Обнаружение угрозы в памяти - Форум технической поддержки ESET NOD32

Сообщений: 4

Баллов: 2

Регистрация: 20.06.2013

Размещено 20.06.2013 03:02:08

Помогите пожалуйста удалить вирус.
Лог:

Прикрепленные файлы

LOGIC123_2013-06-20_02-45-13.7z (312.79 КБ)

Сообщений: 17972

Баллов: 28754

Регистрация: 16.03.2010

Размещено 20.06.2013 05:48:25

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.80.6 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE delref HTTP://WEBALTA.RU/SEARCH delref HTTP://WEBALTA.RU/SEARCH?FROM=FF&Q= delall %SystemDrive%\DOCUMENTS AND SETTINGS\IRINA.LOGIC123\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE fixvbr C: 5 delref HTTP://SKNT.RU/ deltmp delnfr exec C:\Program Files\McAfee Security Scan\uninstall.exe ; Java(TM) 6 Update 24 exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216022FF} /quiet restart

Код

;uVS v3.80.6 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
OFFSGNSAVE
delref HTTP://WEBALTA.RU/SEARCH
delref HTTP://WEBALTA.RU/SEARCH?FROM=FF&Q=
delall %SystemDrive%\DOCUMENTS AND SETTINGS\IRINA.LOGIC123\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE
fixvbr C: 5
delref HTTP://SKNT.RU/
deltmp
delnfr
exec C:\Program Files\McAfee Security Scan\uninstall.exe
; Java(TM) 6 Update 24
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216022FF} /quiet
restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
добавьте лог выполнения скрипта из папки uVS
(файл с именем дата_времяlog.txt)

Изменено: santy - 20.06.2013 05:50:32

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 20.06.2013

Размещено 20.06.2013 11:40:30

Сделала все, но проблема осталась...

Прикрепленные файлы

2013-06-20_11-29-13_log.txt (28.89 КБ)

Сообщений: 17972

Баллов: 28754

Регистрация: 16.03.2010

Размещено 20.06.2013 11:44:47

это ожидаемый результат, активный троян не дал переписать зараженный загрузчик

Цитата
fixvbr C: 5 -------------------------------------------------------- Запись загрузчика в VBR: C: Ошибка записи [Запрос не был выполнен из-за ошибки ввода/вывода на устройстве. ]

Скачайте, распакуйте и запустите TDSSKiller:
http://media.kaspersky.com/utilities/VirusUtilities/RU/tdsskiller.zip
Если программа найдет файл WINDOWS\system32\Drivers\sptd.sys, то не удаляйте его.
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.

Изменено: santy - 20.06.2013 11:52:37

[ Как создать образ автозапуска? ]

Сообщений: 17972

Баллов: 28754

Регистрация: 16.03.2010

Размещено 20.06.2013 11:45:32

обновил сообщение

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 20.06.2013

Размещено 20.06.2013 12:00:05

Сделала.

Прикрепленные файлы

TDSSKiller.2.8.18.0_20.06.2013_11.51.24_log.txt (78.6 КБ)
TDSSKiller.2.8.18.0_20.06.2013_11.54.12_log.txt (6.35 КБ)

Сообщений: 17972

Баллов: 28754

Регистрация: 16.03.2010

Размещено 20.06.2013 12:14:44

tdsskiller должен был пролечить зараженный загрузчик

Цитата
11:51:46.0296 2144 Scan finished 11:51:46.0296 2144 ============================================================ 11:51:46.0296 1104 Detected object count: 2 11:51:46.0296 1104 Actual detected object count: 2 11:52:26.0437 1104 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - skipped by user 11:52:26.0437 1104 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - User select action: Skip 11:52:26.0484 1104 \Device\Harddisk0\DR0\Partition1 - copied to quarantine 11:52:26.0484 1104 \Device\Harddisk0\DR0\Partition1 ( Rootkit.Boot.Cidox.b ) - will be cured on reboot 11:52:26.0484 1104 \Device\Harddisk0\DR0\Partition1 - ok 11:52:26.0484 1104 \Device\Harddisk0\DR0\Partition1 ( Rootkit.Boot.Cidox.b ) - User select action: Cure 11:52:55.0171 1316 Deinitialize success

Цитата

11:51:46.0296 2144 Scan finished
11:51:46.0296 2144 ============================================================
11:51:46.0296 1104 Detected object count: 2
11:51:46.0296 1104 Actual detected object count: 2
11:52:26.0437 1104 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - skipped by user
11:52:26.0437 1104 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - User select action: Skip
11:52:26.0484 1104 \Device\Harddisk0\DR0\Partition1 - copied to quarantine
11:52:26.0484 1104 \Device\Harddisk0\DR0\Partition1 ( Rootkit.Boot.Cidox.b ) - will be cured on reboot
11:52:26.0484 1104 \Device\Harddisk0\DR0\Partition1 - ok
11:52:26.0484 1104 \Device\Harddisk0\DR0\Partition1 ( Rootkit.Boot.Cidox.b ) - User select action: Cure
11:52:55.0171 1316 Deinitialize success

перегрузите систему,

и проверьте результат. находится Carberp в памяти или нет.

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 20.06.2013

Размещено 20.06.2013 12:24:27

Перезагрузила, проверила память антивирусом.
Ничего не находит)
Спасибо вам большое!

Сообщений: 17972

Баллов: 28754

Регистрация: 16.03.2010

Размещено 20.06.2013 12:26:36

хорошо,

далее, выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

[ Закрыто ] Обнаружение угрозы в памяти , Оперативная память = explorer.exe (176). Угроза: модифицированный Win 32/ Trojan Downloader. Carberp.AF Троянская программа. Очистка невозможна