Оперативная память - модифицированный Win32/Dorkbot.B червь - очистка невозможна

Сообщений: 18

Баллов: 9

Регистрация: 26.10.2012

Размещено 26.10.2012 11:39:19

Пишет

Обнаружена угроза в памяти!

Обьект:
Оперативная память=winlogon.exe(616)
Угроза:
модифицированный Win32/Dorkbot.B червь
Информация:
очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 26.10.2012 11:50:27

сделайте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Сообщений: 18

Баллов: 9

Регистрация: 26.10.2012

Размещено 26.10.2012 12:10:16

вот http://rghost.ru/41163294

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 26.10.2012 12:44:29

сделайте образ автозапуска в безопасном режиме

[ Как создать образ автозапуска? ]

Сообщений: 18

Баллов: 9

Регистрация: 26.10.2012

Размещено 26.10.2012 12:58:18

http://rghost.ru/41163920

Сообщений: 18

Баллов: 9

Регистрация: 26.10.2012

Размещено 26.10.2012 13:17:39

и еще вчера комп вырубился в момент , включил комп , к вай фаю подключится не может пишет ограниченный доступ , попробывал через локал все также, щас пишу с другого компа ибо с другого нив какую в инет не заходит

Сообщений: 18

Баллов: 9

Регистрация: 26.10.2012

Размещено 26.10.2012 13:19:07

вот думаю это из-за этого вируса или что-то другое

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 26.10.2012 13:47:06

Здравствуйте!

Выполните следующий скрипт в uVS:
- запускаете программу еще раз, ожидаете пока закончится построения списка (убедитесь что программа извлечена из архива в отдельную папку. не нужно запускать ее из самого архива);
- копируете следующий текст из поля "Код" в буфер обмена (выделяете текст мышкой, затем щелкаете правой кнопкой и выбираете Копировать текст);

Код
;;uVS v3.76 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 bl 059FFB75D74173521F4E3BEC425D8E7F 1534976 addsgn 1AD78B9A5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 16 Praetorian bl 4060317E55F2D948B08C8D70C9561F19 1462376 addsgn 1A16FB9A5583C58CF42B254E3143FE86C99A5DCA49AE1F4B404A8040DB83691F10CC95000586E356A0C590148C5F71E209D7A8499EAF46AFE4882FEDECC76A48 8 MailUpD bl 8EB6DE881646E15F415DB65B1D8F1F64 260752 addsgn 9252770A126AC1CC0B54564E334BDFFACE9A6C66196A8FE80FC583345791709756104849BDBB6158F0F26927471649FA7C049D75DEC433C2D1667F3E0707F900 8 SkyMon53 bl 932A908010ACA045C0172760ECB09840 97280 addsgn A7679B1BB97248720B822584480452054F8A71736101E087D5048050EE29AEF149170412CAE86296967F52A230933FFE7259EF7255DA83ECC4D8A52FC751A94E 8 Trojan-Ransom.Win32.PornoAsset.agk bl 9CC5C24E0BCB282202C633F16402E3E1 795960 addsgn 1A06819A5583358CF42B627DA804DEC9E946303A4536D3F3D1E7C1371CF279BBE114C3573E20A1C229BA85EA681C898E5BE5897320FFBAC8596A65C7D73C6371 8 YandexUP delref HTTP://WEBALTA.RU/SEARCH delref HTTP://WWW.MAIL.RU/CNT/5089 delref HTTP://WWW.MAIL.RU/CNT/9516 addsgn C137242577760C72F4030DED558812ED2786FCF62A9E2E3885A9CF4365B2400C237DC3A80B09AC092B68829F46161912B7D4E87200515CAFE9C7636A17362273 16 Backdoor.Win32.Pushdo.pd [Kaspersky] zoo %SystemDrive%\USERS\VITALICOK\WIJEAXYKWORM.EXE bl 2D0DD642CFA4456DFB1D2B4D79DCD9C0 37888 adddir %SystemDrive%\USERS\VITALICOK adddir %SystemDrive%\USERS\VITALICOK\APPDATA\ROAMING zoo %SystemDrive%\USERS\VITALICOK\ZEQTODEJUQSA.EXE bl 5666379D443ABCB7BBC7BA76A9861ADC 37888 chklst delvir bl 5B3345909519932D6670D92F16496463 11 delall %SystemDrive%\PROGRAM FILES\MAIL.RU\GUARD\GUARDMAILRU.EXE deltmp delnfr delall %SystemRoot%\INSTALLER\{073FB385-4059-2D26-500C-8FB42FC08838}\SYSHOST.EXE czoo restart

Код

;;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

bl 059FFB75D74173521F4E3BEC425D8E7F 1534976
addsgn 1AD78B9A5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 16 Praetorian
bl 4060317E55F2D948B08C8D70C9561F19 1462376
addsgn 1A16FB9A5583C58CF42B254E3143FE86C99A5DCA49AE1F4B404A8040DB83691F10CC95000586E356A0C590148C5F71E209D7A8499EAF46AFE4882FEDECC76A48 8 MailUpD
bl 8EB6DE881646E15F415DB65B1D8F1F64 260752
addsgn 9252770A126AC1CC0B54564E334BDFFACE9A6C66196A8FE80FC583345791709756104849BDBB6158F0F26927471649FA7C049D75DEC433C2D1667F3E0707F900 8 SkyMon53
bl 932A908010ACA045C0172760ECB09840 97280
addsgn A7679B1BB97248720B822584480452054F8A71736101E087D5048050EE29AEF149170412CAE86296967F52A230933FFE7259EF7255DA83ECC4D8A52FC751A94E 8 Trojan-Ransom.Win32.PornoAsset.agk
bl 9CC5C24E0BCB282202C633F16402E3E1 795960
addsgn 1A06819A5583358CF42B627DA804DEC9E946303A4536D3F3D1E7C1371CF279BBE114C3573E20A1C229BA85EA681C898E5BE5897320FFBAC8596A65C7D73C6371 8 YandexUP
delref HTTP://WEBALTA.RU/SEARCH
delref HTTP://WWW.MAIL.RU/CNT/5089
delref HTTP://WWW.MAIL.RU/CNT/9516
addsgn C137242577760C72F4030DED558812ED2786FCF62A9E2E3885A9CF4365B2400C237DC3A80B09AC092B68829F46161912B7D4E87200515CAFE9C7636A17362273 16 Backdoor.Win32.Pushdo.pd [Kaspersky]
zoo %SystemDrive%\USERS\VITALICOK\WIJEAXYKWORM.EXE
bl 2D0DD642CFA4456DFB1D2B4D79DCD9C0 37888
adddir %SystemDrive%\USERS\VITALICOK
adddir %SystemDrive%\USERS\VITALICOK\APPDATA\ROAMING
zoo %SystemDrive%\USERS\VITALICOK\ZEQTODEJUQSA.EXE
bl 5666379D443ABCB7BBC7BA76A9861ADC 37888
chklst
delvir
bl 5B3345909519932D6670D92F16496463 11
delall %SystemDrive%\PROGRAM FILES\MAIL.RU\GUARD\GUARDMAILRU.EXE
deltmp
delnfr
delall %SystemRoot%\INSTALLER\{073FB385-4059-2D26-500C-8FB42FC08838}\SYSHOST.EXE
czoo
restart

- затем слева наверху выбираете пункт Скрипт - Выполнить скрипт находящийся в буфере обмена;
- скрипт должен автоматически появиться в этом окне. если он не появился или там находится не то что вы скопировали, то удаляете содержимое и вставляете текст скрипта правой кнопкой мыши;
- обязательно закрываете все открытые браузеры (Opera, Mozilla, IE), отключаете в антивирусе защиту (обычно правой кнопкой мыши по иконке в трее - Временно отключить защиту или т.п.) и жмете в uVS кнопку Выполнить;
- ждете окончания выполнения скрипта в программе. если будут появляться различные запросы на удаление программ, то везде нажимаем кнопки Да или Далее;
- по окончанию выполнения скрипта компьютер перезагрузится.
- в папке, откуда запускали программу (uVS), появится новый архив с сегодняшней датой и временем - например 2012-03-09_09-29-00.7z - это архив с вирусами, егнужно прислать на электронный адрес [email protected].
- после перезагрузки делаем лог Mbam как написано здесь (можно выполнить быструю проверку, а не полную). программу можно скачать отсюда. ссылку на лог выложить сюда.

Правильно заданный вопрос - это уже половина ответа

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 26.10.2012 14:09:58

здесь помимо Dorkbot похоже еще куча вирусни. Можете сделать образ из под Live.CD?

[ Как создать образ автозапуска? ]

Сообщений: 18

Баллов: 9

Регистрация: 26.10.2012

Размещено 26.10.2012 14:13:26

вот просканировал Mbam http://rghost.ru/private/41165118/f8336d0dd78fd72d9e450956380a7c9f

Оперативная память - модифицированный Win32/Dorkbot.B червь - очистка невозможна , Вирус