RP55 RP55 (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] explorer.exe(1656)модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна, прошу помочь со скриптом

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 08.04.2012 00:26:28

ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 delref %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\YV5LNM68JY50A.DLL zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ЛЮДМИЛА\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\R8ACPDWETDO.EXE bl 92978DF9347B84CF3578F2A24E5C1FE3 171520 addsgn A7679B19B93AF5450BD4AE82B6EBC36F1AE2FC0C325C777842362FD6C93EC77D231740932E3D9D95D766EC9F82A553927D3E804A3DDA6B6B3F9FB46EC706A1B7 8 Carb.398 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ЛЮДМИЛА\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\R8ACPDWETDO.EXE delref HTTP://UK.RD.YAHOO.COM/CUSTOMIZE/YCOMP/DEFAULTS/SP/*HTTP://UK.YAHOO.COM EXEC cmd /c"netsh winsock reset catalog" chklst delvir deltmp delnfr regt 1 regt 2 regt 18 regt 21 czoo restart

Код

 
;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

delref %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\YV5LNM68JY50A.DLL
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ЛЮДМИЛА\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\R8ACPDWETDO.EXE
bl 92978DF9347B84CF3578F2A24E5C1FE3 171520
addsgn A7679B19B93AF5450BD4AE82B6EBC36F1AE2FC0C325C777842362FD6C93EC77D231740932E3D9D95D766EC9F82A553927D3E804A3DDA6B6B3F9FB46EC706A1B7 8 Carb.398

delall %SystemDrive%\DOCUMENTS AND SETTINGS\ЛЮДМИЛА\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\R8ACPDWETDO.EXE
delref HTTP://UK.RD.YAHOO.COM/CUSTOMIZE/YCOMP/DEFAULTS/SP/*HTTP://UK.YAHOO.COM
EXEC cmd /c"netsh winsock reset catalog"
chklst
delvir
deltmp
delnfr
regt 1
regt 2
regt 18
regt 21
czoo
restart

ВНИМАНИЕ : По окончанию выполнения скрипта компьютер выполнит перезагрузку !
-------------
Архив из папки uVS (с копиями вирусов для вирлаба, имя автоматически формируется от текущей даты,
например: 2010-10-04_13-30-55.rar/7z)
... отправить в почту [email protected] ;
*** если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected
+
Далее (даже если проблема решена) выполнить лог программой Malwarebytes
http://forum.esetnod32.ru/forum9/topic682/
Выбрать быстрое сканирование. Отчет предоставить для анализа.

Перейти

[ Закрыто] модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 07.04.2012 23:49:02

Отчёт по Malwarebytes - нужен в данной теме !

Перейти

[ Закрыто] модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 07.04.2012 23:18:44

Скопировать текст КОДА - в буфер обмена.
uVS: start.exe, текущий пользователь, меню, скрипты - выполнить скрипт из буфера обмена.
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 zoo %SystemDrive%\USERS\S_SYKORA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\2BI4XUZVQQE.EXE bl 065E3E6908E39AD834C607B4037A2295 158720 addsgn A7679B19B95E7FA0828152E20CC8AA3C3BE2FC16C3E4F714A2C3C53F94DE27C76EEBAB576EB50B23ECE8842576D021FAFAB2049A1AFDB02CAEB3B4C780212273 8 Carb.397 zoo %SystemDrive%\PROGRAMDATA\DF2EUJFXUD.DLL bl 248F80BB4F8C913DE72B4972FEEE7485 95232 addsgn A7679B19B922266663D43EE71BA01249CCA314E3A7FA1FFB41CFAF2A38D60210C8FFAE7C3E551E8D23D3BFDA92634C1285F2E8723DDA78640E1FA4A2ED51CA1F 64 WinSock2.Dll.vir delall %SystemDrive%\PROGRAMDATA\DF2EUJFXUD.DLL delref %SystemDrive%\TEMP\M6GD38UW.SYS delall %SystemDrive%\USERS\S_SYKORA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\2BI4XUZVQQE.EXE zoo %SystemRoot%\APPPATCH\EFXQEC.EXE delall %SystemRoot%\APPPATCH\EFXQEC.EXE EXEC cmd /c"netsh winsock reset catalog" chklst delvir deltmp delnfr regt 12 regt 18 czoo restart

Код

 
;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

zoo %SystemDrive%\USERS\S_SYKORA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\2BI4XUZVQQE.EXE
bl 065E3E6908E39AD834C607B4037A2295 158720
addsgn A7679B19B95E7FA0828152E20CC8AA3C3BE2FC16C3E4F714A2C3C53F94DE27C76EEBAB576EB50B23ECE8842576D021FAFAB2049A1AFDB02CAEB3B4C780212273 8 Carb.397

zoo %SystemDrive%\PROGRAMDATA\DF2EUJFXUD.DLL
bl 248F80BB4F8C913DE72B4972FEEE7485 95232
addsgn A7679B19B922266663D43EE71BA01249CCA314E3A7FA1FFB41CFAF2A38D60210C8FFAE7C3E551E8D23D3BFDA92634C1285F2E8723DDA78640E1FA4A2ED51CA1F 64 WinSock2.Dll.vir

delall %SystemDrive%\PROGRAMDATA\DF2EUJFXUD.DLL
delref %SystemDrive%\TEMP\M6GD38UW.SYS
delall %SystemDrive%\USERS\S_SYKORA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\2BI4XUZVQQE.EXE
zoo %SystemRoot%\APPPATCH\EFXQEC.EXE
delall %SystemRoot%\APPPATCH\EFXQEC.EXE
EXEC cmd /c"netsh winsock reset catalog"
chklst
delvir
deltmp
delnfr
regt 12
regt 18
czoo
restart

Перейти

[ Закрыто] explorer.exe(320)модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна, прошу помочь со скриптом

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 07.04.2012 22:27:47

Сделайте образ uVS - В безопасном режиме.
Запуск PC - безопасный режим.
Подробно
+
Добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

Перейти

не самонастраивающиеся устройства ESET

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 07.04.2012 17:10:56

epfwwfp.sys
Это компонент/служба/файрвола антивируса компании ESET
Это своего рода - виртуальное устройство.

Если есть проблемы сделайте:
Скачайте программу SysInspector по ссылке:

Для 32-битных ОС:
http://download.eset.com/download/sysinspector/32/RUS/SysInspector.exe
Для 64-битных ОС:
http://download.eset.com/download/sysinspector/64/RUS/SysInspector.exe

Чтобы сохранить лог файл необходимо нажать в верхнем правом углу программы кнопку "файл" , затем выбрать "сохранить журнал".
Название файла будет иметь вид "SysInspector-имя вашего компьютера-дата.zip"

Лог файл прикрепите к вашему сообщению на форуме или разместите на файлообменнике ( http://rghost.ru или http://upwap.ru/ ), указав на форуме в своей теме ссылку на этот архив.

Перейти

[ Закрыто] после удаления TrojanDownloader.Carberp.AH не обновляется есет

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 06.04.2012 23:10:32

Цитата
spoohh пишет: теперь пишет данные обновления не согласованы

Какие настройки обновления ?
Очистите Кеш обновления !

Перейти

Оперативная память = explorer.exe(1492), модифицированный Win32/TrojanDownloader.Carberp.AD

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 06.04.2012 22:58:49

Код
;uVS v3.74 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 uidel MSIEXEC.EXE /I{07766F89-EFAA-4635-86B7-636B89EA2C0D} delref HTTP://SEARCH.ORBITDOWNLOADER.COM zoo %SystemDrive%\USERS\YA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\4V1NOS0GZKQ.EXE bl 754D15EC661EFF6A7DCCEA778C5E903F 291880 addsgn A7679B1BB9E24C720B87F8E6A38DA605258AFC31CC0E1F7885C302F9F81E714C23D086A72A559D49ECC57C9F4616493D3867E87255DA77698176A42FC766AB5E 10 Carb.391 delall %SystemDrive%\USERS\YA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\4V1NOS0GZKQ.EXE chklst delvir deltmp delnfr regt 13 regt 14 regt 18 czoo restart

Код

 
;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

uidel MSIEXEC.EXE /I{07766F89-EFAA-4635-86B7-636B89EA2C0D}
delref HTTP://SEARCH.ORBITDOWNLOADER.COM
zoo %SystemDrive%\USERS\YA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\4V1NOS0GZKQ.EXE
bl 754D15EC661EFF6A7DCCEA778C5E903F 291880
addsgn A7679B1BB9E24C720B87F8E6A38DA605258AFC31CC0E1F7885C302F9F81E714C23D086A72A559D49ECC57C9F4616493D3867E87255DA77698176A42FC766AB5E 10 Carb.391

delall %SystemDrive%\USERS\YA\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\4V1NOS0GZKQ.EXE
chklst
delvir
deltmp
delnfr
regt 13
regt 14
regt 18
czoo
restart

ВНИМАНИЕ : По окончанию выполнения скрипта компьютер выполнит перезагрузку !

После чего:
Архив из папки uVS (с копиями вирусов для вирлаба, имя автоматически формируется от текущей даты,
например: 2010-10-04_13-30-55.rar/7z)
... отправить в почту [email protected] ;
*** если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected
+
В Malwarebytes - Удалить всё найденное !
Повторно выполнить сканирование: Отчет предоставить для анализа.

Перейти

Win32/TrojanDownloader.Carberp.AH

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 06.04.2012 17:45:24

Цитата
santy пишет: а какие аргументы в пользу удаления? только то, что прописан в appinit_dlls?

Аргументы: нагрузка на систему.
И зачем он вообще нужен - ?

Перейти

[ Закрыто] Оперативная память модифицированный Win32/TrojanDownloader.Carberp.AD очистка невозможно

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 06.04.2012 17:13:34

silmen

В связи с нарушением Лицензионного соглашения с компанией ESET тема будет закрыта.
Обратитесь за помощью на другой форум !
" TNod User & Password Finder "

Перейти

Не запускается задача в планировщике

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 05.04.2012 22:32:13

maris72
Установите обновление например раз в два часа.

Перейти