Win32/Ciavax.A - Форум технической поддержки ESET NOD32

Сообщений: 4

Баллов: 2

Регистрация: 15.06.2013

Размещено 15.06.2013 06:06:41

Здравствуйте!
Недавно в оперативной памяти поселился:
Оперативная память = userinit.exe(1888) модифицированный Win32/Ciavax.A троянская программа очистка невозможна
Оперативная память = taskhost.exe(1872) модифицированный Win32/Ciavax.A троянская программа очистка невозможна
Удалить не получается.
Помогите, пожалуйста, решить проблему.

Прикрепленные файлы

EKATERINA_2013-06-15_10-41-57.7z (572.65 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.06.2013 07:38:05

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.80.3 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE zoo %SystemDrive%\USERS\ЕКАТЕРИНА\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE addsgn A7679BF0AA02E4824BD4C635A2881261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C7F70C49F75C4C32EF4CA04E314DA3BE4AC965B2FC706AB7E 8 Worm:Win32/Dorkbot.AS [Microsoft] delref HTTP://HOME.WEBALTA.RU/?NEW delref HTTP://WEBALTA.RU/SEARCH bl 2B59BE0861E1433D2E5596A3E2E7A1F4 81920 delall %SystemDrive%\USERS\ЕКАТЕРИНА\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE chklst delvir delref HTTP://WWW.SMAXI.NET deltmp delnfr czoo restart

Код

;uVS v3.80.3 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
zoo %SystemDrive%\USERS\ЕКАТЕРИНА\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE
addsgn A7679BF0AA02E4824BD4C635A2881261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C7F70C49F75C4C32EF4CA04E314DA3BE4AC965B2FC706AB7E 8 Worm:Win32/Dorkbot.AS [Microsoft]
delref HTTP://HOME.WEBALTA.RU/?NEW
delref HTTP://WEBALTA.RU/SEARCH
bl 2B59BE0861E1433D2E5596A3E2E7A1F4 81920
delall %SystemDrive%\USERS\ЕКАТЕРИНА\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE
chklst
delvir
delref HTTP://WWW.SMAXI.NET
deltmp
delnfr
czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,

добавьте новый образ автозапуска

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 15.06.2013

Размещено 15.06.2013 08:13:06

Сделала, как написано. По-видимому, не помогло. После перезагрузки NOD снова показал наличие трояна.
Оперативная память = taskhost.exe(1784) модифицированный Win32/Ciavax.A троянская программа очистка невозможна
Отправляю новый образ автозапуска.

Прикрепленные файлы

EKATERINA_2013-06-15_13-03-37.7z (600.61 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.06.2013 08:29:34

сделайте образ автозапуска из безопасного режима система.

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 15.06.2013

Размещено 15.06.2013 09:38:05

Сделала

Прикрепленные файлы

EKATERINA_2013-06-15_13-55-39.7z (599.19 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.06.2013 10:16:08

выполните скрипт в uVS из безопасного режима системы (с поддержкой сетевых драйверов)

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.80.3 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE zoo %SystemDrive%\USERS\ЕКАТЕРИНА\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE addsgn A7679BF0AA02E4824BD4C635A2881261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C7F70C49F75C4C32EF4CA04E314DA3BE4AC965B2FC706AB7E 8 Worm:Win32/Dorkbot.AS [Microsoft] bl 2B59BE0861E1433D2E5596A3E2E7A1F4 81920 delall %SystemDrive%\USERS\ЕКАТЕРИНА\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE chklst delvir czoo deltmp delnfr restart

Код

;uVS v3.80.3 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
zoo %SystemDrive%\USERS\ЕКАТЕРИНА\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE
addsgn A7679BF0AA02E4824BD4C635A2881261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C7F70C49F75C4C32EF4CA04E314DA3BE4AC965B2FC706AB7E 8 Worm:Win32/Dorkbot.AS [Microsoft]
bl 2B59BE0861E1433D2E5596A3E2E7A1F4 81920
delall %SystemDrive%\USERS\ЕКАТЕРИНА\DOCUMENTS\APPLICATION DATA\EXPLORER.EXE
chklst
delvir
czoo
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,

добавьте все логи выполнения скриптов из папки uVS
(файлы с именем дата_времяlog.txt)
+
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

Изменено: santy - 15.06.2013 10:18:27

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 15.06.2013

Размещено 15.06.2013 12:13:15

Отправляю последний лог, так как предыдущий удален.
NOD32 теперь не показывает зараженных объектов в оперативной памяти.
Малваребайт показывает 32 зараженных объекта. Их нужно удалить ?

Прикрепленные файлы

2013-06-15_16-57-41_log.txt (19.54 КБ)
MBAM-log-2013-06-15 (17-07-52).txt (8.94 КБ)

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 15.06.2013 12:24:23

Удалите все найденное и перезагрузитесь. Если проблем больше нет - Выполните рекомендации

Правильно заданный вопрос - это уже половина ответа

[ Закрыто ] Win32/Ciavax.A