Арвид (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] модифицированный Win32/TrojanDownloader.Carber.AF троянская программа - очистка невозможна оперативная память

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 04.12.2011 01:03:13

удалите 2 хвоста от вируса (последние 2 файла) и выполните рекомендации с этой страницы - http://forum.esetnod32.ru/forum9/topic751/

Правильно заданный вопрос - это уже половина ответа

Перейти

[ Закрыто] модифицированный Win32/TrojanDownloader.Carber.AF троянская программа - очистка невозможна оперативная память

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 03.12.2011 23:52:22

Crash347,
не удивительно что статья не помогла, тут еще загрузчик заражен

Запускаем uVS еще раз, только теперь Меню Скрипт - Выполнить скрипт находящийся в буфере обмена
И вставляем текст скрипта
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!

Код
;uVS v3.73 script [http://dsrt.dyndns.org] zoo %SystemDrive%\USERS\ALEKSANDR\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE bl F305479311A5BD9A68F07F16B96A82A3 21814 delall %SystemDrive%\USERS\ALEKSANDR\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE fixvbr C: 6 deltmp delnfr restart

Код

;uVS v3.73 script [http://dsrt.dyndns.org]

zoo %SystemDrive%\USERS\ALEKSANDR\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE
bl F305479311A5BD9A68F07F16B96A82A3 21814
delall %SystemDrive%\USERS\ALEKSANDR\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE
fixvbr C: 6
deltmp
delnfr
restart

И жмем выполнить. ПК перезагрузится.
В папке с программой UVS будет папка zoo, ее поместить в архив, установить пароль virus и прислать на адрес [email protected]
После перезагрузки сделать такой лог malwarebytes - http://forum.esetnod32.ru/forum9/topic682/ и выложить сюда

Правильно заданный вопрос - это уже половина ответа

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 03.12.2011 21:34:48

Как избавить от вируса Carberp
Для начала пойдет

Правильно заданный вопрос - это уже половина ответа

Перейти

Как избавить от вируса Carberp, Инструкция для удаления вируса (не для загрузочного варианта)

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 03.12.2011 21:31:49

Итак, если у вас завелся Carberp и антивирус информирует об этом, есть способ избавиться от него с помощью антивируса от ESET.

Для начала надо убедиться что вирус запускается уже в ОС, а не до нее, в загрузочном секторе.
Для этого открываем окно антивируса - Сканирование ПК и выбираем Выборочное сканирование:

Затем жмем Настройка - Очистка и выбираем Уровень очистки на максимум - Тщательная очистка

Далее выбираем у каждого вашего раздела Загрузочный сектор и жмем Сканировать

Если антивирус ничего не нашел, то радуемся и переходим к следующему шагу:
Также заходим в Выборочное сканирование и выбираем каталог для проверки и нажимаем на Сканирование (галочку на Сканировать без очистки не ставить

)

Цитата
для ХР - C:\Documents and Settings\Имя вашего профиля\Главное меню\Программы\Автозагрузка для Vista, 7 - c:\Users\Имя вашего профиля\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

Теперь жмем на Показать сканирование и журнал в отдельном окне:

Где должны увидеть вот такое сообщение:

Если антивирус предложит перезагрузку для удаления вируса - сразу жмите Да. Если не предложит - все равно перезагрузитесь

На этом все. Теперь можете почистить хвосты после вируса - это могут быть папки в корне системного раздела с рандомным именем, например - 2gPzm53eSx3wen4, zLx64TLcqaKlCIo, 4VlJRUKP0ZewDln и т.п.
А также файлы:

Цитата
c:\WINDОWS\system32\iеunitdrf.inf c:\Users\Имя пользовaтеля\AppData\Roaming\igfxtray.dat с:\Documents and Settings\Имя пользовaтеля\Application Data\igfxtray.dat

Если в сканировании ничего не нашлось, значит у антивируса базы обновлений не актуальны и этот экземпляр вируса он просто не видит. Пробуем обновить базы у антивируса и повторяем процедуру. Если ничего не выходит - делаем лог программой uVS (инструкция) и создаем новую тему в этой категории форума, где Вам обязательно помогут

Изменено: Арвид - 03.12.2011 21:44:31

Правильно заданный вопрос - это уже половина ответа

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 03.12.2011 20:06:28

нет, антивирус спокойно обновляет при активном вирусу. ни разу не было проблем с обновлением. Carberp этому не мешает

Правильно заданный вопрос - это уже половина ответа

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 03.12.2011 19:59:42

в принципе обобщать нечего - главное чтобы Нод сигнатурно определял эту модификацию, тогда он справится.
сейчас напишу

Правильно заданный вопрос - это уже половина ответа

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 03.12.2011 19:52:49

Да, получилось после обновления удалить вирус через сканирование папки. Сканирование памяти не дает ничего. Может небольшой мануал со скринами накидать?

Правильно заданный вопрос - это уже половина ответа

Перейти

поговорить о uVS, Carberp, планете Земля

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 03.12.2011 19:41:16

Кстати, сегодня запускал виртуалку, которую около недели не запускал. Там был не вылеченный Carberp, который виделся Нодом сигнатурно на тот момент. Запустил машину, сразу не понял что трафик побежал, через минуту отключил там сеть. Carberp потратил около 1 мб трафика. После этого он модифицировался - изменился размер программы, имя. Нод уже его не видел как вирус (базы не свежие были), но видел как угрозу в памяти. Удалить сканированием этот экземпляр не получилось. Сейчас обновлюсь и попробую также удалить как и в прошлый раз.
Кстати, модификация AD

Правильно заданный вопрос - это уже половина ответа

Перейти

Данные обновления не согласованны

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 03.12.2011 19:33:42

Заходим в антивирус, переходим в дополнительные настройки (клавиша F5), раздел Обновление-Обновление и жмем Очистить кэш обновлений. Пробуем обновиться

Правильно заданный вопрос - это уже половина ответа

Перейти

Данные обновления не согласованны

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 03.12.2011 19:15:25

удалите все что нашла программа кроме этого:

Цитата
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Цитата

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

затем перезагрузитесь и попробуй обновить антивирус

Правильно заданный вопрос - это уже половина ответа

Перейти