Оперативная память » svchost.exe(992) модифицированный Win32/Corkow. & Оперативная память » explorer.exe(1988) модифицированный Win32/Carberp.A

Сообщений: 7

Баллов: 3

Регистрация: 28.11.2011

Размещено 28.11.2011 06:45:36

Здравствуйте. Помогите решить проблему -

28.11.2011 13:14:17 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память » svchost.exe(992) модифицированный Win32/Corkow.A троянская программа очистка невозможна

28.11.2011 11:55:33 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память » explorer.exe(1988) модифицированный Win32/Carberp.A троянская программа очистка невозможна

http://rghost.ru/32318401

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 09:05:23

закрыть браузеры перед выполнением скрипта
выполнить скрипт в uVS
меню - скрипты - выполнить скрипт из буфера обмена

Код
;uVS v3.72 script [http://dsrt.dyndns.org] ZOO %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\MDM1.TCR delall %SystemDrive%\USERS\ROM\APPDATA\LSASS.EXE delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\NETPROTOCOL.EXE delall %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\MDM1.TCR delref HTTP://WWW.APEHA.RU deltmp delnfr regt 5 regt 18 restart

Код


;uVS v3.72 script [http://dsrt.dyndns.org]

ZOO %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\MDM1.TCR
delall %SystemDrive%\USERS\ROM\APPDATA\LSASS.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\NETPROTOCOL.EXE
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\MDM1.TCR
delref HTTP://WWW.APEHA.RU
deltmp
delnfr
regt 5
regt 18
restart

перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

[ Как создать образ автозапуска? ]

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 09:08:40

+
сделайте лог МБАМ
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Сообщений: 7

Баллов: 3

Регистрация: 28.11.2011

Размещено 28.11.2011 09:47:07

Не помогло.

Журнал проверки
Версия базы данных сигнатур вирусов: 6664 (20111127)
Дaтa: 28.11.2011 Время: 16:39:50
Просканированные диски, папки и файлы: Оперативная память
Оперативная память » explorer.exe(1988) - модифицированный Win32/Carberp.A троянская программа - очистка невозможна
Количество просканированных объектов: 825
Количество обнаруженных угроз: 1
Количество очищенных объектов: 0
Время выполнения: 16:40:18 Общее время проверки: 28 сек. (00:00:28)

лог МБАМ:

Прикрепленные файлы

mbam-log-2011-11-28 (16-46-53).txt (1.01 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 09:51:36

удалить все найденное в МБАМ
далее,
скачайте tdsskiller отсюда
http://rghost.ru/32097421
при сканировании, ничего не удаляйте,
то что будет задетектировано, добавьте в карантин.
лог сканирования добавить на форум.

[ Как создать образ автозапуска? ]

Сообщений: 7

Баллов: 3

Регистрация: 28.11.2011

Размещено 28.11.2011 10:03:25

лог tdsskiller:

Прикрепленные файлы

TDSSKiller.2.6.21.0_28.11.2011_16.57.09_log.txt (83.48 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 10:07:09

карантин сделали при удалении этих объектов?

Цитата
16:58:05.0263 3116 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.a ) - will be cured on reboot 16:58:05.0263 3116 \Device\Harddisk0\DR0\Partition0 - ok 16:58:05.0263 3116 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.a ) - User select action: Cure

заархивируйте всю папку tdsskiller в корневом каталоге с паролем infected
вышлите в посту [email protected]

пишем результат.

[ Как создать образ автозапуска? ]

Сообщений: 7

Баллов: 3

Регистрация: 28.11.2011

Размещено 28.11.2011 10:12:48

Проблема решена.
Большое спасибо за оперативную помощь!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 10:17:12

что с карантином tdsskiller? отправили? нет?

[ Как создать образ автозапуска? ]

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 10:19:14

тему закрываю.

[ Как создать образ автозапуска? ]

[ Закрыто ] Оперативная память » svchost.exe(992) модифицированный Win32/Corkow. & Оперативная память » explorer.exe(1988) модифицированный Win32/Carberp.A