Как вылечить exe файл от win32

30.03.2009, 19:50
#1
Junior Member

Вес репутации
40
Как вылечить ехе-файлы от вируса Win32.Neshta.A virus не удаляя сами файлы?
Как вылечить ехе-файлы от вируса Neshta.A virus не удаляя сами файлы?
Все нужные логи имеются
Последний раз редактировалось max_paine; 31.03.2009 в 11:09.
Причина: уточнил название вируса
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
30.03.2009, 19:52
#2
Логи нужны из обычного режима…
30.03.2009, 19:54
#3
Junior Member

Вес репутации
40
ЭЭэ в чем проблема,я могу залесть на комп только в безопастном режиме…
30.03.2009, 20:16
#4
А в обычном что происходит?
30.03.2009, 20:26
#5
Junior Member

Вес репутации
40
В обычном все ехе-файлы не открываються,говорит мол «Вам запрещен доступ к этому файлу».Ну типо этот файл заражен
30.03.2009, 20:32
#6
Скачайте сканер VBA32 c ftp://vba.ok.by/vba/Vba32Check.exe или с ftp://anti-virus.by/pub/Vba32Check.exe
И сделайте как написано здесь https://virusinfo.info/showpost.php?p…5&postcount=35
Скачивать, распаковывать и записывать нужно на чистой машине! После лечения прикрепите файл vba32.rpt и повторите логи по правилам.
Сердце решает кого любить… Судьба решает с кем быть…
30.03.2009, 20:46
#7
Junior Member

Вес репутации
40
в чем еще проблема, у меня лимитный интернет, и 55 метров многовато,а хотя через 2 дня дадут трафик,попробую выжить без компа 2 дняДобавлено через 2 минуты
особенно сильно ругаеться на файл svchost.com,ну или как там его,в папке винды,его и вывшлю в карантине…
Последний раз редактировалось max_paine; 30.03.2009 в 20:55.
Причина: Добавлено
30.03.2009, 20:54
#8
AVZ, меню «Файл — Выполнить скрипт» — Скопировать ниже написанный скрипт— Нажать кнопку «Запустить».
Код:
begin
DeleteService(‘PowerManager’);
DeleteService(‘DNCP’);
TerminateProcessByName(‘c:windowssystem32svchosst.exe’);
TerminateProcessByName(‘c:windowssystem32csrcs.exe’);
DeleteFile(‘c:windowssystem32csrcs.exe’);
DeleteFile(‘c:windowssystem32svchosst.exe’);
DeleteFile(‘C:WINDOWSsystem32dncpsvchost.exe’);
DeleteFile(‘C:WINDOWSsvchost.exe’);
DeleteFile(‘C:WINDOWSsystem32sysmgr.exe’);
DeleteFile(‘C:WINDOWSsvchost.com’);
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc(‘PowerManager’);
BC_DeleteSvc(‘DNCP’);
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.
Затем сделайте полную проверку CureIT и повторите логи…
31.03.2009, 11:43
#9
Junior Member

Вес репутации
40
Вот еще….
Вот еще программа CureIT открываеться => появляеться окно «проверить компьютер» => появляеться окно «купить бесплатно» => и все!
Скачал сегодня 20 мин назад.
Че делатЬ?Добавлено через 11 минут
Новая проблема:После выполнения скрипта все файлы-ЕХЕ просят их через что-нибудь открыть,ну не через блокнот их открывать
Добавлено через 57 секунд
А может попробовать через Explover открыть..
Добавлено через 24 минуты
вот 4 раз перезагрузил комп и проги открываются без запросов,но вот CureIT продолжает бастовать
Последний раз редактировалось max_paine; 31.03.2009 в 11:43.
Причина: Добавлено
3ds Max и PhotoShop — друзья навек!
[INDENT]Пишите в ЛС[/INDENT]
31.03.2009, 11:46
#10
31.03.2009, 13:30
#11
Junior Member

Вес репутации
40
3ds Max и PhotoShop — друзья навек!
[INDENT]Пишите в ЛС[/INDENT]
31.03.2009, 13:43
#12
Сделайте полную проверку AVPTool и повторите логи…
01.04.2009, 13:43
#13
Итог лечения
Статистика проведенного лечения:
Получено карантинов: 1
Обработано файлов: 1
В ходе лечения обнаружены вредоносные программы:
svchost.com — Virus.Win32.Neshta.a ( DrWEB: Win32.HLLP.Neshta, BitDefender: Win32.Neshta.A )

Источник

Ну вот вам первый совет.

До сих пор встречается этот вирус, хоть и стоят у людей различные антивирусные программы. Вот что муж писал в черновиках…

Вот может кому и пригодится данная информация. Искал себе на просторах Интернета дефрагментатор и… нашел с кряком:). Мой антивирус Comodo сразу взвыл – вирус win32.neshta.a, но я не принял его доводы во внимание и разрешил ему установиться.

Вот что известно о нем: Neshta — зловредный код ( в дальнейшем вирус) появившился в Беларуси в конце 2005г. Имя вирус получил возможно от транслитерации белорусского слова «не́шта», означающего «нечто», «что-то», а возможно по названию города. Neshta относится к категории файловых вирусов— в настоящее время не сильно популярных среди вирусных программ.

В базах антивирусных программ Neshta известен, как Virus.Win32.NeshtaWin32.HLLP.Neshta (Dr. Web), Win32.NeshtaWin32.Neshuta («Symantec Antivirus»), Win32:Trojan-gen («avast!»).

(«Антивирус Касперского»), (NOD32),

При запуске зараженной программы на «чистой» машине, вирус копирует своё тело в файл svchost.com (размер — 41 472 байта) в директории Windows. После этого регистрирует этот файл в системном реестре по адресу HKCRexefileshellopencommand, в результате чего запуск любого exe-файла на зараженной машине будет предваряться запуском файла вируса. Затем, вирус сканирует доступные логические диски компьютера и заражает exe файлы, удовлетворяющее некоторым критериям (как правило, это подавляющее большинство exe-файлов). После заражения работа компьютера не нарушается.

Для восстановления работоспособности компьютера после удаления Neshta антивирусом может понадобиться изменить значение ключа в реестре по адресу HKCRexefileshellopencommand с «%Windows%svchost.com „%1″ %*»«„%1″ %*» — БЕЗ упоминаний о windowssvchost.comна

Выявлен факт, что при невозможности скопировать свое тело в папку Windows, вирус пытается копировать себя в профиль учетной записи administrator. И прописывает свой запуск в реестр оттуда.

Скачал утилиту от Касперского и запустил – вирус не находит. Скачал утилиту от Доктора Веб и запустил – вирус не находит. Очень неприятный момент. Пришлось действовать головой).

Способ лечения вируса win32.neshta.a :

Первый – переустановить начисто систему, предварительно прогнав из-под DOS антивирусом. В этом случае, вы лишитесь всех файлов EXE, зараженных NESHTA.
Второй. Как ни прискорбно, но большинство антивирусов не лечат файлы зараженные NESHTA, а просто удаляют их. Но, у DRWEB есть бесплатная утилита под названием CUREIT. Вы можете бесплатно скачать ее с сайта DRWEB. Так же вам понадобится файл реестра, который вы можете сделать сами следующим образом. Создаем текстовый документ и вносим в него следующие данные:

REGEDIT4

[HKEY_CLASSES_ROOTexefileshellopencommand]
@=»»%1″ %*»
[HKEY_LOCAL_MACHINESOFTWAREClassesexefileshellopencommand]
@=»»%1″ %*»

Примечание: пустая строка после REGEDIT4 – обязательна.

Сохраняемся и закрываем текстовый документ. Затем, меняем расширение документа с TXT на REG. Запускаем полученный файл реестра и соглашаемся с добавление данных. После чего запускаем утилиту CUREIT и проводим полную проверку системы. Что удивительно, теперь утилита видит вирус и лечит его спокойно. Утилита от Касперского все и теперь не видит заражение – прискорбно. Ну продолжим… На предложения типа «лечить» соглашаемся «да для всех».

Лечение 120 гигов заняло 8,5 часов, пролечил 950 файлов с расширением exe.

Источник

Эпиграф:
Как по девкам ходить — так с радостью!
А как уколы колоть — так больно…
/ Народная мудрость /

Распространение классических компьютерных вирусов в настоящее время не так широко, как в древние времена MS-DOS, однако методики написания файловых инфекторов с того времени претерпели многочисленные усовершенствования, что существенно осложняет лечение и восстановление зараженных файлов.

Многие производители антивирусных программ по указанной выше причине не включают механизмы лечения в свои продукты, предлагая пользователям удалить все зараженные файлы, а затем переустановить поврежденные программные продукты. Однако если таким образом будет удален хотя бы один из системных файлов, операционная система

не сможет

правильно или полностью загрузиться, что приведет к потере пользовательских данных, пользовательского времени, затраченного на оживление компьютера и конечно же к потере доверия к производителю антивирусного продукта, вызвавшего такие проблемы.

К сожалению, на данный момент не существует 100% методик лечения заражений, вызванных файловыми вирусами, и при использовании следущих методик не исключается вероятность повреждения программных или системных файлов. При этом поврежденный файл может быть вполне работоспособен, но в определенные моменты работы с ним могут возникать ошибки. Файл может быть поврежден, как в процессе заражения, так и в процессе лечения.

Многие пользователи, особенно уверенные пользователи, скажут, что переустановить систему им гораздо проще и быстрее, чем ждать окончания сканирования и лечения зараженных файлов. Отчасти они правы, однако в данном случае существуют риски повторного заражения, вызванного автозапуском инфекторов с зараженных флешек или других разделов жесткого диска или установкой программ из зараженных инсталляторов.

В настоящее время наиболее эффективными способоми лечения являются использование загрузочных (Live CD) дисков от антивирусных компаний и использование специальных сканеров и утилит для лечения определенных видов заражений.

Если какой-то из продуктов не обнаруживает заражения, необходимо отправить зараженные файлы производителю данного продукта на анализ и выработку методики лечения.

В любом случае Вам понадобится компьютер с установленной на нем незараженной системой для скачивания и записи на CD или USB инструментов лечения — это может быть компьютер Вашего друга, соседа или системного администратора на работе (учитывайте тот момент, что админ цветы и конфеты не пьет…).

Будьте предельно внимательны и осторожны при использовании незараженного компьютера — ведь

одно неверное Ваше действие

превратит его в брата по горю Вашему компьютеру.

Не используйте флешки

или отключите автозапуск с флеш-накопителей на чистом компьютере,

не запускайте

никаких файлов, принесенных с зараженной системы — карантин должен быть полным.

Мы предлагаем пройти несколько несложных (но достаточно продолжительных по времени) шагов для успешного лечения операционных систем, зараженных файловыми вирусами, данные методики сохранят время, а может быть и деньги, потраченные на работу компьютерного мастера:

Подготовьте на случай повреждения системных файлов диск с дистрибутивом Вашей операционной системой.
Подключите к компьютеру все внешние USB-накопители и произведите полное сканирование и лечение зараженных файлов с помощью LiveCD. Ссылки на инструкции по использованию лечащих дисков указаны ниже.
После окончания сканирования и лечения перезагрузите компьютер.
Не запускайте никаких программ, не открывайте дисков и флеш-накопителей двойным щелчком мыши.
Скачайте автоматический сборщик логов и подготовьте логи в соответствие Правилам оформления запроса. Если Вы уже скачивали данные утилиты, скачайте их заново — в процессе лечения они могли быть повреждены.
После успешного лечения и удаления вредоносного ПО выполните следующие действия:
- Проведите процедуру проверки и восстановления системных файлов (инструкции для ОС XP / Vista / Seven / Windows 8 /10) — для ОС XP потребуется диск с дистрибутивом ОС.
- Переустановите программное обеспечение, со скачанных заново инсталляторов программ.
- Произведите полное сканирование системы Вашим антивирусом.
- Ознакомьтесь и постарайтесь выполнять требования, описанные в составленных нами рекомендациях.

Инструкции по использованию загрузочных дисков и утилит лечения:

Инструкция по использованию LiveCD Kaspersky Rescue Disk
Инструкция по использованию LiveCD Dr.Web LiveCD
Инструкция по использованию LiveCD Windows Defender Offline
Инструкция по использованию LiveCD BitDefender Rescue CD
Инструкция по использованию LiveCD Avira AntiVir Rescue System
Инструкция по использованию LiveCD Vba32 Rescue
Инструкция по использованию утилиты Dr.Web CureIt!

Специальные инструменты:

Инструкция по использованию утилиты Sality.Killer:

Для лечения Virus.Win32.Sality только модификаций:

Virus.Win32.Sality.aa(Win32.Sector.12), Virus.Win32.Sality.ag(Win32.Sector.21), Virus.Win32.Sality.ae(Win32.Sector.19), Virus.Win32.Sality.bh(win32.sector.22).

Нужно воспользоваться утилитой SalityKiller
А так же необходимо скачать Sality_RegKeys это набор твиков реестра, который позволит восстановить безопасный режим и отключить автозапуск со съемных носителей.

Дополнительные ключи для работы с SalityKiller.exe из командной строки:

-p <path> – сканировать определённый каталог.

-n – сканировать сетевые диски.

-r – сканировать flash-накопители, переносные жесткие диски, подключаемые через USB и FireWire.

-y – закрытие окна по окончании работы утилиты.

-s – проверка в «тихом» режиме (без вывода консольного окна).

-l <имя_файла> – запись отчета в файл.

-v – ведение подробного отчета (необходимо вводить вместе с параметром -l).

-x – восстановление возможности показа скрытых и системных файлов.

-a – отключение автозапуска со всех носителей.

-j – восстановление ветки реестра SafeBoot (при ее удалении компьютер не может загрузиться в безопасном режиме).

-m – режим мониторинга для защиты от заражения системы.

-q – сканирование системы, по окончании утилита переходит в режим мониторинга.

-k – сканирование всех дисков, распознавание на них файла autorun.inf (созданный вирусом Virus.Win32.Sality) и удаление autorun.inf. Так же удаляется исполняемый файл, на который ссылается autorun.inf, даже если этот файл уже пролечен и более не заражён вирусом.

Полное описание утилиты и методологию использования можно прочитать на странице технической поддержки ЛК.

Если вы не можете получить доступ к ресурсам Kaspersky Lab для скачивания salitykiller, то воспользуйтесь этой ссылкой.

Инструкция по использованию утилиты Virut.Killer:

Для лечения Virus.Win32.Virut только модификаций:

Virus.Win32.Virut.ce и Virus.Win32.Virut.q.

Для лечения необходимо воспользоваться утилитой VirutKiller.exe

Распакуйте и запустите утилиту, дождитесь окончания сканирования и лечения. Возможно потребуется перезагрузка компьютера.

При запуске утилиты без параметров выполняется:

Поиск и завершение зловредных потоков.
Поиск и снятие перехватов функций:
- NtCreateFile;
- NtCreateProcess;
- NtCreateProcessEx;
- NtOpenFile;
- NtQueryInformationProcess.
Сканирование файлов на всех жестких дисках и их лечение.
Параллельно во время сканирования жестких дисков утилита каждые 10 секунд проверяет исполняемые файлы всех запущенных процессов. В случае их обнаружения процессы завершаются, файлы – лечатся.

Дополнительные ключи для запуска утилиты VirutKiller из командной строки:

-l <имя_файла> – запись отчета в файл.

-v – ведение подробного отчета (необходимо вводить вместе с параметром -l).

-s – проверка в «тихом» режиме (без вывода консольного окна).

-y – закрытие окна по окончании работы утилиты.

-p <путь_к_каталогу> – проверить определенный каталог.

-r – проверить сменные носители (flash-накопители), переносные жесткие диски, подключаемые через USB и FireWire.

-n – проверить сетевые диски

Полное описание утилиты и методологию использования можно прочитать на странице технической поддержки ЛК.

Инструкция по использованию утилиты Xpaj.Killer:

Для лечения Virus.Win32.Xpaj только модификаций:
Virus.Win32.Xpaj.a, Virus.Win32.Xpaj.b, Virus.Win32.Xpaj.c, Virus.Win32.Xpaj.gen, Virus.Win32.Xpaj.gen2, Virus.Win32.Xpaj.gena, Virus.Win32.Xpaj.genb, Virus.Win32.Xpaj.genc

Для лечения необходимо воспользоваться утилитой XpajKiller.exe

Запустите файл XpajKiller.exe на зараженной (или потенциально зараженной) машине.
Дождитесь окончания сканирования и лечения. После лечения может потребоваться перезагрузка.

Дополнительные ключи для запуска утилиты из командной строки:

—l <имя_файла> — запись отчета в файл.

—v — ведение подробного отчета (необходимо вводить вместе с параметром -l).

—s — проверка в «тихом» режиме (без вывода консольного окна).

—y — закрытие окна по окончании работы утилиты.

—p <путь_к_каталогу> — проверить определенный каталог.

—r — проверить сменные носители (flash-накопители), переносные жесткие диски, подключаемые через USB и FireWire.

Полное описание утилиты и методологию использования можно прочитать на странице технической поддержки ЛК.

Источник

Как вылечить exe файл от win32

Как вылечить ехе-файлы от вируса Win32.Neshta.A virus не удаляя сами файлы?

Вот еще….

Итог лечения

Чем вы обычно лечитесь?