Что это за вирус nsis

На самом деле эта история началась спонтанно. Достаточно в большую сеть попал зловред который начал везде распихивать файл DOC001.exe , на который начал ругаться антивирь. Но как всегда бывает, антивирь был не везде, пользователи тыкают на все подряд и лечить в ручную стало проблематично.Собственно я решил исследовать что же делает этот паразит )))

Для начало нам нужен тестовый стенд, думаю вы не захотите запускать любую опасную программу на своем компе. Я просто сделал виртуальную машину (песочницу) на VirtualBox . Вы можете использовать любую виртуализацию или просто чистый компьютер. Еще удобно использовать контрольные точки виртуальной машины что бы откатить на чистую систему после экспериментов.

Идея моя простая. Я просто создал виртуальную машину на винде, отключил ей сеть и т.д. Что бы отслеживать что делает вирус я установил программу Process Monitor . Это конечно не reverse engineering но до этого мы тоже дорастем )))

Process Monitor — бесплатная утилита для 32-битных и 64-разрядных операционных систем Microsoft Windows, разработанная Sysinternals, и затем приобретённая Microsoft Corporation.

Отличная программа для мониторинга операционной системы, отслеживает изменения реестра, файловой системы, сетевую активность , процессы. Пишет логи, показывает дерево процессов , есть фильтры и поиск. Вообщем огонь ))))

Открываем диспетчер задач, видим что клиент запустился и работает :

Дальше будет много фоток и всякой ерунды. Теперь переходим к Process Monitor и ищем начало запуска программы :

По началу вам наверное будет тяжело с этим разобраться , но освоившись с интерфейсом программы и полазив пару часов в логах все будет Ок )))

Дальше он там что то делает , туда сюда , реестр и танцы с бубном. Следующий интересный момент : он копирует себя в c:\Users\test\AppData\Roaming\Temps\DOC001.exe и запускает. На этом история запущенного файла заканчиваться и работает уже скопированный экземпляр. Собственно по дереву процессов видно что PID разный и хронологию событий.

Дальше он распаковывает c:\Users\test\AppData\Roaming\Temps\ сам майнер , а в Local/Temp — inetc.dll . Дальше он создает ярлык в автозагрузке пользователя explorer.lnk

Теперь пришла стадия , е***сь и плодись ))) Троян запускает cmd.exe с чертовски длинной командной строкой, там и циклы и условия. Я вообще не знал что так можно в терминале Винды. Краткий смысл : скопировать себя во все доступные сетевые шары, диски и т.д.

Вообщем без Инета живется зловреду очень скучно. Он так по кругу и сканирует сеть, пытается размножаться и даже не может запустить майнер.

Покопаемся немного еще . Если он достает майнер , библиотеке, значит он запакован или типа того. Берем хорошую программку CFF Explorer и смотрим что это вообще за исполняемый файл .

Тут мы видим какие dll использует файл , манифест , всякая служебная информация. Но самое главное понятно что это Nullsoft Scriptable Install System . По сути установочник под Винду с использование скриптов и т.д.

Nullsoft Scriptable Install System (NSIS) — система создания установочных программ для Microsoft Windows с открытым исходным кодом, разработанная компанией Nullsoft — автором плеера Winamp. NSIS и был задуман как альтернатива InstallShield .

С пакетом NSIS поставляются несколько плагинов, позволяющих добавлять новые страницы, заменять фоновые изображения, скачивать файлы из Интернета, выполнять математические вычисления, обновлять файлы и др.

Еще отлична программка Detect It Easy, юзаем ее тоже.

Можно его распаковать Universal Extractor , если вам хочется. На этом первая часть исследования закончена, во второй (которой еще нету) подкинем бедняге инет, БУДЕТ ВЕСЕЛО )))

p, blockquote 1,0,0,0,0 -->

Как мы знаем, NSIS инсталляторы широко используются для установки программного обеспечения. Однако, если по какой-то причине загруженный файл был изменен, появится ошибка NSIS error. Если процесс установки продолжается, несмотря на ошибку, программа не будет правильно установлена.

p, blockquote 2,0,0,0,0 -->

При попытке установить программное обеспечение, которое использует NSIS как установщик, могут отображаться следующие NSIS сообщения об ошибке в зависимости от версии NSIS.

p, blockquote 3,0,0,0,0 -->

Для более старых версий НСИ ( ниже, чем Версия 2.35)

p, blockquote 4,0,0,0,0 -->

The installer You are trying to use is corrupted or incomplete.
Появление этой ошибки может быть результатом поврежденного диска, сбой загрузки или действие вируса. Вам необходимо будет связаться с автором этого установщика, чтобы можно было получить новую копию установщика. Эту проверку можно пропустить с помощью командной строки /НКРС . (НЕ РЕКОМЕНДУЕТСЯ).

p, blockquote 5,0,1,0,0 -->

Для более новых версий NSIS

p, blockquote 6,0,0,0,0 -->

Installer integrity check has failed. Распространенные причины такой ошибки включают в себя — incomplete download and damaged media. Свяжитесь с автором установщика, для получения новой копии.

p, blockquote 7,0,0,0,0 -->

◇ Компьютер может быть заражён вирусом.
◇ Неполная загрузка программы из Интернета.
◇ Исходный файл был изменен после загрузки.
◇ Из-за аппаратной ошибки.
◇ Неправильно сделаны настройки конфигурации системы.
◇ В системе установлен межсетевой экран.

p, blockquote 8,0,0,0,0 -->

▷ Ошибка из-за вируса: возможная причина ошибки NSIS может быть проникновение вируса в вашу систему. Если в вашей системе установлена антивирусная программа, проверьте, обновление её баз virus definitions are up-to-date. Если это не так, обновите антивирус. Попробуйте запустить установщик. Если это не помогает, отключите существующее антивирусное программное обеспечение. Попробуйте установить нужную программу снова.

p, blockquote 9,0,0,0,0 -->

▷ Ошибка из-за прерванной загрузки: если загрузка программного обеспечения не выполнена, из-за причин, таких как плохое Интернет-подключение или отключение электроэнергии, сделайте очистку кэша браузера перед повторной установкой программы.

p, blockquote 10,1,0,0,0 -->

▷ Ошибка из-за измененного файла: файлом манипулировали в некотором роде при его загрузке в систему. Это одна из самых важных причин для NSIS error. Это можно устранить путем повторной загрузки установщика.

p, blockquote 11,0,0,0,0 -->

▷ Ошибка из-за аппаратных проблем: если программа будет установлена на съемный диск, CD или DVD, и если всплывает NSIS ошибка, проверьте, как открываются другие файлы с этого диска. Если нет, то это означает, что диск поврежден. Извлеките и протрите диск чистой тканью с помощью очищающей жидкости. Вставьте диск в систему и запустите программу установки.

p, blockquote 12,0,0,0,0 -->

▷ Ошибка из-за неправильной настройки системы: некоторым драйверам Windows может потребоваться updation. Убедитесь, что все драйвера обновлены, прежде чем пытаться повторно запустить установщик.

p, blockquote 13,0,0,0,0 -->

▷ Ошибка из-за установленных брандмауэров: если firewall установлен на вашей системе, он может ограничить установку новой программы. Чтобы избежать этого, отключите Firewall settings, пока программа не будет установлена. После установки программы, брандмауэр должен быть включен.

p, blockquote 14,0,0,0,0 -->

▷ Ошибка из-за Download Manager программы: если система имеет любые ускорители, чтобы ускорить процесс загрузки, это может привести к ошибке NSIS error. Удалите все подобные программы. Запустите установщик снова.

p, blockquote 15,0,0,1,0 -->

▷ Ошибка из-за проблем с сервером: на сервере могут возникнуть некоторые технические глюки, или файл может быть поврежден на сервере. Это редкий сценарий, который нельзя избежать. Переустановите программу, чтобы проверить, если файл является подлинным. Если нет, то скачайте его повторно с доверенного сайта.

p, blockquote 16,0,0,0,0 -->

Если ни один из методов не работает в вашу пользу, необходимо скачать установочный файл на любой другой компьютер и скопировать файл установки на данный компьютер.

p, blockquote 17,0,0,0,0 -->

Если вы удалили антивирусную программу для решения ошибки NSIS error, убедитесь, что вы установили антивирусную программу, так как ваша система будет находиться в опасности от вирусов, если Вы не сделаете этого.

p, blockquote 18,0,0,0,0 -->

Если загруженный файл, кажется, поврежден, попробуйте скачать его с другого веб-сайта.

p, blockquote 19,0,0,0,0 --> p, blockquote 20,0,0,0,1 -->

Если Вы попробовали вышеперечисленные методы, и вы всё ещё не в состоянии разрешить ошибки NSIS error, получите справку у издателя приложения, которое вы пытались установить.

Название угрозы: NSIS

Исполяемый файл: rundll32.exe * icdd7ee6.dll, EnableRunDLL32

Тип угрозы: Adware

Затронутые ОС: Win32/Win64 (Windows XP, Vista/7, 8/8.1, Windows 10)

Способ заражения NSIS

устанавливается на ваш компьютер вместе с бесплатными программами. Этот способ можно назвать "пакетная установка". Бесплатные программы предлагают вам установить дополнительные модули (NSIS). Если вы не отклоните предложение установка начнется в фоне. NSIS копирует свои файлы на компьютер. Обычно это файл rundll32.exe * icdd7ee6.dll, EnableRunDLL32 . Иногда создается ключ автозагрузки с именем NSIS и значением rundll32.exe * icdd7ee6.dll, EnableRunDLL32 . Вы также сможете найти угрозу в списке процессов с именем rundll32.exe * icdd7ee6.dll, EnableRunDLL32 или NSIS. также создается папка с названием NSIS в папках C:\Program Files\ или C:\ProgramData. После установки NSIS начинает показывать реламные баннеры и всплывающую рекламу в браузерах. рекомендуется немедленно удалить NSIS. Если у вас есть дополнительные вопросы о NSIS, пожалуйста, укажите ниже. Вы можете использовать программы для удаления NSIS из ваших браузеров ниже.

Скачайте утилиту для удаления

Скачайте эту продвинутую утилиту для удаления NSIS и rundll32.exe * icdd7ee6.dll, EnableRunDLL32 (загрузка начнется немедленно):

* Утилита для удаления был разработан компанией EnigmaSoftware и может удалить NSIS автоматически. Протестирован нами на Windows XP, Windows Vista, Windows 7, Windows 8 и Windows 10. Триальная версия Wipersoft предоставляет функцию обнаружения угрозы NSIS бесплатно.

Функции утилиты для удаления

Удаляет файлы созданные NSIS.
Удаляет ключи реестра созданные NSIS.
Активируйте активную защиту для предотвращения заражения.
Решите побочные проблемы с браузерами (реклама, перенаправления).
Удаление гарантировано - если Wipersoft не справляется обратитесь за бесплатной поддержкой.
Тех. поддержка в режиме 24/7 включена в предложение.

Скачайте Spyhunter Remediation Tool от Enigma Software

Скачайте антивирусные сканер способный удалить NSIS и rundll32.exe * icdd7ee6.dll, EnableRunDLL32 (загрузка начнется немедленно):

Функции Spyhunter Remediation Tool

Удаляет файлы созданные NSIS.
Удаляет ключи реестра созданные NSIS.
Устраняет браузерные проблемы.
"Утилита для удаления тулбаров" поможет избавиться от нежелательных дополнений.
Удаление гарантировано - если Spyhunter Remediation Tool не справляется обратитесь за бесплатной поддержкой.
Тех. поддержка в режиме 24/7 включена в предложение.

We noticed that you are on smartphone or tablet now, but you need this solution on your PC. Enter your email below and we’ll automatically send you an email with the downloading link for NSIS Removal Tool, so you can use it when you are back to your PC.

Наша служба тех. поддержки удалит NSIS прямо сейчас!

Здесь вы можете перейти к:

Как удалить NSIS вручную

Проблема может быть решена вручную путем удаления файлов, папок и ключей реестра принадлежащих угрозе NSIS. Поврежденные NSIS системные файлы и компоненты могут быть восстановлены при наличии установочного пакета вашей операционной системы.

Чтобы избавиться от NSIS, необходимо:

1. Остановить следующие процессы и удалить соответствующие файлы:

jnspeedupdate2_5full.exe
jnspeedupdate2_6full.exe
nzhispeedupdate.exe
nzsearch.exe
su7nh2.exe
uninstall deskflag.exe

Предупреждение: нужно удалить только файлы с именами и путями указанными здесь. В системе могут находится полезные файлы с такими же именами. Мы рекомендуем использовать утилиту для удаления NSIS для безопасного решения проблемы.

2. Удалить следующие вредоносные папки:

%programfiles%\netzero\staging\
%programfiles%\tiger technologies\deskflag\

3. Удалить следующие вредоносные ключи реестра и значения:

Предупреждение: если указано значение ключа реестра, значит необходимо удалить только значение и не трогать сам ключ. Мы рекомендуем использовать для этих целей утилиту для удаления NSIS.

Удалить программу NSIS и связанные с ней через Панель управления

Мы рекомендуем вам изучить список установленных программ и найти NSIS а также любые другие подозрительные и незнакомы программы. Ниже приведены инструкции для различных версий Windows. В некоторых случаях NSIS защищается с помощью вредоносного процесса или сервиса и не позволяет вам деинсталлировать себя. Если NSIS не удаляется или выдает ошибку что у вас недостаточно прав для удаления, произведите нижеперечисленные действия в Безопасном режиме или Безопасном режиме с загрузкой сетевых драйверов или используйте утилиту для удаления NSIS.

Windows 10

Кликните по меню Пуск и выберите Параметры.
Кликните на пункт Система и выберите Приложения и возможности в списке слева.
Найдите NSIS в списке и нажмите на кнопку Удалить рядом.
Подтвердите нажатием кнопки Удалить в открывающемся окне, если необходимо.

Windows 8/8.1

Кликните правой кнопкой мыши в левом нижнем углу экрана (в режиме рабочего стола).
В открывшимся меню выберите Панель управления.
Нажмите на ссылку Удалить программу в разделе Программы и компоненты.
Найдите в списке NSIS и другие подозрительные программы.
Кликните кнопку Удалить.
Дождитесь завершения процесса деинсталляции.

Windows 7/Vista

Кликните Пуск и выберите Панель управления.
Выберите Программы и компоненты и Удалить программу.
В списке установленных программ найдите NSIS.
Кликните на кнопку Удалить.

Windows XP

Кликните Пуск.
В меню выберите Панель управления.
Выберите Установка/Удаление программ.
Найдите NSIS и связанные программы.
Кликните на кнопку Удалить.

Удалите дополнения NSIS из ваших браузеров

NSIS в некоторых случаях устанавливает дополнения в браузеры. Мы рекомендуем использовать бесплатную функцию "Удалить тулбары" в разделе "Инструменты" в программе Spyhunter Remediation Tool для удаления NSIS и свяанных дополнений. Мы также рекомендуем вам провести полное сканирование компьютера программами Wipersoft и Spyhunter Remediation Tool. Для того чтобы удалить дополнения из ваших браузеров вручную сделайте следующее:

Предупреждение: Эта инструкция лишь деактивирует дополнение. Для полного удаления NSIS используйте утилиту для удаления NSIS.

Google Chrome

Запустите Google Chrome.
В адресной строке введите chrome://extensions/.
В списке установленных дополнений найдите NSIS и кликните на иконку корзины рядом.
Подтвердите удаление NSIS.

Mozilla Firefox

Запустите Firefox.
В адресной строке введите about:addons.
Кликните на вкладку Расширения.
В списке установленных расширений найдите NSIS.
Кликните кнопку Удалить возле расширения.

Защитить компьютер и браузеры от заражения

Рекламное программное обеспечение по типу NSIS очень широко распространено, и, к сожалению, большинство антивирусов плохо обнаруживают подобные угрозы. Чтобы защитится от этих угроз мы рекомендуем использовать SpyHunter, он имеет активные модули защиты компьютера и браузерных настроек. Он не конфликтует с установленными антивирусами и обеспечивает дополнительный эшелон защиты от угроз типа NSIS.

Problem Summary: NSIS error

I have a nice day. I have a problem how to install ReimageRepair and other programs

I can not install programs always showing me NSIS error.
I can not do Windows update because you can not download the Browser link to install Windows 7 and Windows Server 2008 R2 Service Pack 1 (KB976932) Please help. Always show NSIS error.