Вирус в оперативной памяти - Форум технической поддержки ESET NOD32

Сообщений: 11

Баллов: 5

Регистрация: 28.04.2012

Размещено 28.04.2012 16:49:54

Здравствуйте!
При загрузке обнаруживается вирус. При последующих перезагрузках цифры в скобках меняются. Подскажите, пожалуйста, как удалить. Ниже приведены записи журнала сегодня.

28.04.2012 16:15:54 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = services.exe(848) модифицированный Win32/Spy.Shiz.NAB троянская программа очистка невозможна
28.04.2012 16:01:39 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = services.exe(844) модифицированный Win32/Spy.Shiz.NAB троянская программа очистка невозможна
28.04.2012 15:43:23 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = services.exe(844) модифицированный Win32/Spy.Shiz.NAB троянская программа очистка невозможна
28.04.2012 15:25:45 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = services.exe(1392) модифицированный Win32/Spy.Shiz.NAB троянская программа очистка невозможна
28.04.2012 15:08:23 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = services.exe(1388) модифицированный Win32/Spy.Shiz.NAB троянская программа очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.04.2012 17:11:20

образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Сообщений: 11

Баллов: 5

Регистрация: 28.04.2012

Размещено 28.04.2012 18:19:18

создаётся только текстовый документ "REANIMAT-7F2B28_2012-04-28_18-12-27.TXT"

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 28.04.2012 18:31:04

он и нужен

Правильно заданный вопрос - это уже половина ответа

Сообщений: 11

Баллов: 5

Регистрация: 28.04.2012

Размещено 28.04.2012 18:36:13

вот ссылка:

http://zalil.ru/33151965

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.04.2012 18:47:58

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.75 BETA1 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 delall %Sys32%\85E2FA30.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ICQ\ICQNEWTAB\NEWTAB.HTML addsgn 793757703F6AB3675FA4EEB16B07740AEA62FBF689FA927DB8CC84BC108FF28D379AEEA08C159DB1D4613AD39AC63CF5C00A00905FDAB01FED1FE806B7274A39 8 tr.Carberp zoo %Sys32%\XFJWJDK.EXE bl 7E61278D645BFFC743499A6655353B6F 82944 delall %Sys32%\XFJWJDK.EXE chklst delvir deltmp delnfr CZOO restart

Код

;uVS v3.75 BETA1 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
delall %Sys32%\85E2FA30.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ICQ\ICQNEWTAB\NEWTAB.HTML
addsgn 793757703F6AB3675FA4EEB16B07740AEA62FBF689FA927DB8CC84BC108FF28D379AEEA08C159DB1D4613AD39AC63CF5C00A00905FDAB01FED1FE806B7274A39 8 tr.Carberp
zoo %Sys32%\XFJWJDK.EXE
bl 7E61278D645BFFC743499A6655353B6F 82944
delall %Sys32%\XFJWJDK.EXE
chklst
delvir
deltmp
delnfr
CZOO
restart

перезагрузка,
архив из каталога uVS (по формату: 2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Сообщений: 11

Баллов: 5

Регистрация: 28.04.2012

Размещено 28.04.2012 19:22:03

судя по всему вылечили! спасибо огромное! дважды перегружал, больше сообщений о вирусе в памяти не выдавалось.

единственное, при первой перезагрузке было сообщение ESET:
"28.04.2012 18:51:12 Защита в режиме реального времени файл C:\DOCUMENTS AND SETTINGS\ADMIN\РАБОЧИЙ СТОЛ\НОВАЯ ПАПКА\UVS_V374\ZOO\XFJWJDK.EXE._7B798C22AA46B8EBD2711641FB2825C3AFB2C114 модифицированный Win32/Kryptik.DKC троянская программа очищен удалением - изолирован NT AUTHORITY\SYSTEM Событие произошло в новом файле, созданном следующим приложением: C:\Documents and Settings\Admin\Рабочий стол\Новая папка\uvs_v374\uhpfce."

вот только с архивами у меня какая-то беда. какой из нижеприведённых файлов необходимо отправить на почту?

2012-04-28_18-51-22_log.txt
REANIMAT-7F2B28_2012-04-28_18-12-27.TXT

Сообщений: 11

Баллов: 5

Регистрация: 28.04.2012

Размещено 28.04.2012 19:47:25

файл отчёта malwarebyte

Прикрепленные файлы

mbam-log-2012-04-28 (19-46-10).txt (79 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.04.2012 20:03:00

удалите в мбам все найденное кроме

Цитата
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\|NoSMHelp (PUM.Hijack.Help) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято. HKLM\SOFTWARE\Microsoft\Security Center\|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\|NoSMHelp (PUM.Hijack.Help) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

Цитата

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer|NoSMHelp (PUM.Hijack.Help) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer|NoSMHelp (PUM.Hijack.Help) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

перегрузите систему, и еще выполните быстрое сканирование в МБАМ

[ Как создать образ автозапуска? ]

Сообщений: 11

Баллов: 5

Регистрация: 28.04.2012

Размещено 28.04.2012 20:06:42

недожидаясь, удалил всё(

[ Закрыто ] Вирус в оперативной памяти