[ Закрыто ] TrojanDownloader.Carberp.AW помогите обезвредить , NOD32 обнаружил TrojanDownloader.Carberp.AW и не может его обезвредить

RSS

Сообщений: 16

Баллов: 8

Регистрация: 25.07.2013

Размещено 25.07.2013 21:21:09

NOD32 обнаружил TrojanDownloader.Carberp.AW и AM, не может его обезвредить, помогите пожалуйста

Оперативная память = explorer.exe(1836) - модифицированный Win32/TrojanDownloader.Carberp.AW троянская программа - очистка невозможна
Оперативная память = explorer.exe(1836) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = explorer.exe(1836) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = explorer.exe(1836) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = explorer.exe(1836) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = explorer.exe(1836) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = explorer.exe(1836) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = explorer.exe(1836) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = explorer.exe(1836) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = svchost.exe(192 8 ) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = svchost.exe(192 8 ) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = svchost.exe(192 8 ) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = svchost.exe(192 8 ) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = svchost.exe(192 8 ) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = svchost.exe(192 8 ) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = svchost.exe(192 8 ) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна
Оперативная память = svchost.exe(232) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна

Прикрепленные файлы

LYNN_2013-07-25_20-07-48.7z (539.22 КБ)

Изменено: Сергей Ананьев - 25.07.2013 21:54:05

Ответы

Пред. 1 2 3 4 След.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.07.2013 19:04:53

хм, добавьте новый образ, полученный из под Winpe&uVS

Изменено: santy - 28.07.2013 19:05:14

[ Как создать образ автозапуска? ]

Сообщений: 16

Баллов: 8

Регистрация: 25.07.2013

Размещено 28.07.2013 19:22:12

добавляю новый образ, делал как в последнем случае указывая каталог системы с жесткого диска

Прикрепленные файлы

LYNN_2013-07-28_18-13-21.7z (191.48 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.07.2013 19:36:01

зараженный загрузчик на месте.
https://www.virustotal.com/ru/file/da8eba3432c0b31dcb393baa2634ebbc8de6aa6c6c4015e071d118b4beea34de/analysis/

предыдущий хэш загрузчика
C696CFE5D3293A1BD6AC9F1F92FAF8755CC01D18

новый хэш
C696CFE5D3293A1BD6AC9F1F92FAF8755CC01D18

ничего не изменилось.

возможно неправильно выполнен скрипт из файла,

нужен будет лог выполнения скрипта.

выполните еще раз скрипт из файла. (тот что по ссылке)
http://rghost.ru/private/47728899/7abdd9d8f17b5378270ab20e2e70b0f8

но прежде чем перегрузить систему, сохраните лог выполнения скрипта.
он будет в папке, откуда запускается uVS

и добавьте этот лог: дата_времяlog.txt на форум.

Изменено: santy - 28.07.2013 19:37:10

[ Как создать образ автозапуска? ]

Сообщений: 16

Баллов: 8

Регистрация: 25.07.2013

Размещено 28.07.2013 19:44:42

лог сохранился сам, вроде тот что нужно

Прикрепленные файлы

2013-07-28_18-39-02_log.txt (15.51 КБ)

Сообщений: 16

Баллов: 8

Регистрация: 25.07.2013

Размещено 28.07.2013 19:47:15

возможно скрит нужно запускать через Winpe&uVS?

Сообщений: 16

Баллов: 8

Регистрация: 25.07.2013

Размещено 28.07.2013 19:49:00

перечитал сообщения, точно, извиняюсь, сейчас попробую

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.07.2013 20:02:00

Цитата
Сергей Ананьев пишет: возможно скрит нужно запускать через Winpe&uVS?

конечно через Winpe&uVS.

ведь в нормальном режиме троян активен, и показывает совсем другой код загрузчика, значит и при перезаписи, он либо не позволит выполнить перезапись загрузчика, либо перенаправит запись на другой блок.

[ Как создать образ автозапуска? ]

Сообщений: 16

Баллов: 8

Регистрация: 25.07.2013

Размещено 28.07.2013 20:07:45

Все работает, окна не всплывают при загрузке, нод о троянах ничего не говорит, думаю помогло. Спасибо!!! Извиняюсь за тупку, так бы проблема решилась ещё раньше!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.07.2013 20:13:29

хорошо,

. добили мы все таки бутовый Carberp. похоже, и tdsskiller теперь не спасает, одна надежда - на Winpe&uVS.

[ Как создать образ автозапуска? ]

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.07.2013 20:15:44

и кстати, добавьте лог выполнения скрипта, который вы делали из активной системы.
дата_времяlog.txt из папки uVS
глянем, на реакцию активного Carberp.

[ Как создать образ автозапуска? ]

Пред. 1 2 3 4 След.