Форум esetnod32.ru [тема: Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM] http://forum.esetnod32.ru Новое в теме Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Wed, 29 Apr 2026 19:20:56 +0300 Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Да, все хорошо. Всем спасибо.
03.06.2013 20:00:49, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68376/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68376/ Mon, 03 Jun 2013 20:00:49 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Lolo, что с проблемой? решена? нет? загружается система до рабочего стола?
03.06.2013 19:59:51, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68375/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68375/ Mon, 03 Jun 2013 19:59:51 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy пишет:
если он сегодня пришел с проблемой? .
=============
Только я не он, а она.
[FILE ID=92215]
COMPUTER_2013-06-03_18-34-09.7z
03.06.2013 19:45:18, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68374/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68374/ Mon, 03 Jun 2013 19:45:18 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
а причем здесь первые скрипты, если он сегодня пришел с проблемой? т.е. я к чему склоняю....

чтобы было резюме от пользователя, что проблема решена (последним скриптом из под Winpe.)

пока его нет.
03.06.2013 17:42:49, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68369/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68369/ Mon, 03 Jun 2013 17:42:49 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
чиста потому что zloyDi подключался. да и тут на первых страницах человек скрипты выполнял.
03.06.2013 17:26:23, Арвид.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68368/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68368/ Mon, 03 Jun 2013 17:26:23 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
откуда видно что чиста? последний образ из под Winpe c зараженным загрузчиком.

если скрипт уже выполнен, то тогда пишем результат.

детектируется Carberp или нет.

если не детектируется, то тогда, конечно, не надо переделывать образ, значит скрипт из 23 решил проблему.
03.06.2013 17:24:43, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68367/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68367/ Mon, 03 Jun 2013 17:24:43 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
система в принципе чиста. считаю не нужно переделывать образ.
03.06.2013 17:13:19, Арвид.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68366/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68366/ Mon, 03 Jun 2013 17:13:19 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
образ не корректно создан из под Winpe, надо выбирать каталог системы с жесткого диска, затем уже нажимать - текущий пользователь.

но из этого образа видно, что загрузчик системы заражен
http://virusscan.jotti.org/en/scanresult/e87bacff21fa5dd18dd310416b5d4fa9ca6c3575/8­22843a55e6250b89ceb1c2448b32c99bf926797

возможно по ссылке из сообщения 23 должен решить проблему.
03.06.2013 17:12:28, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68365/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68365/ Mon, 03 Jun 2013 17:12:28 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
из под LiveCD теперь выполните скрипт из файла
http://rghost.ru/46478343
03.06.2013 17:01:08, Арвид.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68359/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68359/ Mon, 03 Jun 2013 17:01:08 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
[FILE ID=92213]
MININT-NF86F1P_2013-06-03_15-52-27.7z
03.06.2013 16:58:32, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68358/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68358/ Mon, 03 Jun 2013 16:58:32 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Арвид пишет:
вы из будущего что ли? :)
дата у вас - 23.09.2013
=============
ага, была. Но сейчас меня уже вернули в суровое настоящее.
03.06.2013 15:45:29, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68351/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68351/ Mon, 03 Jun 2013 15:45:29 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Все таки придется делать лог UVS из под загрузочного диска, явно что то прячет загрузчик.

Загрузите образ по ссылкам
http://chklst.ru/forum/discussion/61/winpeuvs

Запишите образ на диск, выставьте загрузку с диска. Выполните лог программы UVS
http://chklst.ru/forum/discussion/10/kak-sozdat-obraz-avtozapuska-v-uvs-polnaya-versiya#Item_1

Обратите внимание на текст выделенный синим.

Спасибо.

Образ сюда для анализа.
03.06.2013 15:30:45, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68350/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68350/ Mon, 03 Jun 2013 15:30:45 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
вы из будущего что ли? :)
дата у вас - 23.09.2013
03.06.2013 15:30:10, Арвид.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68349/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68349/ Mon, 03 Jun 2013 15:30:10 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
[FILE ID=92211][FILE ID=92212]
угрозы.txt
2013-09-23_12-19-25_log.txt
03.06.2013 14:50:40, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68344/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68344/ Mon, 03 Jun 2013 14:50:40 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Lolo,
добавьте все логи выполнения скриптов по вашей теме
(файлы дата_времяlog.txt из каталога uVS)
+
добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/
03.06.2013 14:33:35, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68341/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68341/ Mon, 03 Jun 2013 14:33:35 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====

====quote====
Проблема не решена.
=============

если возможно выполните лог программы UVS только в безопасном режиме.

Спасибо.
=============
[FILE ID=92209]
COMPUTER_2013-06-02_15-57-14.TXT
03.06.2013 14:29:49, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68340/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68340/ Mon, 03 Jun 2013 14:29:49 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
+
добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/
25.05.2013 14:41:38, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68037/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68037/ Sat, 25 May 2013 14:41:38 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Скажите, реально ли провести на данный ПК удаленную сесию через программу TeamViever? Если да, то загрузите программу по ссылке
http://eset.ua/download_files/ESET_UA_Support.exe и пришлите в личку ID и пароль. ПРограмму не закрывать. Спасибо.
25.05.2013 13:32:27, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68035/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68035/ Sat, 25 May 2013 13:32:27 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
[FILE ID=92122]
COMPUTER_2013-09-23_13-35-02.7z
25.05.2013 13:30:05, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68034/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68034/ Sat, 25 May 2013 13:30:05 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Странно... Выполните еще раз новый лог программы UVS.
25.05.2013 13:23:42, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68033/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68033/ Sat, 25 May 2013 13:23:42 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Папки нет, только файл , он и у меня пустой. Но все же вот файл http://rghost.ru/46244041
25.05.2013 13:21:35, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68032/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68032/ Sat, 25 May 2013 13:21:35 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Файл пустой, поместите файл и папку в архив и залейте сюда www.rghost.ru
25.05.2013 13:10:22, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68031/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68031/ Sat, 25 May 2013 13:10:22 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
[FILE ID=92121] пустой
HfsReader_Log.txt
25.05.2013 13:09:22, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68030/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68030/ Sat, 25 May 2013 13:09:22 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Хм. вроде чисто.

Загрузите программу по ссылке
http://download.eset.com/special/ESETHfsReader.exe
Запустите ее, после запуска будет создана папка Files_TDL4 и файл HfsReader_Log.txt придоставьте их для анализа.

Спасибо.
25.05.2013 13:01:53, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68029/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68029/ Sat, 25 May 2013 13:01:53 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
[FILE ID=92120]
TDSSKiller.2.8.17.0_23.09.2013_13.02.46_log.txt
25.05.2013 12:57:10, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68028/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68028/ Sat, 25 May 2013 12:57:10 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Загрузите программу по ссылке
http://zalil.ru/34529898
Программу скачать, выполнить сканирование, в конце скана появится отчет. Предоставьте его для анализа. В программе ничего не удалять.Отчет будет в корне диска С в виде TDSSKiller.2.8.17.0_25.05.2013_11.50.21_log.txt
25.05.2013 12:51:07, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68027/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68027/ Sat, 25 May 2013 12:51:07 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа - очистка невозможна    это все так же присутствует
25.05.2013 12:41:18, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68026/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68026/ Sat, 25 May 2013 12:41:18 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Вот это удалить


====quote====
Обнаруженные файлы:  3
C:\Documents and Settings\All Users\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\User\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.
=============

ПК перезагрузить. Что с проблемой?
25.05.2013 12:36:56, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68025/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68025/ Sat, 25 May 2013 12:36:56 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
[FILE ID=92119]
MBAM-log-2013-09-23 (12-33-48).txt
25.05.2013 12:27:25, Lolo.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68024/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68024/ Sat, 25 May 2013 12:27:25 +0400 Обнаружение вредоносного кода и ложные срабатывания Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM Оперативная память = explorer.exe(1916) - модифицированный Win32/TrojanDownloader.Carberp.AM в форуме Обнаружение вредоносного кода и ложные срабатывания.
Доброго времени суток!

В папке с программой UVS будет файл script.cmd
Запустить файл, запустится окно программы для ввода скрипта,
скопировать скрипт написанный ниже и вставить в окно программы.
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ ВСЕ БРАУЗЕРЫ!

====code==== 
;uVS v3.77.16 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

delall %Sys32%\COM\SVCHOST.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ICQ\ICQNEWTAB\NEWTAB.HTML
delref HTTP://WEBALTA.RU
delref HTTP://WEBALTA.RU/POISK
exec MSIEXEC.EXE /X{EE24665C-844A-4489-9F11-70E41F4EE476}
regt 3
regt 18
deltmp
delnfr
restart
============= И жмем кнопку Выполнить.
На запросы программы по удалению жмите ДА
ПК перезагрузится.

Далее(даже если проблема решена) выполнить лог программой MBAM
http://forum.esetnod32.ru/forum9/topic682/
Выбрать быстрое сканирование. Отчет предоставить для анализа
25.05.2013 12:03:21, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic9508/message68023/ http://forum.esetnod32.ru/messages/forum6/topic9508/message68023/ Sat, 25 May 2013 12:03:21 +0400 Обнаружение вредоносного кода и ложные срабатывания