santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Оперативная память » Ytd94DF.exe(2292) - модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.03.2012 20:51:49

судя по последнему скану памяти - чисто.
------
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » explorer.exe(2036) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.03.2012 20:25:28

выполните скритп в uVS в безопасном режиме
----------------
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 zoo %SystemDrive%\USERS\KAMA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\SUGQGZWQD8M.EXE addsgn A7679BF0AA0268264BD4C6415A881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CBE3D9FE82BD6D7B0AC69775BACCA02A237 8 Backdoor.Win32.Gbot.wwz [Kaspersky] bl A1F31F1A5ADE8E941F11B168EEFBF384 169472 delall %SystemDrive%\USERS\KAMA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\SUGQGZWQD8M.EXE chklst delvir deltmp delnfr restart

Код

;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

zoo %SystemDrive%\USERS\KAMA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\SUGQGZWQD8M.EXE
addsgn A7679BF0AA0268264BD4C6415A881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CBE3D9FE82BD6D7B0AC69775BACCA02A237 8 Backdoor.Win32.Gbot.wwz [Kaspersky]
bl A1F31F1A5ADE8E941F11B168EEFBF384 169472
delall %SystemDrive%\USERS\KAMA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\SUGQGZWQD8M.EXE
chklst
delvir
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.03.2012 20:10:17

лог мбам чистый,
еще раз выполните сканирование в ESET NOD32 только оперативной памяти,
лог сканирования добавить на форум

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.03.2012 19:53:39

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 deltmp delnfr regt 14 restart

перезагрузка,

сделайте образ автозапуска в безопасном режиме,
и лог сканирования в ESET NOD32 только оперативной памяти

Изменено: santy - 22.03.2012 19:54:18

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.03.2012 19:38:08

новый образ автозапуска,
и лог малваребайт обязательно добавлять на форум (даже если он чистый)

Изменено: santy - 22.03.2012 19:39:46

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.03.2012 19:19:07

удалите все найденное в мбам,
перезагрузите систему,
повторите быстрый скан в мбам

[ Как создать образ автозапуска? ]

Перейти

explorer.exe(1836) вероятно модифицированный Win32/TrojanDownloader.Carberp.AD, Пожайлуста помогите удалить вирус

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.03.2012 19:18:05

Валентин,
текст скрипта лучше оформлять не как цитату, а как код, иначе строки скрипта заворачиваются, и могут быть выполнены с ошибкой.

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.03.2012 19:04:50

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 zoo %SystemDrive%\PROGRAMDATA\Y5U7VCOYMD.DLL addsgn 4ACD539A553FC79E8838BE3071B42B452540D0F6895BD7CBC5C344B9586A314C6BAC8357C16041FE6B8005925EAA09FAC379A872C75BB5968B37A4916146228C 64 tr.winsock delref %SystemDrive%\PROGRAMDATA\Y5U7VCOYMD.DLL delref HTTP://QIP.RU delref HTTP://SEARCH.QIP.RU deltmp delnfr EXEC cmd /c"netsh reset winsock catalog" restart

Код

;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

zoo %SystemDrive%\PROGRAMDATA\Y5U7VCOYMD.DLL
addsgn 4ACD539A553FC79E8838BE3071B42B452540D0F6895BD7CBC5C344B9586A314C6BAC8357C16041FE6B8005925EAA09FAC379A872C75BB5968B37A4916146228C 64 tr.winsock
delref %SystemDrive%\PROGRAMDATA\Y5U7VCOYMD.DLL
delref HTTP://QIP.RU
delref HTTP://SEARCH.QIP.RU
deltmp
delnfr
EXEC cmd /c"netsh reset winsock catalog"
restart

перезагрузка, пишем о старых и новых проблемах.
архив (например: 2011-12-31_23-59-59.rar/7z) из папки uVS отправить в почту [email protected], [email protected]
(если архив не был создан автоматически, добавить папку ZOO (если она не пуста) в архив с паролем virus )
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.03.2012 18:52:16

продолжаем выполнять рекомендации от слов далее,

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память explorer.exe(2888)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.03.2012 18:46:03

лучше глубокое

[ Как создать образ автозапуска? ]

Перейти