Арвид (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Оперативная память » explorer.exe(1700) - модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна, Оперативная память » explorer.exe(1700) - модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 28.02.2012 16:53:22

Сделайте лог uVS

Правильно заданный вопрос - это уже половина ответа

Перейти

[ Закрыто] Оперативная память » explorer.exe, помогите, Оперативная память » explorer.exe(320) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа - очистка невозможна

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 28.02.2012 15:30:35

Запускаем uVS еще раз, только теперь меню Скрипт - Выполнить скрипт находящийся в буфере обмена
Вставляем текст скрипта:
Перед выполнением скрипта, закрыть браузеры!

Код
;;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 zoo %SystemDrive%\USERS\MARTIN\APPDATA\ROAMING\MICROSOFT CORPORATION\DOCWUDRV.FTK bl 74EED0A9BA33D47AEB9A7E333C890DCE 141312 delall %SystemDrive%\USERS\MARTIN\APPDATA\ROAMING\MICROSOFT CORPORATION\DOCWUDRV.FTK zoo %SystemDrive%\USERS\MARTIN\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\TVS3IHU6WHW.EXE bl 0A71777DBF1EB5DE6D16B8A9A1B86617 159232 delall %SystemDrive%\USERS\MARTIN\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\TVS3IHU6WHW.EXE deltmp delnfr czoo restart

Код

;;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

zoo %SystemDrive%\USERS\MARTIN\APPDATA\ROAMING\MICROSOFT CORPORATION\DOCWUDRV.FTK
bl 74EED0A9BA33D47AEB9A7E333C890DCE 141312
delall %SystemDrive%\USERS\MARTIN\APPDATA\ROAMING\MICROSOFT CORPORATION\DOCWUDRV.FTK
zoo %SystemDrive%\USERS\MARTIN\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\TVS3IHU6WHW.EXE
bl 0A71777DBF1EB5DE6D16B8A9A1B86617 159232
delall %SystemDrive%\USERS\MARTIN\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\TVS3IHU6WHW.EXE
deltmp
delnfr
czoo
restart

И жмем Выполнить. После выполнения скрипта - ПК перезагрузится.
В папке с программой UVS появится архив с сегодняшней датой\временем (без имени ПК) - его надо прислать на адрес [email protected]. Если архив не появился, то сами архивируем папку ZOO, ставим пароль virus и отправляем на адрес.
После перезагрузки сделать лог Malwarebytes и выложить сюда. Можно сделать быструю проверку, а не полную.

Правильно заданный вопрос - это уже половина ответа

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 28.02.2012 06:03:38

была повторная проверка. я ответил

Цитата
Арвид пишет: Чисто http://virusscan.jotti.org/en/scanresult/50bd85831c6ae2d1f1e046fdac18ea2c81dc4f21/6acc8de4ae3d315cd370682075736a3359192f06

остальная часть поста относилась к его загрузчикам в архиве (их там несколько ведь)

Изменено: Арвид - 28.02.2012 06:03:57

Правильно заданный вопрос - это уже половина ответа

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 28.02.2012 05:54:34

ну думаю если бы не перезаписал удачно, то хэш загрузчика не изменился бы и по базе проверенных не прошел бы и jotti все также ругался

Правильно заданный вопрос - это уже половина ответа

Перейти

вероятно неизвестный TSR.BOOT вирус

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 28.02.2012 04:36:40

Если есть возможность, то лог Mbam не помешал бы для профилактики
http://forum.esetnod32.ru/forum9/topic682/

Правильно заданный вопрос - это уже половина ответа

Перейти

вероятно неизвестный TSR.BOOT вирус

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 28.02.2012 04:35:50

Чисто
http://virusscan.jotti.org/en/scanresult/50bd85831c6ae2d1f1e046fdac18ea2c81dc4f21/6acc8de4ae3d315cd370682075736a3359192f06
Если есть подозрение на других ПК, то лучше и там сделать логи.
Кстати, не надо пароли архивы, ничего секретного в логе нет ведь.

Правильно заданный вопрос - это уже половина ответа

Перейти

вероятно неизвестный TSR.BOOT вирус

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 28.02.2012 04:05:56

но лечение не будет окончено пока компьютер не перезагрузится
+ еще может быть что руткит защищает себя и не даст uVS перезаписать загрузчик. поэтому надо проверить по новому образу. не поможет - другим способом лечиться будем

Правильно заданный вопрос - это уже половина ответа

Перейти

вероятно неизвестный TSR.BOOT вирус

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 28.02.2012 03:59:15

http://virusscan.jotti.org/en/scanresult/f74709bdae585195f1fe0669a9df80e77e7515cc[/CODE
Да, действительно заражено. Систему эту перезагрузить можно?

Запускаем uVS еще раз, только теперь меню Скрипт - Выполнить скрипт находящийся в буфере обмена
Вставляем текст скрипта:
Перед выполнением скрипта, закрыть браузеры!

Код
;;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 fixvbr C: 5 restart

И жмем Выполнить. После выполнения скрипта - ПК перезагрузится.
После перезагрузки новый образ автозапуска сделать.

Правильно заданный вопрос - это уже половина ответа

Перейти

вероятно неизвестный TSR.BOOT вирус

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 28.02.2012 03:43:50

думаю надо бы выложить образ автозапуска с каждой машины
насче TSR.BOOT - сегодня было несколько тем с подобной проблемой, дело было в антивирусной базе 6918
гляньте темы
http://forum.esetnod32.ru/forum6/topic4429/
http://forum.esetnod32.ru/forum6/topic4427/
http://forum.esetnod32.ru/forum6/topic4432/

Правильно заданный вопрос - это уже половина ответа

Перейти

[ Закрыто] Оперативная память » WgaTray.exe(1308) - модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна, Оперативная память » WgaTray.exe(1308) - модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 28.02.2012 00:13:40

Удалить найденное. Если проблема решена - Выполните рекомендации

Правильно заданный вопрос - это уже половина ответа

Перейти