santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Оперативная память - модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.10.2011 07:15:46

[B]openid.yandex.ru/kwest23,[/B]
1. не надо копировать в сообщение простыни из логов, делайте вложением файлов, или ссылкой на файловые обменники.

2. по обновлению антивируса.
Это действие выполнили?
[QUOTE]- пробуем обновить антивирус, выполнить полное сканирование;
(если обновление не выполнено, возможно поможет очистка кэша в настройках антивируса+
запуска вручную обновления баз)
[/QUOTE]
3. эти записи в МБАМ удалите.
[QUOTE]Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPROTOCOL (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netprotocol (Trojan.Agent) -> No action taken. [/QUOTE]

Перейти

[ Закрыто] Оперативная память - модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.10.2011 20:39:16

выполните скрипт в uVS [B]из файла[/B]
+ все процедуры по ссылке
http://forum.esetnod32.ru/forum9/topic2478/

перезагрузка,

сделайте лог малваребайт
http://forum.esetnod32.ru/forum9/topic682/

Изменено: santy - 24.10.2011 20:39:45

Перейти

[ Закрыто] Ошибка распаковки файлов

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.10.2011 19:39:58

вот такой еще (приложенный) скрипт выполните в uVS по мотивам второго образа автозапуска.

----------
+
скачайте программу malwarebytes (free version)
http://www.malwarebytes.org/mbam.php

установить ([b]только сканер!(при установке отказываемся от пробного периода)[/b]),
обновить базы, выполнить быстрое сканирование,
после завершения сканирования,
текстовый лог (сохранить как файл) добавить в ваше сообщение на форум.

Перейти

[ Закрыто] Ошибка распаковки файлов

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.10.2011 18:56:25

[B]ZloyDi[/B], судя по всему - образ автозапуска от вирусо_испытатателя. :). Часть вирусных файликов запущена вручную. Видимо, Процесс вышел из под контроля. :)

Изменено: santy - 24.10.2011 18:56:44

Перейти

[ Закрыто] Ошибка распаковки файлов

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.10.2011 18:44:50

тема будет перемещена в раздел обнаружение вредоносного кода

Перейти

[ Закрыто] Адрес заблокирован, ESET всё время блокирует один и тот же адрес

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.10.2011 06:23:53

файл скрпита необходимо скачать по ссылке "скачать",
и сохранить как файл, не открывая его в редакторе.
-------------
если проблема до сих пор актуальна,
значит нужен новый образ автозапуска в uVS

Перейти

[ Закрыто] Адрес заблокирован. Адрес URL: "разные латинские буквы/domain.php"

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.10.2011 22:26:48

+ лог МБАМ
http://forum.esetnod32.ru/forum9/topic682/

Перейти

Ошибка создания временного файла., ESS 4.2

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.10.2011 22:00:40

[B]RP55, [/B]
сигнатура в скрипт добавляется с ошибкой.
возможно некорректная обработка длинных строк на форуме.
в буфере обмена появляются лишние знаки "-", и они переносятся в окно скрипта.
в случае скриптов с добавлением сигнатур (на этом форуме) лучше сохранять скрипт в файл,
и рекомендовать его выполнять [B]из файла.[/B]

если же командные строки скрипта короткие, то можно рекомендовать
выполнение из буфера обмена.
---------------
по крайней мере, при оформлении скрипта как цитату - эти знаки точно добавляются,
при оформлении как код, надо проверить.

Изменено: santy - 21.10.2011 22:05:02

Перейти

[ Закрыто] "Ошибка создания временного файла"

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.10.2011 20:50:13

1. добавьте на форум файл для анализа
[QUOTE]C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS[/QUOTE]
2.
выполните в uVS скрипт [B]из буфера обмена[/B]

[CODE];uVS v3.71 script [http://dsrt.dyndns.org]

delall %SystemRoot%\USIKI.SYS
regt 5
reg 14
regt 18[/CODE]
без перезагрузки,
3.
+ сделайте лог малваребайт
http://forum.esetnod32.ru/forum9/topic682/
===========
именно в таком порядке, чтобы файл hosts попал для анализа до момента его очистки в скрипте uVS

Изменено: santy - 21.10.2011 20:56:11

Перейти

[ Закрыто] Адрес заблокирован. Адрес URL: "разные латинские буквы/domain.php"

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.10.2011 15:50:12

файл проверьте
C:\WINDOWS\SYSTEM32\IPNATHLP.EXE
чтобы принять решение - удалять его или нет.
нужны гарантии [URL=http://virustotal.com]ВирусТотал[/URL] что это вредоносный файл, хотя бы несколько антивирусов его детектят.

Перейти