Дорогие участники форума!

Наш форум переведен в режим работы "только для чтения", публикация новых тем и сообщений недоступна. Мы искренне благодарны вам за то, что были с нами, но пришло время двигаться дальше.

На данный момент приобретение лицензий ESET через наш сайт недоступно.
В качестве альтернативы предлагаем антивирусные решения PRO32 — надёжную защиту от киберугроз и высокую производительность для устройств на Windows и Android.

Приглашаем вас присоединиться к новому форуму PRO32.

Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Добавьте лицензию в корзину и примените промокод при оформлении заказа.

Перейти на PRO32
Поиск  Пользователи  Правила  Войти
Центр вирусных исследований и аналитики Обнаружение вредоносного кода и ложные срабатывания

[ Закрыто ] win32/Dorkbot.B в оперативной памяти (winlogon.exe) очистка невозможна

1 2 След.
RSS
 
Bugster2000
Bugster2000
Пользователь
Сообщений: 4
Баллов: 2
Регистрация: 24.11.2011
Размещено 24.11.2011 21:17:09
Добрый вечер!
Образ автозапуска в прикрепленном файле.
 
santy
santy
Администратор
Сообщений: 17977
Баллов: 28762
Регистрация: 16.03.2010
Размещено 24.11.2011 21:21:37
закрыть браузеры перед выполнением скрипта
выполнить скрипт в uVS
меню - скрипты - выполнить скрипт из буфера обмена

Код

;uVS v3.72 script [http://dsrt.dyndns.org]

zoo %SystemDrive%\PROGRAM FILES\TNOD USER & PASSWORD FINDER\TNODUP.EXE
addsgn 1AB2A69A5583348CF42BC4A10C68F15C2562DC6489FA2CB80C862535152AF809C79C86B305108D34380BF197CDD8B6AF69DC9D7EDCAFB8D368934FCA0043C272 8 nod_pass_finder_vir

delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\KWPWPG.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\LSASS.EXE
chklst
delvir
deltmp
delnfr
fixvbr C: 5
restart

перезагрузка, пишем о старых и новых проблемах.
[ Как создать образ автозапуска? ]
 
zloyDi
zloyDi
Модератор
Сообщений: 12962
Баллов: 10371
Регистрация: 16.03.2010
Размещено 24.11.2011 21:22:02
В программе которую скачали выше, запускаем еще раз, только теперь Меню Скрипт выполнить скрипт находящийся в буфере обмена

И вставляем текст скрипта

ПЕРЕД ВЫПОЛНЕНИКМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!

Код
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\KWPWPG.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\LSASS.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\XXPWPT.EXE
delall %SystemDrive%\DOCUME~1\ADMIN\LOCALS~1\TEMP\SESNAESTBRE.EXE
delall %SystemDrive%\DOCUME~1\ADMIN\LOCALS~1\TEMP\SESNAESTTOO.EXE
delall E:\САША\САША\САШАOH10.EXE
zoo %SystemDrive%\PROGRAM FILES\TNOD USER & PASSWORD FINDER\TNODUP.EXE
bl 0EA8529B45B2D02BFE8DDEF94ABC283E 1892352
delall %SystemDrive%\PROGRAM FILES\TNOD USER & PASSWORD FINDER\TNODUP.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\KAKAO4\GUZA.EXE
bl DDE8FC288D3A0471D7E9A8631E76A9E9 57344
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\KAKAO4\GUZA.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\PICKAVAMMATERINA\HDZ.EXE
bl 5A52D70D6DC3F00439C7E58B4CD01E49 57344
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\PICKAVAMMATERINA\HDZ.EXE
bl E90AB11E9276357EA3DE79D51615FCD1 787241
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS.WINDOWS.0\ДОКУМЕНТЫ\TNOD_[TFILE.RU]\TNOD-1.4.1.0-FINAL-SETUP.EXE
regt 1
regt 2
regt 3
regt 7
regt 18
deltmp
delnfr
restart

И жмем выполнить.

ПК перезагрузится.
В папке с программой UVS будет папка zoo, ее поместить в архив, установить пароль virus и прислать сюда [email protected]

Спасибо.
 
santy
santy
Администратор
Сообщений: 17977
Баллов: 28762
Регистрация: 16.03.2010
Размещено 24.11.2011 21:22:30
+
выполните сканирование в МБАМ
http://forum.esetnod32.ru/forum9/topic682/
[ Как создать образ автозапуска? ]
 
Bugster2000
Bugster2000
Пользователь
Сообщений: 4
Баллов: 2
Регистрация: 24.11.2011
Размещено 24.11.2011 22:35:32
Выполнил все операции.Архив отослал.
Malwarebytes нашел 13 вредоносных программ, что с ними делать?
Тестовый лог файла в прилепленном файле
Изменено: Bugster2000 - 24.11.2011 22:44:57
 
zloyDi
zloyDi
Модератор
Сообщений: 12962
Баллов: 10371
Регистрация: 16.03.2010
Размещено 24.11.2011 22:47:48
Оставить только вот это

Код
Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.


Остальное удалить и ПК перезагрузить.

Сообщить о результате.
 
Bugster2000
Bugster2000
Пользователь
Сообщений: 4
Баллов: 2
Регистрация: 24.11.2011
Размещено 24.11.2011 23:10:03
Случайно удалил все. Система работает. Nod  обнаружил вирус в оперативной памяти.
Модифицированный Win 32/Carberp.A () - очистка невозможна
Оперативная память » explorer.exe(492) - модифицированный Win32/Carberp.A троянская программа - очистка невозможна
Образ автозапуска в прикрепленном файле.
 
RP55 RP55
RP55 RP55
Пользователь
Сообщений: 6241
Баллов: 4992
Регистрация: 25.05.2010
Размещено 24.11.2011 23:19:12
Цитата
Bugster2000 пишет:
Nod обнаружил вирус в оперативной памяти.
Выполните - повторно! Первый скрипт написанный santy.
Если, машина не выполнит перезагрузку - выполните перезагрузку принудительно!
 
RP55 RP55
RP55 RP55
Пользователь
Сообщений: 6241
Баллов: 4992
Регистрация: 25.05.2010
Размещено 24.11.2011 23:20:52
После выполнения скрипта:
В Обязательном порядке !
Выполните рекомендации:
http://forum.esetnod32.ru/forum9/topic751/
 
Bugster2000
Bugster2000
Пользователь
Сообщений: 4
Баллов: 2
Регистрация: 24.11.2011
Размещено 24.11.2011 23:29:14
Огромное спасибо!
Все хорошо, вирусов нет!
 
1 2 След.
Читают тему