santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

поговорить о uVS, Carberp, планете Земля

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 02.02.2012 19:36:48

Арвид, прав в том, что Carberp с маркировкой AF (не только Carberp.A) может содержать бутовый компонент.
http://pchelpforum.ru/f26/t86153/

Изменено: santy - 03.02.2012 08:40:16

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память explorer.exe(1940) вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 02.02.2012 19:34:13

предыдущий образ был сделан версией 3.62,
версия старая, поэтому в образ не попали загрузчики, что побудило RP55 запросить лог tdsskiller.
-----
далее,
выполните наши рекомендации по безопасной работе
http://forum.esetnod32.ru/forum9/topic751/
тему закрываем.

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 02.02.2012 19:23:05

NIGI, переделайте образ автозапуска новой версией uVS 3.74
http://soft.oszone.net/program/8729/U...iffer_uVS/

[ Как создать образ автозапуска? ]

Перейти

Webalta в качестве домашней страницы

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 02.02.2012 18:54:55

проверьте, что прописано в свойствах ярлыка Internet Explorer на рабочем столе.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » explorer.exe(1800) - модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна, Помогите пожалуйста!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 02.02.2012 18:50:04

сделайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 02.02.2012 18:48:59

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\XD6LDMEVQMO.EXE addsgn A7679B19B93A26856158468C40C81286E182967EE30275DAEF582D0A79D671CFE707903D8C3FB923D1EA63774D3749FAFE1BF818C3B050C4CD55A42F44C22A25 8 Trojan.Carberp.29 [DrWeb] zoo %SystemRoot%\PNUUM.SYS addsgn A76D8B9A556ACC01FA8C2F4B82F80964506DF9F288FA1E90C243C5BC51C360593212C25209C70C589C27859E4715E15864DEE96340CBB52D28B8AD8B9B372372 8 Win32/Rootkit.Kryptik.EN [NOD32] bl 63C1EE083093BCFC10607BBBF5328D7F 180224 delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\XD6LDMEVQMO.EXE deltmp delnfr sreg delref %SystemRoot%\PNUUM.SYS areg

Код

;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\XD6LDMEVQMO.EXE
addsgn A7679B19B93A26856158468C40C81286E182967EE30275DAEF582D0A79D671CFE707903D8C3FB923D1EA63774D3749FAFE1BF818C3B050C4CD55A42F44C22A25 8 Trojan.Carberp.29 [DrWeb]

zoo %SystemRoot%\PNUUM.SYS
addsgn A76D8B9A556ACC01FA8C2F4B82F80964506DF9F288FA1E90C243C5BC51C360593212C25209C70C589C27859E4715E15864DEE96340CBB52D28B8AD8B9B372372 8 Win32/Rootkit.Kryptik.EN [NOD32]

bl 63C1EE083093BCFC10607BBBF5328D7F 180224
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\XD6LDMEVQMO.EXE
deltmp
delnfr

sreg
delref %SystemRoot%\PNUUM.SYS
areg

перезагрузка,
пишем о старых и новых проблемах.
архив (например: 2010-10-04_13-30-55.rar/7z) из папки uVS отправить в почту [email protected], [email protected]
(если архив не был создан автоматически,
самостоятельно добавить папку ZOO (с копиями вирусов для вирлаба) в архив с паролем infected )
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт

[ Как создать образ автозапуска? ]

Перейти

Webalta в качестве домашней страницы

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 02.02.2012 18:26:25

сделайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] модифицированный Win32/Corkow, explorer.exe(1360) заражен модифицированный Win32/Corkow

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 02.02.2012 17:02:19

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 delall %SystemDrive%\DOCUMENTS AND SETTINGS\HRISTININA\APPLICATION DATA\LBISOV.EXE delall F:\MENINIKO\NETREBA.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\HRISTININA\APPLICATION DATA\QMKIN.EXE deltmp delnfr regt 5 regt 12 restart

Код

;uVS v3.74 script [http://dsrt.dyndns.org]   
;Target OS: NTv5.1

delall %SystemDrive%\DOCUMENTS AND SETTINGS\HRISTININA\APPLICATION DATA\LBISOV.EXE
delall F:\MENINIKO\NETREBA.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\HRISTININA\APPLICATION DATA\QMKIN.EXE
deltmp
delnfr
regt 5
regt 12
restart

перезагрузка, пишем о старых и новых проблемах.
архив (например: 2010-10-04_13-30-55.rar/7z) из папки uVS отправить в почту [email protected]
если архив не был создан автоматически,
самостоятельно добавить папку ZOO (с копиями вирусов для вирлаба) в архив с паролем infected
----------
далее,
выполните быстрое сканирование в Malwarebytes

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] модифицированный Win32/Corkow, explorer.exe(1360) заражен модифицированный Win32/Corkow

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 02.02.2012 16:58:21

что то по журналу нет записей про Corkow, да и дата недельной давности последней угрозы.

Цитата
26.01.2012 10:50:34 Защита в режиме реального времени файл C:\Program Files\sm45\GMapCache\zbpvwm.exe модифицированный Win32/Tifaut.C червь удален - изолирован NT AUTHORITY\SYSTEM Событие произошло при попытке доступа к файлу следующим приложением: C:\WINDOWS\explorer.exe.

Цитата

26.01.2012 10:50:34 Защита в режиме реального времени файл C:\Program Files\sm45\GMapCache\zbpvwm.exe модифицированный Win32/Tifaut.C червь удален - изолирован NT AUTHORITY\SYSTEM Событие произошло при попытке доступа к файлу следующим приложением: C:\WINDOWS\explorer.exe.

образ сейчас посмотрю.

[ Как создать образ автозапуска? ]

Перейти

Carberp.AD троянская программа - очистка невозможна, Оперативная память » explorer.exe(1860) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна, HELP!!!

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 02.02.2012 15:46:39

Код
;uVS v3.74 script [http://dsrt.dyndns.org] addsgn A7679B19B922C77F273DECB18CDD3D0525D99654E341750E6DF6F5BC5055B540496A2BB213559DCAEF84D2F5F77CE8128FF1E872D61EB8C48050A42F908DF29B 8 a variant of Win32/Kryptik.ZUT [NOD32] zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\D1Z7GYGJBIS.EXE bl EAF1DD6CBA066379D7724B9EAE59F529 185344 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\D1Z7GYGJBIS.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\8DFDEB.EXE chklst delvir delref HTTP://QIP.RU delref HTTP://SEARCH.QIP.RU deltmp delnfr restart

Код


;uVS v3.74 script [http://dsrt.dyndns.org]  
 
addsgn A7679B19B922C77F273DECB18CDD3D0525D99654E341750E6DF6F5BC5055B540496A2BB213559DCAEF84D2F5F77CE8128FF1E872D61EB8C48050A42F908DF29B 8 a variant of Win32/Kryptik.ZUT [NOD32]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\D1Z7GYGJBIS.EXE
bl EAF1DD6CBA066379D7724B9EAE59F529 185344
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\D1Z7GYGJBIS.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\8DFDEB.EXE
chklst
delvir
delref HTTP://QIP.RU
delref HTTP://SEARCH.QIP.RU
deltmp
delnfr
restart

[ Как создать образ автозапуска? ]

Перейти