Вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа

[Андрей Большаков]

Добрый день, нуждаюсь в помощи профессионалов. Проблема в следующем: антивирус Nod32 выдаёт соощение примерно следующего вида "14.03.2012 12:10:20 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память » EXPLORER.EXE(644) вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна ACER-F123BA27C0\5601". Из именений поведения компьютера: очень тормозит интернет, покадрово воспроизводится онлайн видео, медленная работа самой системы (Windows XP).

[Info_bot]

Уважаемый(ая) Андрей Большаков, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Bratez]

Отключите восстановление системы!
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\5601\Главное меню\Программы\Автозагрузка\fOKjbAZTsvw.exe','');
 QuarantineFile('C:\WINDOWS\okyya.sys','');
 DeleteFile('C:\WINDOWS\okyya.sys');
 DeleteFile('C:\Documents and Settings\5601\Главное меню\Программы\Автозагрузка\fOKjbAZTsvw.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','XP SecurityCenter');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PCHDPlayer');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','braviax');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('newdriver');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=117920).

Обновите базы AVZ и сделайте новые логи.

Добавлено через 53 секунды

P.S. virusinfo_cure.zip - это не лог, читайте внимательнее в правилах, какие файлы следует прикреплять.

[Андрей Большаков]

"Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=117920)." - это какой файл и где его найти?

Спасибо, что ответили оперативно - сделаю новые логи вышлю.

[Андрей Большаков]

Прикрепляю новые логи.

[thyrex]

Пофиксите в HiJack

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - C:\Program Files\Mail.Ru\Agent\Mra\dll\newmrasearch.dll (file missing)
R3 - URLSearchHook: (no name) - {468CD8A9-7C25-45FA-969E-3D925C689DC4} - (no file)
R3 - URLSearchHook: (no name) -  - (no file)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

Сделайте логи RSIT

[Андрей Большаков]

Пофиксите в HiJack

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - C:\Program Files\Mail.Ru\Agent\Mra\dll\newmrasearch.dll (file missing)
R3 - URLSearchHook: (no name) - {468CD8A9-7C25-45FA-969E-3D925C689DC4} - (no file)
R3 - URLSearchHook: (no name) -  - (no file)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

Сделайте логи RSIT

Что означает "пофиксить"? Не совсем понял. Вирус ещё не излечился?

[Bratez]

Как сделать карантин AVZ - написано в приложении 3 правил.
Что означает "пофиксить"? - также в правилах есть ссылка.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения вредоносные программы в карантинах не обнаружены