33 ответов в этой теме

[Cetacea]

Enterprise Suite на 40 лицензий, все обновляется каждый день, на компьютере бухгалтера (WinXP SP3 Pro) появился winlock xtgina.dll
удалить-то смог, загрузившись с liveCD, но на следующий день утром зараза опять проявилась. что делать дальше?

[k.nikolenko]

Отправить xtgina.dll к нам на анализ?

[Cetacea]

чуть подробнее:
на самом деле, её фактически нет и не было. вирус пишет в реестр запись о ней, которая не дает компу загрузиться как раз из-за того, что dll отсутствует
 2.PNG   19,07К   0 Скачано раз
загружаясь с liveCD через autoruns удаляю эту запись, потом можно залогиниться. но вирус где-то сидит и снова вносит эту запись. кроме того, появляются записи на левые файлы из TEMP, которых там нет:
 1.PNG   17,38К   0 Скачано раз

сейчас попробую прогнать последний CureIT.

[Cetacea]

сейчас попробую прогнать последний CureIT.

из-под liveCD он не запустился, в рабочей зараженной системе в (в режиме усиленной защиты) не нашел ни одной угрозы.

Сообщение было изменено Cetacea: 02 Ноябрь 2012 - 15:59

[SergM]

в рабочей зараженной системе в (в режиме усиленной защиты) не нашел ни одной угрозы.

Возможно он просто не знает этой угрозы на данный момент.

Подозрительные файлы из C:\Temp отловить попытаться можете?

[userr]

Cetacea,
пишите с логами сюда http://forum.drweb.com/index.php?showforum=35

[Cetacea]

пишите с логами сюда http://forum.drweb.com/index.php?showforum=35

а просто перенести ветку в тот подфорум нельзя?

[userr]

Cetacea,
никаких вирусов на форуме !!!


подозрительные файлы слать сюда https://vms.drweb.com/sendvirus/?lng=ru

Сообщение было изменено userr: 02 Ноябрь 2012 - 16:13

[Cetacea]

отправил.

Сообщение было изменено Cetacea: 02 Ноябрь 2012 - 16:19

[userr]

давайте сейчас оперативно я вам информацию передам, а потом вы удаляйте чо хотите. в 5 часов вечера пятницы перед праздниками выложить на форуме куда быстрее,

еще раз - никаких вирусов на форуме. За это положен бан.

чем отправить письмо, на которое вы можете забить до вторника.

шлете подозрительные файлы в вирлаб, по одному файлу на письмо. В течение 5-15 минут получаете номер запроса. Вот этот номер пишете здесь.

[Borka]

Переехали в лечение.

[Cetacea]

отправил.
там еще есть папка MPK, которая была в c:\Documents and Settings\All Users\Application Data\ с датой файлов = появлению заразы. может тоже гадость.

[Cetacea]

В течение 5-15 минут получаете номер запроса. Вот этот номер пишете здесь.

drweb.com #3673591

[userr]

Cetacea,
проверьте на virustotal.com , покажите ссылку на результат.
и логи cureit хочется увидеть.

[Cetacea]

нашел еще один файл, отправил его: drweb.com #3673609
вот результаты анализа оного:https://www.virustotal.com/file/93bd071eed61555c74dbe3c6b3ef97c1693aaec0ce15105d8f56bb1165930495/analysis/1351862924/

из ранее отправленных файлов:
https://www.virustotal.com/file/3207390e487cfb6426b30c32a651fb6d1c2a321f75f791d71a5f57a63efdacc3/analysis/
https://www.virustotal.com/file/db4d15fea1bd99ef9d5b881bc2c93101e63e225b5b8ec2cb90a853a7677cd277/analysis/
mpk.exe из упомянутой папки MPK https://www.virustotal.com/file/71cf60f5d0039e056abbac54b594f9f8f8e3ded5d4f218c7c713fb8414b0a34d/analysis/

лог курита:

Прикрепленные файлы:

•  cureit.log   1,39Мб   3 Скачано раз

Сообщение было изменено Cetacea: 02 Ноябрь 2012 - 16:35

[Cetacea]

печально, что куча антивирусов их определяют, а DrWeb - нет

[SergM]

Аналитики уже работают. Ждите ответ на свою почту.

[Cetacea]

ок, спасибо.

только почему-то уведомления с форума мне не приходят, хотя я сразу подписался на эту тему. почта на гугле. папку Спам проверил, нету.

Сообщение было изменено Cetacea: 02 Ноябрь 2012 - 16:46

[Cetacea]

ну вроде бы все, вычистил до конца теперь, больше в реестре ничего не появляется, загрузка проходит нормально. но в любом случае, повторения не хотелось бы. у меня DrWeb Enterprise Suite у 5 клиентов стоит...

первый ответ:

Ваш запрос был проанализирован. Соответствующая запись добавлена в вирусную базу Dr.Web и будет доступна при следующем обновлении.

Угроза: Trojan.PWS.Termuser.8, Win32.HLLM.Limar.4356

Сообщение было изменено Cetacea: 02 Ноябрь 2012 - 16:56

[k.nikolenko]

drweb.com #3673591

Рядом с файлом A365CF828F68DF2 должен быть еще exe, либо тоже без разсширения. Он может не определяться, но это троян SpyEye

Сообщение было изменено k.nikolenko: 02 Ноябрь 2012 - 16:58