santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Помогите удалить вирус, Оперативная память » explorer.exe(284) - модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.12.2011 12:19:08

в МБАМ удалите все найденные объекты, кроме

Цитата
Объекты реестра заражены: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Цитата

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

+
лог tdsskiller
Скачайте, распакуйте и запустите TDSSKiller:
http://support.kaspersky.ru/faq/?qid=208636926
Если программа найдет файл WINDOWS\system32\Drivers\sptd.sys, то не удаляйте его.
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.12.2011 12:16:12

выполните полное сканирование системы в ESET NOD32.
лог сканирования можно сюда добавить.
для проверки, выдержала система атаку Expiro или нет.
-------
хотя судя по дате заражения - ESET NOD32 выдержал заражение Expiro

Цитата
13.12.2011 14:38:31 Защита в режиме реального времени файл C:\Windows\winhlp32.vir Win32/Expiro.NAB вирус очищен - изолирован DNAPC\Администратор Событие произошло в новом файле, созданном следующим приложением: C:\Users\Администратор\AppData\Local\Temp\9902.tmp.

но пропустил Carberp

Изменено: santy - 15.12.2011 12:17:39

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Прошу помощи по удалении вируса в ОЗУ, Оперативная память » explorer.exe(688) - модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.12.2011 11:04:24

хорошо,
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic751/
тему закрываю

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите очистить систему.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.12.2011 11:03:06

далее,
сделайте дополнительно проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите очистить систему.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.12.2011 11:02:37

выполнить скрипт в uVS
скопировать содержимое кода в буфер обмена
закрыть браузеры перед выполнением скрипта
uVS: start.exe, текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена

Код
;uVS v3.73 script [http://dsrt.dyndns.org] delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QIPSEARCHBAR.DLL addsgn 9252774A156AC1CC0B94514E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5FC202ADA4D985CC8F 8 BackDoor.Tdss [DrWeb] zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\2ZCY9BV5I.EXE bl A9AC0E1E9ED731C591B97CC6692FB5E3 150016 delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\2ZCY9BV5I.EXE chklst delvir delref HTTP://SEARCH.QIP.RU deltmp delnfr restart

Код


;uVS v3.73 script [http://dsrt.dyndns.org]

delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QIPSEARCHBAR.DLL
addsgn 9252774A156AC1CC0B94514E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5FC202ADA4D985CC8F 8 BackDoor.Tdss [DrWeb]

zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\2ZCY9BV5I.EXE
bl A9AC0E1E9ED731C591B97CC6692FB5E3 150016
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\2ZCY9BV5I.EXE
chklst
delvir
delref HTTP://SEARCH.QIP.RU
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected], [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.12.2011 10:02:07

+
сделайте дополнительно проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/
+
лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.12.2011 10:01:04

Код
;uVS v3.73 script [http://dsrt.dyndns.org] zoo %SystemRoot%\DFRHH.SYS addsgn A76D8B9A556ACC01FA8C2F4B82F80964506DF9F288FA1E90C243C5BC51C360593212C25209C70C589C27859E4715E15864DEE96340CBB52D28B8AD8B9B372372 8 Win32/Rootkit.Kryptik.EN [NOD32] zoo %SystemRoot%\APPPATCH\TLERLW.EXE bl 6F15DAB031E7619FDD5964CC7F5B5255 278528 delall %SystemRoot%\APPPATCH\TLERLW.EXE deltmp delnfr sreg delref %SystemRoot%\DFRHH.SYS areg

Код


;uVS v3.73 script [http://dsrt.dyndns.org]

zoo %SystemRoot%\DFRHH.SYS
addsgn A76D8B9A556ACC01FA8C2F4B82F80964506DF9F288FA1E90C243C5BC51C360593212C25209C70C589C27859E4715E15864DEE96340CBB52D28B8AD8B9B372372 8 Win32/Rootkit.Kryptik.EN [NOD32]

zoo %SystemRoot%\APPPATCH\TLERLW.EXE
bl 6F15DAB031E7619FDD5964CC7F5B5255 278528
delall %SystemRoot%\APPPATCH\TLERLW.EXE
deltmp
delnfr
sreg
delref %SystemRoot%\DFRHH.SYS
areg

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.12.2011 08:58:29

добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

[ Как создать образ автозапуска? ]

Перейти

Оперативная память » explorer.exe(2000) модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна, ПРошу помощи в удалении данной проблемы

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.12.2011 08:55:20

добавьте лог журнала обнаружения угроз.
http://forum.esetnod32.ru/forum9/topic1408/
что -то много подозрительных системных файлов в образе, возможно еще и файловое заражение.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] поогите почистить оперативную память, Оперативная память » explorer.exe(712) - модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.12.2011 05:56:46

удалите в МБАМ

Цитата
Зараженные файлы: c:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> No action taken.

выполните наши рекомендации,
http://forum.esetnod32.ru/forum9/topic751/

тема закрыта.

Изменено: santy - 15.12.2011 05:57:07

[ Как создать образ автозапуска? ]

Перейти