Показано с 1 по 15 из 15.

После посещения п-сайтов непонятные процессы гоняют проц и видеокарту [not-a-virus:RiskTool.Win32.HideExec.ai, Trojan-Dropper.Win32.Injector.jbqj ] (заявка № 143157)

  1. #1
    Junior Member Репутация
    Регистрация
    23.06.2008
    Сообщений
    53
    Вес репутации
    31

    После посещения п-сайтов непонятные процессы гоняют проц и видеокарту [not-a-virus:RiskTool.Win32.HideExec.ai, Trojan-Dropper.Win32.Injector.jbqj ]

    ..так, что компьютер, кажется, вот-вот взорвется!
    В процессах обнаружен oshost.exe, hstart.exe также нашли на ивке такой непонятный файл. Посмотрите, пожалуйста!

    http://rghost.net/download/47848742/...fo_syscure.zip
    http://rghost.net/47848802
    http://rghost.net/47848826

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,267
    Вес репутации
    327
    Уважаемый(ая) xxxp, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Junior Member Репутация
    Регистрация
    23.06.2008
    Сообщений
    53
    Вес репутации
    31
    Да, ну просто уже 3 дня прошло, ответили всем, кроме меня!

    В папке C:\drivers лежит hstart.exe, oshost.exe, phoenix.cfg - а внутри phoenix.cfg такое содержание:
    verbose = True
    autodetect = +cl +cuda -cpu
    backend = http://778_2013-08-01:123@kloessl.com:80

    Похоже, что кто-то на моем компе чувствует себя, как дома

  5. #4
    Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mrak74
    Регистрация
    03.10.2009
    Адрес
    Москва
    Сообщений
    8,082
    Вес репутации
    443
    Здравствуйте !!!

    Выполните скрипт в AVZ:
    Код:
    begin
     ExecuteAVUpdate;
      ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
      ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
      QuarantineFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\thtoe.dat','');
      DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
    BC_ImportAll;
    BC_Activate;
     ExecuteRepair(3);
     ExecuteWizard('TSW',2,2,true);
    RebootWindows(true);
    end.
    После перезагрузки выполните скрипт:
    Код:
    begin 
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

    + Сделайте лог полного сканирования MBAM

    - - - Добавлено - - -

    + если не хватает места для вложений. Как удалить вложения?

  6. mrak74 получил(а) благодарность за это сообщение от


  7. #5
    Junior Member Репутация
    Регистрация
    23.06.2008
    Сообщений
    53
    Вес репутации
    31
    представляете, не получается выполнить Ваш скрипт! Комп вылетает в синий экран! Хотя появляется сообщение, что выполнен успешно. После нескольких попыток все одно и то же, и карантин создавать не хочет!!! То есть он создает архивчик, но он пустой.
    Я вот думала выполнить скрипты из сейф моде, но он не реагирует на ф8! Это точно поведение вирусов!!! Может мне воспользоваться какими-то такими инструкциями? http://malwaretips.com/blogs/cant-boot-into-safe-mode/

    Или посоветуйте что-то без самодеятельности

  8. #6
    Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mrak74
    Регистрация
    03.10.2009
    Адрес
    Москва
    Сообщений
    8,082
    Вес репутации
    443
    Код:
    C:\DOCUME~1\ALLUSE~1\APPLIC~1\thtoe.dat
    Пришлите в карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы.

    + Сделайте полный образ автозапуска uVS

  9. mrak74 получил(а) благодарность за это сообщение от


  10. #7
    Junior Member Репутация
    Регистрация
    23.06.2008
    Сообщений
    53
    Вес репутации
    31
    Так там пусто! Такое ощущение, что не выполняется скрипт до конца!

  11. #8
    Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mrak74
    Регистрация
    03.10.2009
    Адрес
    Москва
    Сообщений
    8,082
    Вес репутации
    443
    Давайте лог uVS, посмотрим.

  12. mrak74 получил(а) благодарность за это сообщение от


  13. #9
    Junior Member Репутация
    Регистрация
    23.06.2008
    Сообщений
    53
    Вес репутации
    31

  14. #10
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    23,829
    Вес репутации
    780
    Выполните скрипт в uVS:
    Код:
    ;uVS v3.80.15 [http://dsrt.dyndns.org]
    ;Target OS: NTv5.1
    
    zoo %SystemDrive%\DRIVERS\HSTART.EXE
    zoo %SystemDrive%\DRIVERS\OSHOST.EXE
    delall %SystemDrive%\DRIVERS\HSTART.EXE
    delall %SystemDrive%\DRIVERS\OSHOST.EXE
    delref %SystemDrive%\DOCUME~1\ALLUSE~1\APPLIC~1\THTOE.DAT
    delref HTTP://YAMBLER.NET/?IM
    exec MsiExec.exe /quiet /X{26A24AE4-039D-4CA4-87B4-2F83217011FF}
    zoo %SystemDrive%\DOCUMENTS AND SETTINGS\123\LOCAL SETTINGS\TEMP\{7B965038-9E9B-447F-85EB-139BAED1C4CA}\FORIM778.EXE
    delall %SystemDrive%\DOCUMENTS AND SETTINGS\123\LOCAL SETTINGS\TEMP\{7B965038-9E9B-447F-85EB-139BAED1C4CA}\FORIM778.EXE
    deltmp
    restart
    На вопросы об удалении программ рекомендую соглашаться.
    Компьютер перезагрузится.

    information

    Уведомление

    Данный скрипт удалит все устаревшие версии Java, т. к. в них имеются критические ошибки, позволяющие выполнить вредоносный код в целевой системе. Проще говоря - при заходе на сайт с вредоносным кодом внедрить в систему без ведома пользователя трояна.
    Если Java нужна, т.е. без неё не работают какие-либо сайты, онлайн-игры и т. п., скачайте и установите Java 7 Update 25. Для большинства сайтов Java не нужна и является потенциальной дырой в безопасности.




    Упакуйте содержимое папки ZOO с помощью WinRar, 7-Zip или WinZip в архив формата .ZIP с паролем virus и отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

    Сделайте новый полный образ автозапуска uVS.
    Последний раз редактировалось Vvvyg; 05.08.2013 в 20:14.
    WBR,
    Vadim

  15. Vvvyg получил(а) 2 благодарностей за это сообщение от


  16. #11
    Junior Member Репутация
    Регистрация
    23.06.2008
    Сообщений
    53
    Вес репутации
    31
    "Текст скрипта содержит ошибки, либо не содержит команд uVS, выполнение таких скриптов запрещено!"

  17. #12
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    23,829
    Вес репутации
    780
    Поправил, выполняйте.
    WBR,
    Vadim

  18. Vvvyg получил(а) благодарность за это сообщение от


  19. #13
    Junior Member Репутация
    Регистрация
    23.06.2008
    Сообщений
    53
    Вес репутации
    31
    все сделала, а еще при старте комп выдавал Не найден модуль thtoe.dat - это после удаления вируса-вымогателя авторских прав, так вот теперь это сообщение не появляется!
    еще меня смутило, что пока увс делал образ, что-то попросилось в интернет, но такого файла не нашла в папке увс
    Изображения Изображения
    Вложения Вложения

  20. #14
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    23,829
    Вес репутации
    780
    Всё нормально, надо только после вируса-вымогателя восстановить ветку реестра.
    Распакуйте твик реестра из вложения:
    winmgmt.zip
    Двойной клик мышки по нему, соглашайтесь на изменение реестра, перезагрузите систему.

    Выполните скрипт в AVZ при наличии доступа в интернет:
    Код:
    var
    LogPath : string;
    ScriptPath : string;
    
    begin
     LogPath := GetAVZDirectory + 'log\avz_log.txt';
     if FileExists(LogPath) Then DeleteFile(LogPath);
     ScriptPath := GetAVZDirectory +'ScanVuln.txt';
    
      if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
        if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
           ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
           exit;
          end;
      end;
     if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
    end.
    После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
    WBR,
    Vadim

  21. Vvvyg получил(а) благодарность за это сообщение от


  22. #15
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,562
    Вес репутации
    942

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 6
    • В ходе лечения обнаружены вредоносные программы:
      1. \\zoo\\forim778.exe._6e3b25654ad34cea7c252cacc7856 801dfbb3b38 - Trojan-Dropper.Win32.Injector.jbqj ( DrWEB: Trojan.BtcMine.146 )
      2. \\zoo\\hstart.exe._030bad1af91f0ed51fdf8119c8989fa da6ed879e - not-a-virus:RiskTool.Win32.HideExec.ai ( DrWEB: BackDoor.IRC.Cirilico.119 )


  • Уважаемый(ая) xxxp, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 5
      Последнее сообщение: 25.07.2011, 11:14
    2. Коктейль из троянов после посещения сайта
      От Old School в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 12.10.2009, 07:40
    3. Ответов: 7
      Последнее сообщение: 22.02.2009, 02:43
    4. Norton Safe Web защитит пользователей от посещения сомнительных сайтов
      От SDA в разделе Новости компьютерной безопасности
      Ответов: 4
      Последнее сообщение: 30.07.2008, 23:54
    5. McAfee: 6% сайтов в зоне .ru опасны для посещения
      От ALEX(XX) в разделе Новости компьютерной безопасности
      Ответов: 4
      Последнее сообщение: 05.06.2008, 00:37

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01440 seconds with 23 queries