santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Оперативная память » explorer.exe(2036) - модифицированный Win32/Corkow.A троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 11:43:02

закрыть браузеры перед выполнением скрипта
выполнить скрипт в uVS
меню - скрипты - выполнить скрипт из буфера обмена

Код
;uVS v3.72 script [http://dsrt.dyndns.org] addsgn 79A853921D1F5241CB57569C1BC05286DDEE800362F575787AB7E1ACAFA25540CB0B3CA8C13F9C11E98C84F5457C49907D37E38DAA2535EC59675B5BE30ADD07 8 Corkow[NOD32] zoo %SystemDrive%\DOCUMENTS AND SETTINGS\FAMILY\APPLICATION DATA\MICROSOFT CORPORATION\MSPUID.AVE delall %SystemDrive%\DOCUMENTS AND SETTINGS\FAMILY\APPLICATION DATA\MICROSOFT CORPORATION\MSPUID.AVE chklst delvir deltmp delnfr restart

Код


;uVS v3.72 script [http://dsrt.dyndns.org]

addsgn 79A853921D1F5241CB57569C1BC05286DDEE800362F575787AB7E1ACAFA25540CB0B3CA8C13F9C11E98C84F5457C49907D37E38DAA2535EC59675B5BE30ADD07 8 Corkow[NOD32]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\FAMILY\APPLICATION DATA\MICROSOFT CORPORATION\MSPUID.AVE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\FAMILY\APPLICATION DATA\MICROSOFT CORPORATION\MSPUID.AVE
chklst
delvir
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

Изменено: santy - 28.11.2011 11:45:25

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] угроза памяти, модифицированный Win32/Carberp.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 11:41:23

Код
;uVS v3.72 script [http://dsrt.dyndns.org] fixvbr C: 6 deltmp delnfr regt 5 regt 18 restart

перезагрузка, пишем о старых и новых проблемах.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » explorer.exe(1424) модифицированный Win32/Carberp.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 11:38:44

имеет смысл с нее загрузиться и так же сделать образ автозапуска. (отдельно)
----------
по этой системе:
сделайте лог МБАМ
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » svchost.exe(992) модифицированный Win32/Corkow. & Оперативная память » explorer.exe(1988) модифицированный Win32/Carberp.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 10:19:14

тему закрываю.

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 10:17:12

что с карантином tdsskiller? отправили? нет?

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 10:07:09

карантин сделали при удалении этих объектов?

Цитата
16:58:05.0263 3116 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.a ) - will be cured on reboot 16:58:05.0263 3116 \Device\Harddisk0\DR0\Partition0 - ok 16:58:05.0263 3116 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.a ) - User select action: Cure

заархивируйте всю папку tdsskiller в корневом каталоге с паролем infected
вышлите в посту [email protected]

пишем результат.

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 09:51:36

удалить все найденное в МБАМ
далее,
скачайте tdsskiller отсюда
http://rghost.ru/32097421
при сканировании, ничего не удаляйте,
то что будет задетектировано, добавьте в карантин.
лог сканирования добавить на форум.

[ Как создать образ автозапуска? ]

Перейти

Модифицированный Win32/TrojanDownloader.Carberp.AF, Оперативная память » explorer.exe(788) модифицированный Win32/TrojanDownloader.Carberp.AF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 09:24:16

Код
;uVS v3.72 script [http://dsrt.dyndns.org] zoo %SystemDrive%\PROGRAM FILES\PROCESS KILLER\PRKILLER.EXE addsgn 925277AA176AC1CC0B34534E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5FC202ADA4D985CC8F 8 DangerousObject.Multi.Generic zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ROOT\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE addsgn 79132211B9EBA03A0ED4AE3A69B402442501E98A99BB1FF1C84B4C31F02B8EB3AA8217ACC1AACE7AEBAB4614D316B20582567D6EAA254FA5A85B5FD03850ABF6 8 Win32.Carberp.bqn [Kaspersky] delall %SystemDrive%\PROGRAM FILES\PROCESS KILLER\PRKILLER.EXE bl C8CDAE8C5F95FBABA6E28833BC2A3186 168448 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ROOT\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE chklst delvir deltmp delnfr restart

Код


;uVS v3.72 script [http://dsrt.dyndns.org]

zoo %SystemDrive%\PROGRAM FILES\PROCESS KILLER\PRKILLER.EXE
addsgn 925277AA176AC1CC0B34534E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5FC202ADA4D985CC8F 8 DangerousObject.Multi.Generic

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ROOT\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
addsgn 79132211B9EBA03A0ED4AE3A69B402442501E98A99BB1FF1C84B4C31F02B8EB3AA8217ACC1AACE7AEBAB4614D316B20582567D6EAA254FA5A85B5FD03850ABF6 8 Win32.Carberp.bqn [Kaspersky]

delall %SystemDrive%\PROGRAM FILES\PROCESS KILLER\PRKILLER.EXE
bl C8CDAE8C5F95FBABA6E28833BC2A3186 168448
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ROOT\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
chklst
delvir
deltmp
delnfr
restart

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » explorer.exe(1424) модифицированный Win32/Carberp.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 09:21:29

на разделе D есть установленная система? если да, то какая система установлена на D.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » explorer.exe(1424) модифицированный Win32/Carberp.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.11.2011 09:19:24

Код
;uVS v3.72 script [http://dsrt.dyndns.org] addsgn 79132211B9EBA00608D4AE3A695C1244250179DE7605E0F1081F3943AFFDB077A6F73FA8C121DFC23EA884DE46158877F599047255532534D3885B148AA2565A 8 Trojan.Carberp.10 [DrWeb] zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE bl FB7682419DB74492637FE96258280A19 165376 delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE chklst delvir deltmp delnfr regt 5 regt 18 restart

Код


;uVS v3.72 script [http://dsrt.dyndns.org]

addsgn 79132211B9EBA00608D4AE3A695C1244250179DE7605E0F1081F3943AFFDB077A6F73FA8C121DFC23EA884DE46158877F599047255532534D3885B148AA2565A 8 Trojan.Carberp.10 [DrWeb]

zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE
bl FB7682419DB74492637FE96258280A19 165376
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE
chklst
delvir
deltmp
delnfr
regt 5
regt 18
restart

[ Как создать образ автозапуска? ]

Перейти