\ZEZDDF32.EXE ;------------------------autoscript--------------------------- chklst delvir deltmp delnfr delhst 66.85.174.29 m.odnoklassniki.ru delhst 66.85.174.29 ok.ru delhst 66.85.174.29 m.ok.ru delhst 66.85.174.29 www.odnoklassniki.ru ;------------------------------------------------------------- czoo restart

Код


;uVS v3.80.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

OFFSGNSAVE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ОЛЬГА\APPLICATION DATA\NOUXYM\NOAS.EXE
addsgn 9A786CDA5582A28DF42BAEB164C81205158AFCF6C9FA1F7885C3C5BCEC7262D3B7CBAD11BBA1EC430AB5D41E461649FA7DDFE97255DAB02C2D77A42F8A635007 8 Zbot.20130620

bl 43F465516738ACF54767710AD6A99085 183418

hide %Sys32%\SPOOL\DRIVERS\W32X86\3\ZEZDDF32.EXE
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr

delhst 66.85.174.29 m.odnoklassniki.ru
delhst 66.85.174.29 ok.ru
delhst 66.85.174.29 m.ok.ru
delhst 66.85.174.29 www.odnoklassniki.ru
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS, созданный после скрипта (например: ZOO_2011-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти