Neshta a что за вирус

[Work] Win32.Neshta.A — устраняем последствия

Собрал себе свежую рабочую лошадку работу работать. По характеристикам не самый сахар, но вроде сойдет. Поставил свежую винду семерку запускаю со своей рабочей флешки (которая только для рабочих нужд используется) DriverPack Solution последний и тут начинается интересное 🙂

Начинают ставиться дрова, но при попытке открыть любую другую программу вылетает предложение открыть этот файлик ( .exe ) с помощью чего-либо. Ну быстрый гуглеж (благо со мной всегда мой верный персональный пони Asus K52J с Ubuntu 14.04 LTS на борту) показал, что это вирус и указал даже название — Win32.Neshta . С википедии:

Win32.Neshta — белорусский вирус 2005-го года. Название вируса происходит от белорусского слова “нешта”, означающего “нечто”. Программа является приложением Windows (exe-файл). Написана на Delphi. Размер оригинального вредоносного файла — 41 472 байта. Это файловый вирус — тот тип вируса, который уже не популярен в настоящее время.

В базах антивирусных программ Neshta определяется так:

• Virus.Win32.Neshta — Антивирус Касперского
• Win32.HLLP.Neshta — Dr. Web
• Win32.Neshta — NOD32
• Win32.Neshuta — Symantec

Суть работы вируса была в следующем: Вирус просто удаляет строку которая отвечает за совместимость фалов *.inc и *.exe ! По этому если у вас на компьютере 2 браузера то проблема решена! Так как вы нажимаете на один пытаясь его открыть,и вам выходит окошко открыть с помощью и выбираете другой браузер!

Примерно таким способом его можно вылечить:

1. Открываем Regedit от имени Администратора (желательно из безопасного режима);
2. Ищем вот эти пути:

и пишем значения по умолчанию в обоих ключах:

После чего идем в директорию C:\Windows\ и удаляем нахрен волшебно появившийся файлик svchost.com . Главное не очкуем. Он там один такой и ничего лишнего вы не удалите. После чего можно проверить (из безопасного же режима) систему каким-нибудь Dr.Web CureIt или AVZ , тут кому что больше нравится. После смело грузимся в нормальном режиме и радуемся тому, как мы самостоятельно удалили целый вирус десятилетней давности.

ЗЫЖ Обязательно пользуйтесь нормальным антивирусом и фаерволом если вы виндузятник 🙂

Если у тебя есть вопросы, комментарии и/или замечания – заходи в чат, а так же подписывайся на канал.

Virus.Win32.Neshta.a

Вредоносная программа, которая находит и заражает исполняемые файлы с файловым расширением "EXE".

Технические детали

Вредоносная программа, которая находит и заражает исполняемые файлы с файловым расширением "EXE". Является приложением Windows (PE-EXE файл). Имеет размер 9487286 байт. Написана на Delphi.

Инсталляция

После активации вирус копирует свое тело в корневой каталог Windows под именем svchost.com:

Данный файл имеет размер 41472 байта.

md5: BC93F4F527B58419EF42F19DB49F64A8
sha1: 2650A73B61577CFC0C0D80A7F38103D65388D808

Предварительно производится поиск и удаление существующего файла "%WinDir%\svchost.com".

Вирус изменяет значения следующего параметра ключа системного реестра:

Таким образом, при запуске всех EXE-файлов в системе будет запускаться тело вируса %WinDir%\svchost.com с параметром равным имени программы, которую запускает пользователь.

Деструктивная активность

Вирус получает список логических дисков на компьютере пользователя. После чего сканирует найденные диски в поисках исполняемых файлов Windows(PE-EXE), найденные файлы такого типа заражаются вирусом. При этом найденные файлы должны соответствовать критериям:

• файл должен быть не меньше 41472 байта и не больше 10000000 байт;
• файл не должен находиться в каталогах %WinDir% и %ProgramFiles%;
• не заражаются файлы на CD-ROM и на логических дисках A и B;

При заражении вирус записывает в начало файла свое тело и перенаправляет точку входа в программу на тело вируса, оригинальное начала файла переносится в конец файла, при этом часть переносимого блока шифруется.

Также вирус создает файл в корневом каталоге Windows под именем "directx.sys":

Если тело вируса запускается с параметром равным имени программы, которую запускает пользователь,то производится запуск программы, имя которой передается в виде параметра, а полный путь к запущенной программе помещается в файл %WinDir%\directx.sys для дальнейшего заражения. При этом соблюдаются вышеуказанные критерии заражаемых файлов. Если был запущен зараженный файл (размер запускаемого файла больше 41472 байта), то после запуска тела вируса, вирус расшифровывает оригинальный файл и сохраняет его во временном каталоге текущего пользователя Windows в каталоге "3582-490" под оригинальным именем: после чего оригинальный файл запускается на выполнение. Для контроля уникальности своего процесса в системе вирус создает уникальный идентификатор с именем: В теле вируса содержаться следующие строки:

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами ( скачать пробную версию ).

md5: 09CBA414D6EDC9999220D79660C155B8
sha1: 5C4C02F5F84A932CB476480F0343FCCF7F4B393D

Как удалить Neshta virus: Полное руководство

Neshta virus — это вредоносная программа, которая является частью троянских вирусов. Целью Neshta virus является кража данных пользователей. Распространение этого трояна часто происходит через спам по электронной почте и поддельные обновления.

Что такое Neshta virus?

Neshta virus захватывает веб-браузеры, где изменяет отображение информации. Введенные логины и пароли крадутся и отправляются на удаленный сервер мошенников. Похищая логины и пароли, киберпреступники могут быстро завладеть электронными счетами пользователей и перевести деньги на их кошельки.

Киберпреступники используют эту функцию, чтобы заставить пользователей заплатить выкуп. Кроме того, троян крадет сохраненные пароли, автозаполнение и другие виды информации. Neshta virus также способствует записи данных, связанных с просмотром Интернета (история, cookies и многое другое) и системных данных ПК.

Это вредоносное ПО должно быть уничтожено, так как Neshta virus может отлично маскироваться в системе ПК.

Neshta virus симптомы

Neshta virus может маскироваться под безопасный процесс и его трудно обнаружить. Однако система ПК начинает проявлять себя характерными общими симптомами, такими как:

• Процессор потребляет больше системных ресурсов компьютера.
• ПК часто зависает и сбоит.
• Браузеры наводнены вредоносными всплывающими окнами
• Случайные окна начинают работать сами по себе, без каких-либо действий со стороны пользователя.
• Страницы в браузере перенаправляют пользователя на мошеннические сайты.

Как Neshta virus попало на мой ПК?

Neshta virus распространяется через спам и поддельные обновления. Спам представляет собой различные вредоносные вложения (PDF-файлы, документы MS Office и многое другое). Переходя по таким вложениям, пользователь выполняет прописанные скрипты, которые тайно скачивают и устанавливают троян.

Поддельные программы обновления начинают заражать систему, применяя ошибки и недостатки устаревшего ПО.

Основные методы появления вирусов:

• Программа с вирусом скачивается и устанавливается на ПК (бесплатные программы часто идут в комплекте с Neshta virus).
• Открыто зараженное электронное письмо.
• Пользователь кликнул на всплывающую рекламу.
• Пиринговые сети.

Троянская программа запускает цепную реакцию, дополнительно устанавливая другие вирусы

Neshta virus: легитимное или поддельное?

Когда пользователь замечает файл Neshta virus, он может проверить, является ли он легитимным или поддельным, двумя способами.

• Расположение файла. Стандартный файл находится в папке C:\Windows\System32. Все остальные файлы с Neshta virus в названии размещаются в разных папках, но не в папке C:Windows\System32.
• Диспетчер задач. Сначала запустите диспетчер задач — перейдите в раздел "Процессы" и найдите Neshta virus.exe — щелкните на нем правой кнопкой мыши, чтобы удалить его — если Windows покажет предупреждение, значит Neshta virus.exe — хороший процесс и его не нужно удалять. В противном случае, если появляется предупреждение, процесс Neshta virus.exe является поддельным.

Удалите Neshta virus из вашей системы

Очень часто бывает, что пользователь замечает, что троянская программа остается в системе после удаления. Это может быть связано с тем, что реестр с остальными системными файлами ПК заражены. Давайте попробуем удалить Neshta virus с компьютера:

Метод 1: Удалить Neshta virus с AVarmor

AVarmora представляет собой инструмент, который удаляет вредоносное ПО. Утилита помогает пользователям удалять с компьютера трояны типа Neshta virus и различные вредоносные программы. Утилита имеет простой и удобный интерфейс, а также мощные механизмы для защиты всей системы вашего ПК.

1. Скачайте и установите AVarmor.
2. После завершения процесса загрузки запустите утилиту, согласившись с ее настройками. Перед этим необходимо закрыть все посторонние программы на вашем компьютере.
3. Утилита начнет свою работу, и пользователю необходимо нажать кнопку "Сканировать" на наличие вредоносного ПО.
4. После завершения сканирования будет сформирован список найденных опасных объектов.
5. Удалить все найденные угрозы.
6. После завершения очистки перезагрузите компьютер.

Метод 2: Удаление через редактор реестра

Те, кто хочет попробовать удалить Neshta virus вручную, используют Regedit, так как троян может сам изменять реестр.

1. Давайте запустим командную строку.
2. Вводим Regedit в командной строке.
3. Перед деинсталляцией необходимо сделать резервную копию реестра (Файл — Экспорт — сохранить реестр в безопасном месте).
4. Как только резервная копия будет создана, нажмите Правка — Найти.
5. Введите Neshta virus.exe — Find next.
6. Реестр найден? Щелкните по нему правой кнопкой мыши и нажмите Удалить.

Метод 3: Подключите компьютер к сети и войдите в безопасный режим

Сначала попробуйте загрузить компьютер в безопасном режиме. Это поможет вам предотвратить запуск Neshta virus.

Windows 7, 10, Vista, XP

1. Сначала выполните перезагрузку компьютера.
2. Нажмите F8 до появления Windows.
3. Вы увидите меню дополнительных опций.
4. Перейдите в "Безопасный режим с подключением к сети"
5. Нажмите Enter.

Windows 8, Windows 8.1

1. Нажмите Windows+R, чтобы вызвать окно RUN.
2. Введите команду msconfig.
3. Нажмите OK.
4. Перейдите на вкладку Boot.
5. В этой области выберите опции Safe Boot и Networking.
6. Нажмите OK.
7. Перезагрузите компьютер.

Метод 4: Удалить все сомнительные приложения

Виновное приложение может остаться даже после попытки его удаления, находя новые места в системе компьютера. Попробуйте определить их местонахождение:

1. Щелкните правой кнопкой мыши на панели задач.
2. Выберите Диспетчер задач.
3. Просмотрите все приложения, которые потребляют системную память.
4. Найдите приложения, которые не были установлены и запущены пользователем.
5. Щелкните по ним правой кнопкой мыши, чтобы открыть их местоположение.
6. Теперь откройте Панель управления.
7. Нажмите Удалить программу.
8. Проверьте наличие подозрительных приложений.

Метод 5: Удалить временные файлы

Папка временных файлов — это место, где могут храниться вредоносные файлы. Попробуйте удалить временные файлы и папки:

1. Откройте окно "Выполнить"
2. Введите команду %temp% и нажмите Enter.
3. Появится путь C:\Users\[имя пользователя]\AppData\Local\Temp, то есть откроется папка temp.
4. Удалите файлы и папки, а затем очистите корзину.

Метод 6: Удалить Neshta virus из браузеров

Теперь давайте рассмотрим, как удалить Neshta virus в самых популярных браузерах.

Mozilla Firefox

Необходимо удалить опасные расширения:

1. Откройте Mozilla Firefox и нажмите на Меню.
2. Перейдите в раздел Дополнения.
3. Выберите Neshta virus и нажмите на Удалить.

Сбросить домашнюю страницу

1. Нажмите на три горизонтальные линии в правом верхнем углу экрана, чтобы открыть Меню.
2. Перейдите в Настройки
3. В этой области выберите предпочтительную домашнюю страницу.

Очистить куки с данными сайта

1. Переходим в Меню, где выбираем Предпочтения.
2. Теперь нам нужен раздел Конфиденциальность и безопасность.
3. Находим раздел Cookies and Site Data.
4. Нажмите на Очистить данные сайта.
5. Перезапустить Firefox.

1. Откройте Firefox.
2. В правом верхнем углу нажмите на Меню, чтобы перейти к разделу Помощь.
3. Теперь выберите Информация об устранении неполадок.
4. Появится новое окно, в котором нужно нажать на Refresh Firefox.
5. Подтвердите действие.

Google Chrome

Необходимо удалить опасные расширения:

1. Открыть Chrome.
2. Нажмите на Меню, чтобы выбрать Другие инструменты.
3. Затем перейдите к Расширениям.
4. Появится новое окно со всеми установленными расширениями.
5. Удалите подозрительный плагин, связанный с Neshta virus.

Очистить куки с данными сайта

1. Перейдите в Меню и нажмите на Настройки.
2. Перейдите в раздел Конфиденциальность и безопасность и выберите Очистить данные просмотра (История просмотров, Cookies, кэшированные изображения/файлы).
3. Нажмите на Очистить данные.

Сбросить домашнюю страницу

1. Перейдите в меню и выберите Настройки.
2. Ищите подозрительный сайт, который находится в разделе "При запуске".
3. Нажмите Открыть определенную или набор страниц, найдите Удалить.
4. Перезагрузите браузер.

1. Перейдите в меню, чтобы выбрать Настройки.
2. Перейдите в раздел "Расширенные".
3. Перейдите в раздел "Сброс и очистка."
4. Нажмите Восстановить настройки по умолчанию.

Internet Explorer

Необходимо удалить опасные расширения:

1. Выберите знак "шестеренка" Internet Explorer в правой части экрана.
2. Перейдите в "Управление расширениями".
3. Просмотрите все недавно установленные подозрительные расширения; среди них есть Neshta virus.
4. Выберите его и удалите.

1. Нажмите Internet Explorer, чтобы открыть браузер.
2. Нажмите на значок шестеренки, чтобы выбрать Настройки Интернета.
3. Появится новое окно, в котором нам нужна вкладка Advanced.
4. Теперь нажмите на кнопку Сброс.
5. Подтвердите свои действия.

Microsoft Edge

Необходимо удалить опасные расширения:

1. Выберите меню
2. Найти расширения.
3. В списке выберите расширение, нажмите на знак шестеренки, где выберите Деинсталляция.
4. Найдите тип Trojan и удалите его.

Очистить куки с данными сайта

1. Заходим в Меню, где выбираем Конфиденциальность и безопасность.
2. Теперь нам нужен раздел "Очистить данные браузера", где выбираем категории, которые мы хотим очистить.

Сбросить домашнюю страницу

1. Нажмите на значок меню, чтобы перейти к Настройкам.
2. Найдите раздел При запуске.
3. Нажмите Отключить на подозрительном домене.

1. Нажмите Ctrl+Shift+Esc, чтобы открыть диспетчер задач.
2. Нажмите Подробнее.
3. Перейдите в нижнюю часть страницы, где вам нужно найти все записи с именем Microsoft Edge. Щелкните правой кнопкой мыши на каждой из них и выберите Завершить задачу.

Safari

Необходимо удалить опасные расширения:

1. Нажмите на знак Safari.
2. Перейдите в Параметры.
3. Появится новое окно, в котором нужно выбрать Расширения.
4. Выберите нежелательное расширение и нажмите кнопку Uninstall.

Очистить куки с данными сайта

1. Нажмите на значок Safari и выберите Очистить историю.
2. Под пунктом Очистить появится выпадающее меню, в котором нужно выбрать всю историю.
3. Подтвердите свой выбор.

1. Нажмите на знак Safari, чтобы выбрать Настройки.
2. Нажмите на вкладку Advanced.
3. Поставьте галочку напротив Show Develop menu.
4. Далее нажмите кнопку Develop и выберите Empty Caches.

Все мы знаем, что Интернет продолжает стремительно развиваться, становясь все более обширным. Каждый пользователь не должен забывать защищать свою систему от вирусов типа Neshta virus.

Все мы знаем, что Интернет продолжает стремительно развиваться, становясь все более обширным. Каждый пользователь не должен забывать защищать свою систему от вирусов типа Neshta virus.

Инструкции по удалению Neshta virus

Шаг 1:
Разрешите AVarmor просканировать ваш компьютер на наличие вредоносных программ и других вирусов.

Шаг 2:
Нажмите «Восстановить», чтобы исправить проблемы с вредоносным ПО.

Прожектор угроз: Файловый вирус Neshta

Neshta — довольно старый файловый вирус, который до сих пор широко распространен. Изначально он был обнаружен в 2003 году и ранее ассоциировался с вредоносным ПО BlackPOS. Он добавляет вредоносный код в зараженные файлы. В основном эта угроза попадает в среду посредством непреднамеренной загрузки или с помощью других вредоносных программ. Он заражает исполняемые файлы Windows и может атаковать сетевые ресурсы и съемные носители.

В 2018 году Neshta преимущественно ориентировалась на обрабатывающую промышленность, но также атаковала финансовый, потребительский и энергетический секторы. В целях устойчивости в системе Neshta переименовывает себя в svchost.com, а затем изменяет реестр, чтобы он запускался каждый раз при запуске .exe файла. Известно, что эта угроза собирает системную информацию и использует POST запросы для эксфильтрации данных на сервера, контролируемые злоумышленниками. Двоичные файлы Neshta, использованные в нашем анализе, не продемонстрировали поведение или функциональность эксфильтрации данных.

Технический анализ

В этом разделе описываются симптомы заражения Neshta. Мы взяли образцы вируса закачанные на VirusTotal в 2007, 2008 и 2019.

Мы проанализировали файлы со следующими SHA-256 хэшами:

• 29fd307edb4cfa4400a586d38116a90ce91233a3fc277de1cab7890e681c409a
• 980bac6c9afe8efc9c6fe459a5f77213b0d8524eb00de82437288eb96138b9a2
• 539452719c057f59238e123c80a0a10a0b577c4d8af7a5447903955e6cf7aa3d
• a4d0865565180988c3d9dbf5ce35b7c17bac6458ef234cfed82b4664116851f2
• 46200c11811058e6d1173a2279213d0b7ccde611590e427b3b28c0f684192d00
• c965f9503353ecd6971466d32c1ad2083a5475ce64aadc0b99ac13e2d2c31b75

Статический анализ файла

Код Neshta скомпилирован с помощью Borland Delphi 4.0. Размер файла обычно составляет 41,472 байта.

Как и любой бинарный файл Delphi, Neshta имеет четыре записываемых (DATA, BSS, .idata и .tls) и три разделяемых секции (.rdata, .reloc и .rsrc):

Рисунок 1. Особенности хедеров секций.

Кроме того, код Neshta демонстрирует любопытные строки — см. рисунок 2 ниже:

беларус_кiм дзяучатам. Аляксандр Рыгоравiч, вам таксама 🙂 Восень- кепская пара… Алiварыя — лепшае пiва! Best regards 2 Tommy Salo. [Nov-2005] yours [Dziadulja Apanas]”
(«Delphi — лучший. Остальные идут на***. Neshta 1.0 Сделано в Беларуси. Привет всем

белорус_ким девчонкам. Аляксандр Григорьевич, вам тоже 🙂 Осень — плохая пара… Аливария — лучшее пиво! С наилучшими пожеланиями для Томми Сало. [Ноябрь-2005] ваш [Дедуля Апанас])»

Рисунок 2: Интересные строки в теле вируса

Заражение файлов

Основной особенностью Neshta является файловый заражатель, который ищет .exe файлы на локальных дисках. Neshta нацелен на «.exe» файлы, исключая лишь те, которые содержат в своем коротком пути любую из следующих строк:

• %Temp%
• %SystemRoot% (usually C:\Windows)
• \PROGRA

Сводка процесса заражения описана ниже и на рисунке 3.

1. Считывает 41,472 (0xA200) байта с начала целевого исходного файла.
2. Создает два раздела и выделяет память с атрибутом PAGE_READWRITE в начале и конце исходного файла.
3. Помещает свой вредоносный заголовок и код в начале исходного файла. Записанные данные составляют 41,472 байта.
4. Записывает закодированный исходный заголовок и код в файл, размер которого составляет 41,472 байта.

Эти действия позволяют запускать вредоносный код сразу после запуска зараженного файла:

Рисунок 3: Заражение файла

При запуске зараженного файла исходная программа помещается в %Temp%\3582-490\<filename> и запускается с помощью WinExec API.

Устойчивость

Neshta помещает себя в C:\Windows\svchost.com и устанавливает себя в реестр, используя следующие параметры:

Ключ реестра: HKLM\SOFTWARE\Classes\exefile\shell\open\command
Значение реестра: (Default)
Значение: %SystemRoot%\svchost.com «%1» %*
Это изменение реестра предписывает системе запускать Neshta при каждом запуске .exe-файла. «%1» %* указывает на запущенный файл .exe. Кроме того, Neshta создает именованный мьютекс для проверки существования другого работающего экземпляра:

MutexPolesskayaGlush*.*<0x90>svchost.com<0x90>exefile\shell\open\command‹À «%1» %*œ‘@

Еще один внедряемый файл — «directx.sys», который отправляется в %SystemRoot%. Это текстовый файл (а не драйвер ядра), который содержит путь к последнему зараженному файлу для запуска. Он обновляется каждый раз, когда исполняется зараженный файл.

BlackBerry Cylance останавливает Neshta

BlackBerry Cylance использует агентов на основе искусственного интеллекта, обученных обнаружению угроз на миллионах как безопасных, так и небезопасных файлов. Наши автоматизированные агенты безопасности блокируют Neshta, основываясь на множестве атрибутов файлов и вредоносном поведении, вместо того, чтобы полагаться на конкретную подпись файла. BlackBerry Cylance, которая предлагает прогнозное преимущество перед угрозами нулевого дня, обучена и эффективна против новых и известных кибератак. Для получения более подробной информации посетите https://www.cylance.com.

Приложение

Показатели компрометации (IOCs)

• Хэши

• Имена файлов

• C2s/IPs
• Мьютексы

• Интересные строки

беларус_кiм дзяучатам. Аляксандр Рыгоравiч, вам таксама 🙂 Восень- кепская пара… Алiварыя — лепшае пiва! Best regards 2 Tommy Salo. [Nov-2005] yours [Dziadulja Apanas]