santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] помогите с вирусом Win32/TrojanDownloader.Carberp.AF, Оперативная память » explorer.exe(2904) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.03.2012 11:30:19

хорошо, ждем выполнения рекомендаций и новые логи

Перейти

[ Закрыто] Вирус в оперативной памяти explorer.exe(2032)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.03.2012 11:28:48

лог tdsskiller чистый,

по журналу
[QUOTE]11.03.2012 11:23:14 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память » explorer.exe(276) вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа очистка невозможна Андрей-ПК\Андрей [/QUOTE]
выполните [URL=http://forum.esetnod32.ru/forum9/topic682/]быструю проверку системы в малваребайт[/URL]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.03.2012 11:25:29

[QUOTE]kas пишет:
На машине целый серпентарий.

с чего начать лечить ?[/QUOTE]
начать надо было со скрипта в uVS.
--------
сейчас удалите все в мбам,
затем пролечите это в tdsskiller
[QUOTE]11:17:28.0234 3976 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - skipped by user
11:17:28.0234 3976 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - User select action: Skip
11:17:28.0234 3976 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.b ) - skipped by user
11:17:28.0234 3976 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.b ) - User select action: Skip

[/QUOTE]
перегрузите систему,
сделайте новый образ в uVS, malwarebytes, tdsskiller

Изменено: santy - 11.03.2012 11:25:52

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.03.2012 10:51:38

исключил строки из скрипта, сам скрипт лучше выполнить, затем уже tdsskiller

Изменено: santy - 11.03.2012 10:52:07

Перейти

[ Закрыто] Помогите с вирусом

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.03.2012 10:05:35

а где образ автозапуска или ссылка на него?

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.03.2012 10:03:22

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]
;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

deltmp
delnfr
fixvbr C: 5
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
----------
если не поможет,
(может быть такое, поскольку "маячок" (или Carberp) не простой а с секретом
https://www.virustotal.com/file/a83e7075663f77c69ea388c63852dcd6f9b7e3798bb9a147a6b01c0a9432c637/analysis/1331445263/
),
тогда
Скачайте, распакуйте и запустите TDSSKiller:
http://support.kaspersky.ru/faq/?qid=208636926
Если программа найдет файл WINDOWS\system32\Drivers\sptd.sys, то не удаляйте его.
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.

Изменено: santy - 11.03.2012 10:51:16

Перейти

[ Закрыто] Модифицированный Win32/Corkow.A троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.03.2012 08:09:42

а вот это зря. тему конечно закрываю.

Перейти

[ Закрыто] Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.03.2012 07:16:34

это удалите в МБАМ,
[QUOTE]HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer|NoSMHelp (PUM.Hijack.Help) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.[/QUOTE]
далее,
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

Перейти

[ Закрыто] Вирус в оперативной памяти explorer.exe(2032)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.03.2012 05:51:41

этот еще скрипт выполните в uVS
-------
[SIZE="4"][COLOR="Red"]выполняем скрипт в uVS[/COLOR][/SIZE]
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]
;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.0

delall %SystemDrive%\PROGRAM FILES\FACEMOODS.COM\FACEMOODS\1.4.17.2\FACEMOODSTLBR.DLL
delall %SystemDrive%\PROGRAM FILES\FACEMOODS.COM\FACEMOODS\1.4.17.2\BH\FACEMOODS.DLL
deltmp
delnfr
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.

Перейти

[ Закрыто] win32/Spy.Shiz.NCF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 11.03.2012 05:42:05

вы прикрепили лог выполнения скрипта в uVS (что есть тоже полезное дело),

лог малваребайт необходим для контроля состояния системы.
-----
так же выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

Изменено: santy - 11.03.2012 05:42:51

Перейти