Арвид (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Заражены в оперативной памяти explorer.exe(2864) explorer.exe(1568) explorer.exe(2836) explorer.exe(2908) explorer.exe(2688)

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 10.03.2012 13:26:14

Не той программой сделали лог. Удалите ее. Скачайте нужную отсюда

Правильно заданный вопрос - это уже половина ответа

Перейти

[ Закрыто] Вирус в оперативной памяти, Оперативная память » explorer.exe(608) - модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 10.03.2012 13:22:43

Здравствуйте!

Выполните следующий скрипт в uVS:
- запускаете программу еще раз, ожидаете пока закончится построения списка (убедитесь что программа извлечена из архива в отдельную папку. не нужно запускать ее из самого архива);
- копируете следующий текст из поля "Код" в буфер обмена;

Код
;;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 delref HTTP://QIP.RU delref HTTP://SEARCH.QIP.RU zoo %SystemRoot%\APPPATCH\GFWEVY.EXE bl F8D9AAA9980C57755F4BF30585A9B497 270848 delall %SystemRoot%\APPPATCH\GFWEVY.EXE delall %SystemRoot%\TEMP\WTCF1H1Y.SYS deltmp delnfr regt 14 regt 12 czoo restart

Код

;;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

delref HTTP://QIP.RU
delref HTTP://SEARCH.QIP.RU
zoo %SystemRoot%\APPPATCH\GFWEVY.EXE
bl F8D9AAA9980C57755F4BF30585A9B497 270848
delall %SystemRoot%\APPPATCH\GFWEVY.EXE
delall %SystemRoot%\TEMP\WTCF1H1Y.SYS
deltmp
delnfr
regt 14
regt 12
czoo
restart

- затем слева наверху выбираете пункт Скрипт - Выполнить скрипт находящийся в буфере обмена;
- скрипт должен автоматически появиться в этом окне. если он не появился или там находится не то что вы скопировали, то удаляете содержимое и вставляете текст скрипта правой кнопкой мыши;
- обязательно закрываете все открытые браузеры (Opera, Mozilla, IE), отключаете в антивирусе защиту (обычно правой кнопкой мыши по иконке в трее - Временно отключить защиту или т.п.) и жмете в uVS кнопку Выполнить;
- ждете окончания выполнения скрипта в программе. если будут появляться различные запросы на удаление программ, то везде нажимаем кнопки Да или Далее;
- по окончанию выполнения скрипта компьютер перезагрузится;
- в папке, откуда запускали программу (uVS), появится новый архив с сегодняшней датой и временем - например 2012-03-09_09-29-00.7z - это архив с вирусами, его нужно прислать на электронный адрес [email protected]. если отослать архив не получается по различным причинам, то закачиваем этот архив на файлообменник - rghost.ru и оставляем ссылку на этот архив в этой теме.
- после перезагрузки делаем лог Mbam как написано здесь (можно выполнить быструю проверку, а не полную). программу можно скачать отсюда.

Правильно заданный вопрос - это уже половина ответа

Перейти

[ Закрыто] заблокировали

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 10.03.2012 13:11:09

Почему мой сайт заблокирован?

Правильно заданный вопрос - это уже половина ответа

Перейти

win32/TrojanDownloader.Carberp.AD

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 10.03.2012 12:55:46

Код
;;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 delref HTTP://START.TICNO.COM delref HTTP://VKONTAKTE.RU/CLUB20594158 delref HTTP://SEARCH.IMINENT.COM/?APPID=55740B6A-7664-4FCB-B0AF-5F55A7E8DCB4 delref HTTP://SEARCH.IMINENT.COM/?APPID=55740B6A-7664-4FCB-B0AF-5F55A7E8DCB4&LCID=1049&REF=HOMEPAGE bl 18A103BEDC8D8B7F21781006B812A89C 185856 delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\9D8KJ8OMEA8.EXE bl 0A75F04A8F1CCDEA5B481C513984EE35 179200 delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\QZZYWCRUOTK.EXE exec MSIEXEC.EXE /X{A76AA284-E52D-47E6-9E4F-B85DBF8E35C3} exec "C:\PROGRAM FILES\MAIL.RU\GUARD\GUARDMAILRU.EXE" /UNINSTALL exec C:\PROGRAM FILES\MAIL.RU\SPUTNIK\MAILRUSPUTNIK.EXE UNINSTALL exec C:\PROGRAM FILES\TICNO\MULTIBAR\UNINSTALL.EXE exec cmd /k attrib -r -s -h "%appdata%\igfxtray.dat"&del "%appdata%\igfxtray.dat"&exit exec cmd /k del "%windir%\system32\ieunitdrf.inf"&exit deltmp delnfr restart

Код

;;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref HTTP://START.TICNO.COM
delref HTTP://VKONTAKTE.RU/CLUB20594158
delref HTTP://SEARCH.IMINENT.COM/?APPID=55740B6A-7664-4FCB-B0AF-5F55A7E8DCB4
delref HTTP://SEARCH.IMINENT.COM/?APPID=55740B6A-7664-4FCB-B0AF-5F55A7E8DCB4&LCID=1049&REF=HOMEPAGE
bl 18A103BEDC8D8B7F21781006B812A89C 185856
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\9D8KJ8OMEA8.EXE
bl 0A75F04A8F1CCDEA5B481C513984EE35 179200
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\QZZYWCRUOTK.EXE
exec MSIEXEC.EXE /X{A76AA284-E52D-47E6-9E4F-B85DBF8E35C3}
exec "C:\PROGRAM FILES\MAIL.RU\GUARD\GUARDMAILRU.EXE" /UNINSTALL
exec C:\PROGRAM FILES\MAIL.RU\SPUTNIK\MAILRUSPUTNIK.EXE UNINSTALL
exec C:\PROGRAM FILES\TICNO\MULTIBAR\UNINSTALL.EXE
exec cmd /k attrib -r -s -h "%appdata%\igfxtray.dat"&del "%appdata%\igfxtray.dat"&exit 
exec cmd /k del "%windir%\system32\ieunitdrf.inf"&exit
deltmp
delnfr
restart

- затем слева наверху выбираете пункт Скрипт - Выполнить скрипт находящийся в буфере обмена;
- скрипт должен автоматически появиться в этом окне. если он не появился или там находится не то что вы скопировали, то удаляете содержимое и вставляете текст скрипта правой кнопкой мыши;
- обязательно закрываете все открытые браузеры (Opera, Mozilla, IE), отключаете в антивирусе защиту (обычно правой кнопкой мыши по иконке в трее - Временно отключить защиту или т.п.) и жмете в uVS кнопку Выполнить;
- ждете окончания выполнения скрипта в программе. если будут появляться различные запросы на удаление программ, то везде нажимаем кнопки Да или Далее;
- по окончанию выполнения скрипта компьютер перезагрузится;
- после перезагрузки делаем лог Mbam как написано здесь (можно выполнить быструю проверку, а не полную). программу можно скачать отсюда.

Правильно заданный вопрос - это уже половина ответа

Перейти

[ Закрыто] Помогите пожалуйста с вирусов Win32/TrojanDownloader.carberp.AD

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 10.03.2012 12:50:04

Выполните скрипт в uVS:

Цитата
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 bl 18A103BEDC8D8B7F21781006B812A89C 185856 delmz %SystemDrive%\DOCUMENTS AND SETTINGS\MAMA\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\PKHZPDVQS9O.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\MAMA\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\PKHZPDVQS9O.EXE delref HTTP://CASUALGAME.BIZ delref HTTP://LONERD.DREAMPROGS.NET delref HTTP://VK.COM/ID47562186 delref HTTP://WWW.TOP-PAGE.RU/ restart

Цитата

;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

bl 18A103BEDC8D8B7F21781006B812A89C 185856
delmz %SystemDrive%\DOCUMENTS AND SETTINGS\MAMA\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\PKHZPDVQS9O.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\MAMA\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\PKHZPDVQS9O.EXE
delref HTTP://CASUALGAME.BIZ
delref HTTP://LONERD.DREAMPROGS.NET
delref HTTP://VK.COM/ID47562186
delref HTTP://WWW.TOP-PAGE.RU/
restart

А Журнал надо не картинкой выкладывать, а текстовым файлом.

Правильно заданный вопрос - это уже половина ответа

Перейти

[ Закрыто] Помогите пожалуйста, Оперативная память » explorer.exe(1860) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 10.03.2012 12:22:40

Удалить это:

Цитата
C:\Documents and Settings\Admin\Application Data\igfxtray.dat (Malware.Trace)

Затем Выполните рекомендации

Правильно заданный вопрос - это уже половина ответа

Перейти

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 10.03.2012 11:47:44

Выполните следующий скрипт в uVS:
- запускаете программу еще раз, ожидаете пока закончится построения списка (убедитесь что программа извлечена из архива в отдельную папку. не нужно запускать ее из самого архива);
- копируете следующий текст из поля "Код" в буфер обмена;

Код
;;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\2KBZZCEVOX0.EXE bl 64571E65328F91A962B8CA42033FA2C6 311328 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\2KBZZCEVOX0.EXE exec cmd /k attrib -r -s -h "%appdata%\igfxtray.dat"&del "%appdata%\igfxtray.dat"&exit exec cmd /k del "%windir%\system32\ieunitdrf.inf"&exit deltmp delnfr czoo restart

Код

;;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\2KBZZCEVOX0.EXE
bl 64571E65328F91A962B8CA42033FA2C6 311328
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\2KBZZCEVOX0.EXE
exec cmd /k attrib -r -s -h "%appdata%\igfxtray.dat"&del "%appdata%\igfxtray.dat"&exit 
exec cmd /k del "%windir%\system32\ieunitdrf.inf"&exit
deltmp
delnfr
czoo
restart

- затем слева наверху выбираете пункт Скрипт - Выполнить скрипт находящийся в буфере обмена;
- скрипт должен автоматически появиться в этом окне. если он не появился или там находится не то что вы скопировали, то удаляете содержимое и вставляете текст скрипта правой кнопкой мыши;
- обязательно закрываете все открытые браузеры (Opera, Mozilla, IE), отключаете в антивирусе защиту (обычно правой кнопкой мыши по иконке в трее - Временно отключить защиту или т.п.) и жмете в uVS кнопку Выполнить;
- ждете окончания выполнения скрипта в программе. если будут появляться различные запросы на удаление программ, то везде нажимаем кнопки Да или Далее;
- по окончанию выполнения скрипта компьютер перезагрузится;
- после перезагрузки делаем лог Mbam как написано здесь (можно выполнить быструю проверку, а не полную). программу можно скачать отсюда.

- в папке, откуда запускали программу (uVS), появится новый архив с сегодняшней датой и временем - например 2012-03-09_09-29-00.7z - это архив с вирусами, его нужно прислать на электронный адрес [email protected]. если отослать архив не получается по различным причинам, то закачиваем этот архив на файлообменник - rghost.ru и оставляем ссылку на этот архив в этой теме.

Изменено: Арвид - 10.03.2012 11:48:32

Правильно заданный вопрос - это уже половина ответа

Перейти

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 10.03.2012 11:39:07

Сделайте лог uVS

Правильно заданный вопрос - это уже половина ответа

Перейти

[ Закрыто] Модифицированный Win32/Corkow.A троянская программа - очистка невозможна

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 10.03.2012 11:05:14

Как создать лог журнала обнаруженных угроз?
Выполните это

Правильно заданный вопрос - это уже половина ответа

Перейти

[ Закрыто] Пятое поколение продуктов ESET, Обсуждение новых функций, настройки, и исправлений 5-й версии продукта.

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 09.03.2012 22:45:41

попробуйте отключить фильтрование трафика для торрент-клиента

Правильно заданный вопрос - это уже половина ответа

Перейти