santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Оперативная память IAAnotif.exed(1872) модифицированный Win32/Spy.SpyEye.CA троянская программа очистка невозможна!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 12.04.2012 07:12:48

системную дату проверьте на компьютере
------------------
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 delall %SystemDrive%\USERS\324B~1\APPDATA\LOCAL\TEMP\124KKK290347.EXE addsgn A7679BF0AA02A3264BD4C6B155881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CE63D9FE82BD6D7B00C6B775BACCA020235 8 spyEye zoo %SystemDrive%\G4FWEQ23.BI\40842F38934.EXE delall %SystemDrive%\G4FWEQ23.BI\40842F38934.EXE deltmp delnfr regt 12 restart

Код

;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
delall %SystemDrive%\USERS\324B~1\APPDATA\LOCAL\TEMP\124KKK290347.EXE
addsgn A7679BF0AA02A3264BD4C6B155881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CE63D9FE82BD6D7B00C6B775BACCA020235 8 spyEye
zoo %SystemDrive%\G4FWEQ23.BI\40842F38934.EXE
delall %SystemDrive%\G4FWEQ23.BI\40842F38934.EXE
deltmp
delnfr
regt 12
restart

перезагрузка, пишем о старых и новых проблемах.
архив, из каталога uVS, созданный после скрипта (например: 2011-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт

[ Как создать образ автозапуска? ]

Перейти

Оперативная память = explorer.exe(1688) - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 12.04.2012 05:49:52

судя по обращению на форум - сами вы не сможете, но мы вам поможем.
---------
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 addsgn A7679B19B93EF4E50BD4AE59448D120576893CCDCC0E6A77EFE3ADBC005CDBA41A59C357BD91951F4380BBD7687CAD902CB7E84ADD74DAA2C5CDE32FC785E667 8 tr.carberp zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\ZLUB8ZQDRYY.EXE bl 30772171B4CBA239E6F848A374BAD3CF 188416 delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\ZLUB8ZQDRYY.EXE delref %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\VKSAVER\VKSAVER3.DLL delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\VKSAVER\VKSAVER.EXE deltmp delnfr CZOO restart

Код

;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
addsgn A7679B19B93EF4E50BD4AE59448D120576893CCDCC0E6A77EFE3ADBC005CDBA41A59C357BD91951F4380BBD7687CAD902CB7E84ADD74DAA2C5CDE32FC785E667 8 tr.carberp
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\ZLUB8ZQDRYY.EXE
bl 30772171B4CBA239E6F848A374BAD3CF 188416
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\ZLUB8ZQDRYY.EXE
delref %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\VKSAVER\VKSAVER3.DLL
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\VKSAVER\VKSAVER.EXE
deltmp
delnfr
CZOO
restart

Изменено: santy - 12.04.2012 05:53:12

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] svchost.exe(5828) - модифицированный Win32/TrojanDownloader.Carberp.AH троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 12.04.2012 05:46:31

лог чистый
возможно антивирус "проснулся" и обнаружил трояна при формировании образа или лога. проверьте в логах обнаружения или карантине.
--------
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] помогите удалить вирус, вирус не удаляется с помощью лицензионного антивируса

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 12.04.2012 05:42:47

создайте в корне загрузочной флэшки папку логи /logs / и при работе с загрузочной флэшкой скопируйте туда образ автозапуска. туда же придется и скрипт добавить для выполнения после анализа образа.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] помогите удалить вирус, вирус не удаляется с помощью лицензионного антивируса

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.04.2012 18:54:59

вот по этой инструкции посмотрите
http://forum.esetnod32.ru/forum9/topic683/
1. важно настроить в БИОС загрузку с Live.CD

2. после загрузки WinPE и автостарта uVS выбрать из окна систему для анализа с жесткого диска.

3. создать образ автозапуска, сохранить его на флэшку и передать на форум.
-------
удалять вирус самостоятельно не надо, сделайте образ - удалим скриптом.

Изменено: santy - 11.04.2012 18:55:43

[ Как создать образ автозапуска? ]

Перейти

dwm.exe модифицированный Win32/Spy.Shiz.NCE троянская программа очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.04.2012 18:00:05

сделайте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память = explorer.exe(912) - модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.04.2012 17:59:02

извините, но систему с установленной программой

Цитата
TNod User & Password Finder

на оф.техническом форуме мы не пролечиваем.
-------
возможно вам помогут на другом форуме.
тема закрыта.

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.04.2012 14:07:54

RP55, только плиз, обсуждение по начальной подготовке вести в оф_топе, этот топик создан для специалистов работающих в разделе обнаружение вредоносного кода. Иначе я просто его закрою.

Изменено: santy - 11.04.2012 14:08:43

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.04.2012 14:04:47

ну, мы не ставим себе задачу просвещение всего просвещенного мира, есть документация к программе (в учебных программах пока нет uVS), есть скрипты, которые мы используем в работе - изучайте, если есть желание узнать все это

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] помогите удалить вирус, вирус не удаляется с помощью лицензионного антивируса

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.04.2012 12:46:03

скачать можно, и записать в принципе можно: carberp не файловый вирус, хотя будет тормозить всю дорогу.

[ Как создать образ автозапуска? ]

Перейти