Да, но на (загрузчик) в памяти Carberp.A был всегда детект. хоть и без лечения.

МBР-VBR это всего лишь запись или место автозапуска, мы веть не лечим трояны удалением только сслылок на авто запуск в рееестре. Или не кричим что Касперский не видит, и не удаляет ключ реестра!!!


santy  
внимательней нужно быть, этот Carberp загружается в процессы!!! В некоторые. НЕТ ПРОЦЕССА нет Carberp в памяти.



У меня на Windows 7 SP1 64 бит это так.
Virus signature database: 6884 (20120214)
Update module: 1037 (20110921)
Antivirus and antispyware scanner module: 1341 (20120209)
Advanced heuristics module: 1121 (20111208)
Archive support module: 1140 (20120210)
Cleaner module: 1053 (20120120)
Anti-Stealth support module: 1028P (20120109)
Personal firewall module: 1073 (20111221)
Antispam module: 1021 (20120124)
ESET SysInspector module: 1221B (20110623)
Self-defense support module: 1018 (20100812)
Real-time file system protection module: 1006 (20110921)
Translation support module: 1034 (20111214)
HIPS support module: 1042 (20120213)
Internet protection module: 1031 (20120123)
Web content filter module: 1009 (20110705)
Advanced antispam module: 1019 (20111202)
Database module: 1018 (20120203)




У меня не видит только когда в памяти нет процесса iexplore.exe. Потому-что Carberp некуда не загружается, в память. У меня видит, значит у всех видит, даже если нет файла в базах.

Сам дроппер, детектируется в памяти до перезагрузки ПК, даже если файла нет в базах. Вот так:

И какая система лечения будет наиболее правильной ?  
Будет ли в связи с этим модернизирован uVS ...
Если TDSS и VBA32 лечат - значит такая возможность есть.  

по uVS. такая возможность всегда есть. пролечить с WinPe&uVS.
по браузерам: Firefox с ошибкой о перемещении user32.dll в памяти.
Картинка после запуска IE:
согласен, есть детект в памяти.

Да... но TDSS для лечения Live CD ненужен...
Вот бы uVS подтянуть.    

TDsskiller, vba32arkit - это специализированные антируткиты, они заточены на лечение руткитов_буткитов из активной системы.

Вот, а я уже испугался. Вылечить для меня не проблема, что угодно.

santy

NOD32 видит в памяти и может детектировать с точным вердиктом любые дропперы, без добавления в базы. Это нельзя обойти защитой файла, любым протектором, с измененным исходным кодом тоже ловятся, плюс сюда подключается Live Grid(не все так просто).

Вот если нам доделают расширенную эвристику запуска файла(которая давно уже как бы есть), любая зверушка будит выносится в перед ногами ещё до того как она что либо выполнит.

А другие пусть безуспешно борются с ветряными мельницами!

посмотрю сегодня систему по методу поиска руткитов в uVS, может еще будут какие  то нюансы замечены.

да, тоже хотелось бы понять твою логику. что значит видит дроперы в памяти? и долго они там висят? если бы видел, то не давал бы исполниться зловредному коду. дропер запускается, кидает библиотеку в систему (или другой файл), делает в реестре свое дело и все, на этом его работа окончена. дропер - это тот же контейнер для виря. вирус может не меняться, но меняется код контейнера, чтоб антивирусы не ругались.