santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Win32/TrojanDownloader.Carberp.AF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.11.2011 22:09:08

выполнить скрипт в uVS
(закрыть браузеры перед выполнением скрипта)
меню - скрипты - выполнить скрипт из буфера обмена

Код
;uVS v3.72 BETA 4 script [http://dsrt.dyndns.org] delall %Sys32%\17FFF160.EXE delall %SystemRoot%\APPPATCH\DNJLHSD.DAT delall %Sys32%\VFXCANW.EXE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\MICROSOFT\INTERNET EXPLORER\QIPSEARCHBAR.DLL addsgn A7679B1BB9364E720BE77C38F1D4ECFADAD97734022296E5D93D3A43065DFC10DDE83CDA3AC060492B800DD29A9FCCD2822017257E1B19842D77A45BD535DDC9 8 Carberp zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE bl EF273282C0D2E9D54AA9EB751F98AE98 163328 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE chklst delvir delref HTTP://SEARCH.QIP.RU delref HTTP://WEBALTA.RU deltmp delnfr regt 5 regt 12 regt 13 regt 18 czoo restart

Код


;uVS v3.72 BETA 4 script [http://dsrt.dyndns.org]

delall %Sys32%\17FFF160.EXE
delall %SystemRoot%\APPPATCH\DNJLHSD.DAT
delall %Sys32%\VFXCANW.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\MICROSOFT\INTERNET EXPLORER\QIPSEARCHBAR.DLL
addsgn A7679B1BB9364E720BE77C38F1D4ECFADAD97734022296E5D93D3A43065DFC10DDE83CDA3AC060492B800DD29A9FCCD2822017257E1B19842D77A45BD535DDC9 8 Carberp

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
bl EF273282C0D2E9D54AA9EB751F98AE98 163328
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
chklst
delvir
delref HTTP://SEARCH.QIP.RU
delref HTTP://WEBALTA.RU
deltmp
delnfr
regt 5
regt 12
regt 13
regt 18
czoo
restart

перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected], [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

Изменено: santy - 17.11.2011 22:35:44 (исправил скрипт с учетом удаления статических маршрутов)

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирус Оп.Памяти., Просьба помочь.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.11.2011 21:44:34

Код
;uVS v3.72 BETA 4 script [http://dsrt.dyndns.org] delall D:\AUTORUN.INF delall %SystemDrive%\USERS\ADMIN\APPDATA\LSASS.EXE deltmp delnfr regt 5 regt 12 regt 18 restart

перезагрузка, пишем о старых и новых проблемах.
+
сделайте дополнительно проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Вирус Оп.Памяти., Просьба помочь.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.11.2011 21:36:30

добавьте лог журнала обнаруженных угроз
http://forum.esetnod32.ru/forum9/topic1408/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » explorer.exe(2168) модифицированный Win32/TrojanDownloader.Carberp.AF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.11.2011 21:25:35

а почему журналы сканирования пустые? нет ни даты сканирования, ни кол-ва просканированных файлов, ни результата

[ Как создать образ автозапуска? ]

Перейти

модифицированный Win32/Corkow.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.11.2011 21:09:31

сорри, в предыдущем скрипте была ошибка.
---------------------
выполнить скрипт в uVS
(закрыть браузеры перед выполнением скрипта)
меню - скрипты - выполнить скрипт из буфера обмена

Код
;uVS v3.72 BETA 4 script [http://dsrt.dyndns.org] sreg delref %SystemRoot%\SYSWOW64\WFCJDNE.DLL areg

перезагрузка, новый образ автозапуска

[ Как создать образ автозапуска? ]

Перейти

модифицированный Win32/Corkow.A

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.11.2011 21:03:36

удалите все найденное в МБАМ,
перезагрузка,
новый лог МБАМ

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память » explorer.exe(2168) модифицированный Win32/TrojanDownloader.Carberp.AF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.11.2011 21:00:04

Heify, сделайте следующее:
1. лог Eeset Sysinspector, встроенным в антивирус модулем.
2. лог сканирования (выборочное сканирование), но только оперативной области.
3. лог сканирования (выборочное) но только загрузочной области диск C

[ Как создать образ автозапуска? ]

Перейти

Win32/TrojanDownloader.Carberp.AF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.11.2011 18:33:31

как создать загрузочный диск WinPE&uVS
http://forum.esetnod32.ru/forum6/topic2102/
можно так же использовать любой загрузочный диск с возможностью запуска uVS с флэшки, или с жесткого диска.

[ Как создать образ автозапуска? ]

Перейти

Win32/TrojanDownloader.Carberp.AF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.11.2011 18:30:34

1. по Carberp все понятно, вылечим скриптом.
2. в uVS есть подозрение на руткит.

Цитата
(!) Не удалось получить прямой доступ к физическому диску #0, возможно в системе активен руткит! .... Нет доступа к файлу, возможно файл защищен [ C:\NTDETECT.COM ] (!) Не удалось получить доступ к C:\NTDETECT.COM Ошибка доступа к файлу: C:\NTDETECT.COM Нет доступа к файлу, возможно файл защищен [ C:\NTLDR ]

Цитата

(!) Не удалось получить прямой доступ к физическому диску #0, возможно в системе активен руткит!
....
Нет доступа к файлу, возможно файл защищен [ C:\NTDETECT.COM ]
(!) Не удалось получить доступ к C:\NTDETECT.COM
Ошибка доступа к файлу: C:\NTDETECT.COM
Нет доступа к файлу, возможно файл защищен [ C:\NTLDR ]

а вот вторую проблему видимо придется решать комбинированным путем.
Сможете выполнить поиск руткита по файлу сверки?
http://forum.esetnod32.ru/forum9/topic2729/
---------------
1.
выполнить скрипт в uVS
(закрыть браузеры перед выполнением скрипта)
меню - скрипты - выполнить скрипт из буфера обмена

Код
;uVS v3.72 BETA 4 script [http://dsrt.dyndns.org] addsgn A7679B1BB91A4E720B5FEB0DE98492CD0E42D73EB23B6A41B6114E3918298EB31E4049573E21B762FBB344B48E9B0DF372F42A4994AEAAA7B83F5BD0388B6EE1 8 a variant of Win32/Kryptik.VNH [NOD32] zoo %SystemDrive%\DOCUMENTS AND SETTINGS\L.ZADINA\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE bl 2F904D2950909F857B5D476BB81BB125 159744 delall %SystemDrive%\DOCUMENTS AND SETTINGS\L.ZADINA\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE chklst delvir deltmp delnfr restart

Код


;uVS v3.72 BETA 4 script [http://dsrt.dyndns.org]

addsgn A7679B1BB91A4E720B5FEB0DE98492CD0E42D73EB23B6A41B6114E3918298EB31E4049573E21B762FBB344B48E9B0DF372F42A4994AEAAA7B83F5BD0388B6EE1 8 a variant of Win32/Kryptik.VNH [NOD32]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\L.ZADINA\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
bl 2F904D2950909F857B5D476BB81BB125 159744
delall %SystemDrive%\DOCUMENTS AND SETTINGS\L.ZADINA\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
chklst
delvir
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.

новый образ автозапуска,
или новый образ автозапуска из под Live.CD с учетом поиска руткита.

[ Как создать образ автозапуска? ]

Перейти

Win32/TrojanDownloader.Carberp.AF

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.11.2011 17:02:37

сделайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти