есть подозрение, что Carberp дополнительно пытается заразить систему еще и Expiro. Часто стали встречаться подобные темы.

Еще экземпляры маленькие появились - по 107 кб. Уменьшаются гады
http://pchelpforum.ru/f26/t80371/
И почему-то антивирус никак не реагирует на него, человек жалуется только на Spy.Shiz. Nod не детектит его, хотя большинство ведущих вендоров уже его обнаруживают. Откуда они так быстро их находят?

возможно, тоже уловка, чтобы startup scanner задетектил Spy.Shiz, а Carberp остался незаметным

Это странная история.
Если человек находит вирус - то он будет проверять систему на все возможные угрозы.
Для большинства пользователей вирус это только вирус - и соответственно, до его/их названия ему дела нет.
До этого были случаи когда наоборот вирусы прибивали своих собратьев/конкурентов, чтобы к себе внимания не привлекать.
А теперь решили пойти от обратного?

Да нет...
Видимо это нацеленно на прямое уничтожение системы.
Т.е. схема такая:
Заразили машину Carberp - Увели нужные пороли...
После получения данных/кодов производиться заражение Expiro.
Пользователь, получив от Антивируса предупреждение - понимает, что система заражена и соответственно банковскими и прочими услугами
не пользуется - пробует лечить систему.
Или же система сама тихо издыхает...
В результате получается Тайм аут...
И в это время пока человек думает, как же ему жить дальше - деньги уводят со счёта.    

Доп. темы плодить не стал.

http://forum.esetnod32.ru/forum6/topic3329/?PAGEN_1=3

да, вообщем понятно.
uVS может быть закрыт после выполнения скрипта adddir+ crimg, и после нового запуска файлики добавленные в предыдущей сессии через adddir
не попадают в автозапуск,
а поскольку chklst проверяет только список автозапуска (и ничего больше, если не добавлено скриптом), то соответственно delvir "не дотягивается" до файлов из
тут или удалять по прямому пути надо был через delall, или использовать в текущем скрипте adddir (в примере RP55) перед проверкой по сигнатурам
(неплохой пример для науки.)

Вчера был номер:
Звонит знакомый и говорит:
Комп не работает.
Я спрашиваю, что совсем ?
Он: Да.
Я: А, что предшествовало поломке ?
ОН: Сестра в Одноклассники заходила.
Вышла страница: "Ваш новый код - Подтвердите"...
Подтвердила...
После чего Вышла проветриться...
Приходит...
Светодиод на системном блоке светиться синеньким и всё...
Больше ничего не происходит !
Перезагрузка не помогает.

Система W7/Ult 32b.
Ну Я приехал...
Экран чёрный - и надпись...Спящий режим.
Думаю - надо сначала железо проверить/визуально
Отсоединил монитор - подключил.
Монитор Пишет - проверить кабель/подключение.
Питание подаётся...
Но на экран даже картинка от BIOS не выводиться.
Я думаю - и чего делать ?
Стоит здоровенная видеокарта с пломбой и перекрывает батарейку BIOS - так, что даже её не вытащить, чтобы всё обнулить.
USB - выходы не работают.
Клавиатура SP2 не работает.
Я говорю: Где бумаги по гарантийному обслуживанию ?
Он: Надо искать.
Я думаю - надо ещё покопаться.
Отсоединил монитор.
Потом HDD диск SATA.1Tb
Подключил монитор - загнал в дисковод ( он работал ) Live CD
Раза 2-3 перезагрузился - Смотрю Live CD загружается...
Изображение на монитор идёт.
И заработала клавиатура - а мыша не работает.
Взял другой диск - с ним всё работает.
Думаю - значит ели Live CD пашет - то дело точно не в железе - машина новая - да и "Одноклассники" с их кодом...
Подключил HDD + Live CD - проверяю uVS - вроде всё нормально все загрузчики в списке проверенных.
Думаю: Ерунда какая то !  
Запустил: TDSSKiller.exe
Он находит: Rootkit.Win32.BackBoot.gen сектор: 0
Действия - ничего внятного не предлагает...
Опять запускаю TDSSKiller...
Опять ерунда...
В конце концов всё таки очистил !
Система - загрузилось и всё работает...
В общем такая вот история.  
Совсем измучили человека !  

ну, а образ автозапуска зараженной системы из под Live.CD + логи tdsskiller как всегда не делаешь для истории.

по Spy.Shiz пошла следующая тенденция. файл имеет цифровую подпись. При создании полного образа автозапуска получает статус "ПРОВЕРЕННЫЕ", и не будет виден в списке подозрительных.
необходимо или проверять категорию ВСЕ, или сбрасывать флажок проверенные в категории ПОДОЗРИТЕЛЬНЫЕ И ВИРУСЫ.
---------------

1.Настроить критерий/поиска по данному производителю.
2.Поддержать моё предложение по развитию uVS - в плане удаления объектов по производителю.