santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] модифицированный Win32/Agent.UPF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 07.04.2013 15:29:01

дата последней угрозы всего лишь от 4.04.2013

Цитата
04.04.2013 19:31:27 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\PROGRA~2\Mozilla\nvefbjf.dll модифицированный Win32/Agent.UPF троянская программа очистка невозможна энштейн\Magway

видимо вирус все таки очищен.
--------
образ сейчас посмотрю.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.77.9 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE delref HTTP://WEBALTA.RU/SEARCH delall %SystemDrive%\USERS\MAGWAY\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE delall %SystemDrive%\USERS\MAGWAY\APPDATA\LOCAL\YANDEX\UPDATER\YUPDATE-CTRL.EXE deltmp delnfr delref %SystemDrive%\PROGRAM FILES\OPERA\OPERA.EXE delall %SystemDrive%\PROGRAM FILES\ASK.COM\UPDATETASK.EXE exec MSIEXEC.EXE /quiet /I{86D4B82A-ABED-442A-BE86-96357B70F4FE} exec MSIEXEC.EXE /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216017F0} exec MSIEXEC.EXE /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216030FF} restart

Код

;uVS v3.77.9 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
delref HTTP://WEBALTA.RU/SEARCH
delall %SystemDrive%\USERS\MAGWAY\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE
delall %SystemDrive%\USERS\MAGWAY\APPDATA\LOCAL\YANDEX\UPDATER\YUPDATE-CTRL.EXE
deltmp
delnfr
delref %SystemDrive%\PROGRAM FILES\OPERA\OPERA.EXE
delall %SystemDrive%\PROGRAM FILES\ASK.COM\UPDATETASK.EXE
exec MSIEXEC.EXE /quiet /I{86D4B82A-ABED-442A-BE86-96357B70F4FE}
exec MSIEXEC.EXE /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216017F0}
exec MSIEXEC.EXE /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216030FF}
restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.ese tnod32.ru/forum9/topic682/

Изменено: santy - 08.04.2013 16:22:52

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Заблокированы mail.ru vkontakte и odnoklassniki + требует SMS на номер 7781, Не помогает hostsб Сгеу it и т.д.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.04.2013 21:58:53

ок, тоже решение. тему закрываю.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Заблокированы mail.ru vkontakte и odnoklassniki + требует SMS на номер 7781, Не помогает hostsб Сгеу it и т.д.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.04.2013 20:51:07

загрузочный диск есть у вас? или другой рабочий комп с доступом к сети?

Изменено: santy - 06.04.2013 20:52:07

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Заблокированы mail.ru vkontakte и odnoklassniki + требует SMS на номер 7781, Не помогает hostsб Сгеу it и т.д.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.04.2013 20:46:37

придется из под загрузочного диска Winpe смотреть, что у вас получилось.

сделайте образ автозапуска из под Winpe&uVS
http://forum.esetnod32.ru/forum27/topic2102/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Заблокированы mail.ru vkontakte и odnoklassniki + требует SMS на номер 7781, Не помогает hostsб Сгеу it и т.д.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.04.2013 20:43:21

файл, на который вам дал ссылку скачали? распаковали его в каталог с uVS?

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Заблокированы mail.ru vkontakte и odnoklassniki + требует SMS на номер 7781, Не помогает hostsб Сгеу it и т.д.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.04.2013 20:25:31

скачайте отсюда файл rpcss.dll
http://rghost.ru/44939613
распакуйте файл из ахива и поместите его в папку с uVS

далее,

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.77.9 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE zoo %Sys32%\RPCSS.DLL EXEC cmd /c "rename %sys32%\rpcss.dll rpcss.dll.old" EXEC cmd /c "rename %sys32%\dllcache\rpcss.dll rpcss.dll.old" EXEC cmd /c "copy rpcss.dll %sys32%\rpcss.dll" EXEC cmd /c "copy rpcss.dll %sys32%\dllcache\rpcss.dll" deltmp delnfr CZOO restart

Код


;uVS v3.77.9 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
zoo %Sys32%\RPCSS.DLL
EXEC cmd /c "rename %sys32%\rpcss.dll rpcss.dll.old"
EXEC cmd /c "rename %sys32%\dllcache\rpcss.dll rpcss.dll.old"
EXEC cmd /c "copy rpcss.dll %sys32%\rpcss.dll"
EXEC cmd /c "copy rpcss.dll %sys32%\dllcache\rpcss.dll" 
deltmp
delnfr
CZOO
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Рекламные баннеры

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.04.2013 20:19:59

выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Рекламные баннеры

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.04.2013 19:41:20

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.77.9 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE setdns Подключение по локальной сети\4\{468FCFC6-FAEC-4F46-A21C-880491EF243F}\ delall K:\AUTORUN.INF deltmp delnfr exec MSIEXEC.EXE /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216017FF} EXEC cmd /c"ipconfig /flushdns" restart

Код

;uVS v3.77.9 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

OFFSGNSAVE
setdns Подключение по локальной сети\4\{468FCFC6-FAEC-4F46-A21C-880491EF243F}\
delall K:\AUTORUN.INF
deltmp
delnfr
exec MSIEXEC.EXE /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216017FF}
EXEC cmd /c"ipconfig /flushdns"
restart

Изменено: santy - 06.04.2013 19:41:56

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Рекламные баннеры

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.04.2013 19:16:26

образ сделайте обновленной версией uVS 3.77
http://rghost.ru/42696551

у вас устаревшая версия

Цитата
uVS v3.74: Microsoft Windows XP x86 (NT v5.1) build 2600 Service Pack 3 [C:\WINDOWS]

Изменено: santy - 06.04.2013 19:16:41

[ Как создать образ автозапуска? ]

Перейти

Очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.04.2013 17:49:10

Код
;uVS v3.77.9 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE delall %SystemDrive%\USERS\QWEERTY\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE addsgn 1A8C739A55837A8FF42B624E41B4224525E285EDC9FA7B87B0C3C5BC505D3568339EAF732ED8F16D3BAB64CC1041E8BE129EE843102683E97DFEC1C73873DAF8 8 Trojan.Winlock.6426 [DrWeb] zoo %SystemDrive%\USERS\QWEERTY\APPDATA\LOCAL\TEMP\E6J6OZYX.EXE chklst delvir delref HTTP://DUBSEARCH.RU delref HTTP://START.ALAWAR.RU/?PID=534 deltmp delnfr setdns Подключение по локальной сети\4\{6C1FCD96-87B5-4211-A50F-3CB321823C05}\8.8.8.8,8.8.4.4 delref %SystemDrive%\USERS\QWEERTY\DESKTOP\НОВАЯ ПАПКА (2)\SETUP.EXE czoo restart

Код

;uVS v3.77.9 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
delall %SystemDrive%\USERS\QWEERTY\APPDATA\LOCAL\YANDEX\UPDATER\PRAETORIAN.EXE
addsgn 1A8C739A55837A8FF42B624E41B4224525E285EDC9FA7B87B0C3C5BC505D3568339EAF732ED8F16D3BAB64CC1041E8BE129EE843102683E97DFEC1C73873DAF8 8 Trojan.Winlock.6426 [DrWeb]
zoo %SystemDrive%\USERS\QWEERTY\APPDATA\LOCAL\TEMP\E6J6OZYX.EXE
chklst
delvir
delref HTTP://DUBSEARCH.RU
delref HTTP://START.ALAWAR.RU/?PID=534
deltmp
delnfr
setdns Подключение по локальной сети\4\{6C1FCD96-87B5-4211-A50F-3CB321823C05}\8.8.8.8,8.8.4.4
delref %SystemDrive%\USERS\QWEERTY\DESKTOP\НОВАЯ ПАПКА (2)\SETUP.EXE
czoo
restart

[ Как создать образ автозапуска? ]

Перейти