RP55 RP55 (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Помогите справиться с проблемой., Оперативная память = svchost.exe(3472) - модифицированный Win32/Qadars.AL троянская программа - очищен удалением ,

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 04.09.2016 19:40:33

1) В Малваребайт вы уже всё удалили.

Далее.
2) Выполните лог в AdwCleaner
http://forum.esetnod32.ru/forum9/topic7084/

после завершения сканирования:
Записи относящиеся к Mail.Ru и Yandex можете не удалять ( если пользуетесь программой )
На вкладке:
Папки (Folders) для Mail.Ru и Yandex снимите [V]

Удалите найденное в AdwCleaner по кнопке Очистить (Clean), подтвердите действие
с автоперезагрузкой

3) FRST: http://forum.esetnod32.ru/forum9/topic2798/

Перейти

[ Закрыто] Как отключить обновление версии нода?

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 03.09.2016 22:20:29

Пробуем совершенствовать методику

Для начала: Открываем окно антивируса > жмём F5 и в меню настроек >

"Обновление"- "Режим обновления" отключите опцию "Обновление приложения".

И если это не поможет, то читаем написанное в следующих сообщениях...

Изменено: RP55 RP55 - 05.07.2017 14:41:06

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 03.09.2016 21:49:48

santy

всё по той же теме...
Сигнатуры то в скрипт были добавлены однако для чего...

Изменено: RP55 RP55 - 03.09.2016 21:51:21

Перейти

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 03.09.2016 21:46:42

Скопировать текст КОДА - в буфер обмена.
uVS: start.exe, текущий пользователь, меню, скрипты - выполнить скрипт из буфера обмена.
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!
ВНИМАНИЕ : По окончанию выполнения скрипта компьютер выполнит перезагрузку !
На вопросы программы отвечаем: Да !

Код
;uVS v3.87.4 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE delref IUOZLT.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMINISTRATOR\LOCAL SETTINGS\APPLICATION DATA\MAIL.RU\MAILRUUPDATER.EXE delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.645\BDSGBUGRPT.EXE del %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.645\BDSGBUGRPT.EXE delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108\BDDOWNLOADER.EXE del %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108\BDDOWNLOADER.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMINISTRATOR\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\DIMA\LOCAL SETTINGS\APPLICATION DATA\MAIL.RU\MAILRUUPDATER.EXE delall %SystemDrive%\PROGRAM FILES\MAIL.RU\MAILRUUPDATER\MAILRUUPDATER.EXE delall %SystemDrive%\PROGRAM FILES\MAIL.RU\SPUTNIK\SPUTNIKHELPER.EXE uidel C:\Documents and Settings\Dima\Local Settings\Application Data\Mail.Ru\MailRuUpdater.exe uninstall uidel "C:\Program Files\baidu\unins000.exe" deltmp delnfr restart

Код


;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
delref IUOZLT.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMINISTRATOR\LOCAL SETTINGS\APPLICATION DATA\MAIL.RU\MAILRUUPDATER.EXE
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.645\BDSGBUGRPT.EXE
del %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.645\BDSGBUGRPT.EXE
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108\BDDOWNLOADER.EXE
del %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108\BDDOWNLOADER.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMINISTRATOR\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\DIMA\LOCAL SETTINGS\APPLICATION DATA\MAIL.RU\MAILRUUPDATER.EXE
delall %SystemDrive%\PROGRAM FILES\MAIL.RU\MAILRUUPDATER\MAILRUUPDATER.EXE
delall %SystemDrive%\PROGRAM FILES\MAIL.RU\SPUTNIK\SPUTNIKHELPER.EXE
uidel C:\Documents and Settings\Dima\Local Settings\Application Data\Mail.Ru\MailRuUpdater.exe uninstall
uidel "C:\Program Files\baidu\unins000.exe"
deltmp
delnfr
restart

На этом, если всё хорошо мы очистку закончим.

Перейти

Атака путем подделки записей кэша ARP

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 03.09.2016 00:29:39

А, что можно сделать ?
На работу сети вы повлиять не можете...
Сама система чиста.
Антивирус работает в штатном режиме - если есть атака он её блокирует.
- Удалите лишнее программное обеспечение которое может влиять на работу антивируса.
- Смотрите, что ещё можно настроить по выше данной ссылке.

Перейти

Атака путем подделки записей кэша ARP

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 03.09.2016 00:19:05

Удалять, или нет программы решать вам.
Раз они не нужны - можно удалить.

Перейти

Атака путем подделки записей кэша ARP

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 03.09.2016 00:09:06

Чисто.

1) Программу Malwarebytes - удалите.

2) Вы устанавливали программы для работы с сетью:

C:\PROGRAM FILES\TAP-WINDOWS

rem Add a new TAP virtual ethernet adapter

Файл создан: 01.09.2016 в 21:21:14
---------

C:\PROGRAM FILES\OPENVPN
OpenVPN Service
Файл создан: 23.08.2016 в 17:34:38
----------
Так, что...

Перейти

Атака путем подделки записей кэша ARP

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 02.09.2016 23:26:18

Также прочтите: http://forum.esetnod32.ru/forum9/topic5130/

Перейти

Атака путем подделки записей кэша ARP

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 02.09.2016 23:23:04

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
...
Запустите FRST и нажмите один раз на кнопку Fix и подождите.

Код
HKU\S-1-5-21-1768540551-2911780387-4068404210-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.cwer.ws HKU\S-1-5-21-1768540551-2911780387-4068404210-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.cwer.ws HKU\S-1-5-21-1768540551-2911780387-4068404210-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.cwer.ws HKU\S-1-5-21-1768540551-2911780387-4068404210-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.cwer.ws EmptyTemp: Reboot:

Код

  


HKU\S-1-5-21-1768540551-2911780387-4068404210-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.cwer.ws
HKU\S-1-5-21-1768540551-2911780387-4068404210-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.cwer.ws
HKU\S-1-5-21-1768540551-2911780387-4068404210-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.cwer.ws
HKU\S-1-5-21-1768540551-2911780387-4068404210-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.cwer.ws
EmptyTemp:
Reboot:

Программа FRST создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Вероятнее всего дело в вашей сети.
Логи чистые.
Можно ещё образ автозапуска в uVS посмотреть.
http://forum.esetnod32.ru/forum9/topic2687/

Изменено: RP55 RP55 - 02.09.2016 23:23:48

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 02.09.2016 20:10:49

Связка TOR + интересная.
Команду: BP из скрипта убрал

Изменено: RP55 RP55 - 02.09.2016 20:14:22

Перейти