santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] вирус

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.02.2013 13:58:47

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.77.5 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE setdns Подключение по локальной сети 2\4\{6E2D8FC9-4BED-4A26-8843-83EFE4F29BAF}\ deltmp delnfr delref HTTP:// EXEC cmd /c"ipconfig /flushdns" exec MSIEXEC.EXE /X{26A24AE4-039D-4CA4-87B4-2F83216022FF} restart

Код

;uVS v3.77.5 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

OFFSGNSAVE
setdns Подключение по локальной сети 2\4\{6E2D8FC9-4BED-4A26-8843-83EFE4F29BAF}\
deltmp
delnfr
delref HTTP://
EXEC cmd /c"ipconfig /flushdns"
exec MSIEXEC.EXE /X{26A24AE4-039D-4CA4-87B4-2F83216022FF}
restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
обновите малваребайт отсюда до актуальной версии 1.70
http://rghost.ru/users/santy/releases/utilitiesLiveCd/files/42569217

сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память = svchost.exe(3084) - модифицированный Win32/Dorkbot.B червь - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.02.2013 13:55:09

удалите найденное в мбам, кроме

Цитата
HKLM\SOFTWARE\Microsoft\Security Center\|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

перегрузите систему, и еще раз выполните быстрое сканирование в мбам

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Подмена прокси в Мозилле, Какая то хрень подменяет прокси в мозилле

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.02.2013 13:37:22

удалите кнопкой Delete найденное в AdwCleaner
далее,
будет автоматическая перезагрузка системы

пишем результат (исчезла проблема или нет)

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память = svchost.exe(3084) - модифицированный Win32/Dorkbot.B червь - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.02.2013 13:35:04

далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Подмена прокси в Мозилле, Какая то хрень подменяет прокси в мозилле

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.02.2013 12:55:50

сделайте проверку в AdwCleaner
http://forum.esetnod32.ru/forum9/topic7084/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память = svchost.exe(3084) - модифицированный Win32/Dorkbot.B червь - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.02.2013 12:24:15

Код
;uVS v3.77.5 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE delref HTTP://HOME.WEBALTA.RU/?NEW delref HTTP://WEBALTA.RU/SEARCH adddir %SystemDrive%\USERS\116-9\APPDATA\ROAMING delall %SystemDrive%\USERS\116-9\APPDATA\ROAMING\MICROSOFT\LPBUBF.EXE deltmp delnfr delref HTTP://MY.DAEMON-SEARCH.COM/ regt 5 crimg

Код

;uVS v3.77.5 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
delref HTTP://HOME.WEBALTA.RU/?NEW
delref HTTP://WEBALTA.RU/SEARCH
adddir %SystemDrive%\USERS\116-9\APPDATA\ROAMING
delall %SystemDrive%\USERS\116-9\APPDATA\ROAMING\MICROSOFT\LPBUBF.EXE
deltmp
delnfr
delref HTTP://MY.DAEMON-SEARCH.COM/
regt 5
crimg

без перезагрузки, добавьте новый образ автозапуска, который будет создан автоматически
------------

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память = svchost.exe(3084) - модифицированный Win32/Dorkbot.B червь - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.02.2013 11:44:54

1. добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

2. сделайте образ автозапуска из безопасного режима

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Обнаружена уязвимость скрытого канала в ICMP-пакете

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.02.2013 08:36:57

Код
;uVS v3.77.5 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE deltmp delnfr delref HTTP://HOMEPAGE.EMACHINES.COM/RDR.ASPX?B=ACEW&L=0419&M=ET1352&R=17260910A406PE495V025R4682S238 exec "C:\PROGRAM FILES (X86)\PANDORA.TV\PANSERVICE\UNINS000.EXE" restart

Код

;uVS v3.77.5 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
deltmp
delnfr
delref HTTP://HOMEPAGE.EMACHINES.COM/RDR.ASPX?B=ACEW&L=0419&M=ET1352&R=17260910A406PE495V025R4682S238
exec "C:\PROGRAM FILES (X86)\PANDORA.TV\PANSERVICE\UNINS000.EXE"
restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Нужна помощь, Не могу обнаружить троян

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.02.2013 06:23:09

Код
;uVS v3.77.5 script [http://dsrt.dyndns.org] ;Target OS: NTv6.0 OFFSGNSAVE setdns Microsoft Loopback\4\{55AE9092-481D-4EB4-9D39-F830039C7349}\ setdns QT.Net\4\{A4000268-2A25-4952-8325-C2AD24BD0C59}\ setdns Беспроводное сетевое соединение\4\{7FC14509-933D-4538-8D6E-D7881610446D}\ delall %SystemDrive%\USERS\SOFI\APPDATA\ROAMING\QIPGUARD\QIPGUARD.EXE delref HTTP://QIP.RU delref HTTP://SEARCH.QIP.RU deltmp delnfr exec "C:\PROGRAM FILES\ASKBARDIS\UNINS000.EXE" EXEC cmd /c"ipconfig /flushdns" restart

Код

;uVS v3.77.5 script [http://dsrt.dyndns.org]
;Target OS: NTv6.0
OFFSGNSAVE
setdns Microsoft Loopback\4\{55AE9092-481D-4EB4-9D39-F830039C7349}\
setdns QT.Net\4\{A4000268-2A25-4952-8325-C2AD24BD0C59}\
setdns Беспроводное сетевое соединение\4\{7FC14509-933D-4538-8D6E-D7881610446D}\
delall %SystemDrive%\USERS\SOFI\APPDATA\ROAMING\QIPGUARD\QIPGUARD.EXE
delref HTTP://QIP.RU
delref HTTP://SEARCH.QIP.RU
deltmp
delnfr
exec "C:\PROGRAM FILES\ASKBARDIS\UNINS000.EXE"
EXEC cmd /c"ipconfig /flushdns"
restart

перезагрузка, пишем о старых и новых проблемах.
----------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

Срабатывает антивирус, Обнаружена атака путем подделки записей кэша ARP

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.02.2013 06:14:50

Пуск - выполнить - cmd
ipconfig /flushdns
перегрузить систему

[ Как создать образ автозапуска? ]

Перейти