santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Win32/trojanDownloader.Carberp.AD

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 04.02.2012 11:18:51

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 addsgn A7679B19B95226F76185C4870EE7FAC7308AFC754DEA4CF1C013933FA88F055FA85A13DC6B859C04FBEA0777E30349FAFE1BEC1807B0D8C4B462A42F44C22A24 8 a variant of Win32/Kryptik.ZNQ [NOD32] zoo %SystemDrive%\USERS\ПОЛКОВНИК КРУТЭНКО\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\R9DHKPTQON4.EXE bl 4A73AF2411B5FC5BD42B76853F967F37 165888 delall %SystemDrive%\USERS\ПОЛКОВНИК КРУТЭНКО\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\R9DHKPTQON4.EXE delref HTTP://GO.MICROSOFT.COM/FWLINK/?LINKID=56626&HOMEPAGE=HTTP://WEBALTA.RU delref HTTP://SEARCH.LOCALSTRIKE.NET/ delref HTTP://WEBALTA.RU delref HTTP://WWW.APEHA.RU deltmp delnfr exec C:\PROGRAM FILES\TICNO\MULTIBAR\UNINSTALL.EXE restart

Код

;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
addsgn A7679B19B95226F76185C4870EE7FAC7308AFC754DEA4CF1C013933FA88F055FA85A13DC6B859C04FBEA0777E30349FAFE1BEC1807B0D8C4B462A42F44C22A24 8 a variant of Win32/Kryptik.ZNQ [NOD32]
zoo %SystemDrive%\USERS\ПОЛКОВНИК КРУТЭНКО\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\R9DHKPTQON4.EXE
bl 4A73AF2411B5FC5BD42B76853F967F37 165888
delall %SystemDrive%\USERS\ПОЛКОВНИК КРУТЭНКО\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\R9DHKPTQON4.EXE
delref HTTP://GO.MICROSOFT.COM/FWLINK/?LINKID=56626&HOMEPAGE=HTTP://WEBALTA.RU
delref HTTP://SEARCH.LOCALSTRIKE.NET/
delref HTTP://WEBALTA.RU
delref HTTP://WWW.APEHA.RU
deltmp
delnfr
exec C:\PROGRAM FILES\TICNO\MULTIBAR\UNINSTALL.EXE
restart

перезагрузка,
пишем о старых и новых проблемах.
архив (например: 2010-10-04_13-30-55.rar/7z) из папки uVS отправить в почту [email protected], [email protected]
(если архив не был создан автоматически,
самостоятельно добавить папку ZOO (с копиями вирусов для вирлаба) в архив с паролем infected )
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » explorer.exe модифицированный Win32/TrojanDownloader.Carberp.AH троянская программа очистка невозможна, Помагите

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 04.02.2012 11:12:23

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\DDVSWAKTE0U.EXE addsgn A7679B19B90E260861BC466247C81286E18296F2E3A3758AEF4A2D4272D671CFE70790BFB0679D49414FEEE02C58A17D5ADFE8F191D6E697B367A42FADB248FD 8 a variant of Win32/Kryptik.ZSX [NOD32] bl 765F8067BB132A79AAE2156172B86743 178176 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\DDVSWAKTE0U.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\QIPGUARD\QIPGUARD.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\MICROSOFT\INTERNET EXPLORER\QIPSEARCHBAR.DLL delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\MICROSOFT\INTERNET EXPLORER\QSTATSRV.DLL delref HTTP://QIP.RU delref HTTP://SEARCH.QIP.RU deltmp delnfr restart

Код

;uVS v3.74 script [http://dsrt.dyndns.org]   
;Target OS: NTv5.1
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\DDVSWAKTE0U.EXE
addsgn A7679B19B90E260861BC466247C81286E18296F2E3A3758AEF4A2D4272D671CFE70790BFB0679D49414FEEE02C58A17D5ADFE8F191D6E697B367A42FADB248FD 8 a variant of Win32/Kryptik.ZSX [NOD32]

bl 765F8067BB132A79AAE2156172B86743 178176
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\DDVSWAKTE0U.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\QIPGUARD\QIPGUARD.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\MICROSOFT\INTERNET EXPLORER\QIPSEARCHBAR.DLL
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\MICROSOFT\INTERNET EXPLORER\QSTATSRV.DLL
delref HTTP://QIP.RU
delref HTTP://SEARCH.QIP.RU
deltmp
delnfr
restart

[ Как создать образ автозапуска? ]

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.02.2012 21:30:06

на Админ_планете работают близко по методе pchelpforum. весьма оперативно лечат.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] TrojanDownloader.Carberp.AH

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.02.2012 21:03:49

проверьте после перезагрузки системы.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] TrojanDownloader.Carberp.AH

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.02.2012 20:50:44

dos41519,
а что мы тогда ищем. Его (Carberp) изначально уже не было на начало создания образа автозапуска.
--------
выполните наши рекомендации по безопасной работе.
http://forum.esetnod32.ru/forum9/topic751/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] TrojanDownloader.Carberp.AH

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.02.2012 20:24:37

в мбам очистить все.
далее, в ESET NOD32 выполнить сканирование только оперативной памяти.
лог сканирования добавить на форум.

Изменено: santy - 03.02.2012 20:26:13

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] TrojanDownloader.Carberp.AH

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.02.2012 19:59:15

Скачайте, распакуйте и запустите TDSSKiller:
http://support.kaspersky.ru/faq/?qid=208636926
Если программа найдет файл WINDOWS\system32\Drivers\sptd.sys, то не удаляйте его.
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] TrojanDownloader.Carberp.AH

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.02.2012 19:19:30

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 delall %SystemDrive%\USERS\DOSDOS\APPDATA\LOCAL\TEMP\MS0CFG32.EXE deltmp delnfr restart

перезагрузка,
пишем о старых и новых проблемах.
+
добавить лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] NOD32 нашел в оперативной памяти вирус

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.02.2012 17:48:55

хм, а Виктор у нас тоже решил практиковаться в лечении заражений?

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » explorer.exe(1608) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 03.02.2012 17:44:30

это удалите в мбам
Обнаруженные файлы: 2

Цитата
C:\Documents and Settings\Admin\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято. C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.

далее,
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic751/

[ Как создать образ автозапуска? ]

Перейти