Оперативная память = explorer.exe(1088) вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна

Сообщений: 9

Баллов: 4

Регистрация: 19.04.2012

Размещено 19.04.2012 01:25:04

Поможите плиз.

Прикрепленные файлы

MICROSOF-E48769_2012-04-19_01-16-24.7z (152.93 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 19.04.2012 05:45:15

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 deltmp delnfr fixvbr C: 5 restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
1.
Скачайте, распакуйте и запустите TDSSKiller:
http://support.kaspersky.ru/faq/?qid=208636926
Если программа найдет файл WINDOWS\system32\Drivers\sptd.sys, то не удаляйте его.
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.

[ Как создать образ автозапуска? ]

Сообщений: 9

Баллов: 4

Регистрация: 19.04.2012

Размещено 19.04.2012 07:06:49

скрипт не помог - 19.04.2012 6:51:42 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = explorer.exe(1140) вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна MICROSOF-E48769\Admin

tdskiller - вроде бы, по крайней мере после перезагрузки нод молчит.

Прикрепленные файлы

TDSSKiller.2.7.29.0_19.04.2012_06.53.33_log.txt (76.85 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 19.04.2012 07:25:03

да, этот вариант Carberp с самозащитой, поэтому либо: антируткитной утилиткой tdsskiller лечить
либо,
выполнять скрипт из Live.CD
--------

Цитата
06:53:44.0968 0768 Actual detected object count: 2 06:54:15.0609 0768 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - skipped by user 06:54:15.0609 0768 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - User select action: Skip 06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 - copied to quarantine 06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.b ) - will be cured on reboot 06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 - ok 06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.b ) - User select action: Cure

Цитата

06:53:44.0968 0768 Actual detected object count: 2
06:54:15.0609 0768 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - skipped by user
06:54:15.0609 0768 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - User select action: Skip
06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 - copied to quarantine
06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.b ) - will be cured on reboot
06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 - ok
06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.b ) - User select action: Cure

судя по логу, tdsskiller очистил зараженный загрузчик.
---------
сделайте новый образ автозапуска,
новый лог tdsskiller

[ Как создать образ автозапуска? ]

Сообщений: 9

Баллов: 4

Регистрация: 19.04.2012

Размещено 19.04.2012 07:45:35

Вот.

Прикрепленные файлы

TDSSKiller.2.7.29.0_19.04.2012_07.39.04_log.txt (75.33 КБ)
MICROSOF-E48769_2012-04-19_07-37-03.7z (150.33 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 19.04.2012 07:49:32

tdsskiller сделал свое дело. загрузчики чистые.
---------
далее,
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 deltmp delnfr restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт

[ Как создать образ автозапуска? ]

Сообщений: 9

Баллов: 4

Регистрация: 19.04.2012

Размещено 19.04.2012 21:39:50

Добрый вечер.
Скрипт выполнил.
малваребайт нашел один объект - удалил.

Прикрепленные файлы

mbam-log-2012-04-19 (21-30-43).txt (2.29 КБ)

Сообщений: 12962

Баллов: 10371

Регистрация: 16.03.2010

Размещено 19.04.2012 23:23:23

Что с проблемой?

Сообщений: 9

Баллов: 4

Регистрация: 19.04.2012

Размещено 20.04.2012 02:50:12

Спасибо за помощь.
Вроде все ок.

[ Закрыто ] Оперативная память = explorer.exe(1088) вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна