explorer.exe вероятно модифицированный Win32/TrojanDownloader.Carberp.AF

[Funct]

Здравствуйте!
Сегодня, при включении ПК, ESET SS выдал сообщение explorer.exe вероятно модифицированный Win32/TrojanDownloader.Carberp.AF
Прошу помощи.

[Info_bot]

Уважаемый(ая) Funct, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Bratez]

Внимание !!! База поcледний раз обновлялась 17.10.2011 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)

Обновите базы AVZ и сделайте логи заново.

[Funct]

7329d0ecdfa9.jpg
Bratez, я в отчаянии, что делать?

[Bratez]

Попробуйте изменить источник обновлений.

[Funct]

Попробуйте изменить источник обновлений.

Пробовал, то же самое.

[Techno]

- Сделайте лог ComboFix.

[Funct]

- Сделайте лог ComboFix.

Странно, но файла ComboFix.txt ни в корневом каталоге диска C, ни в системном диске D не оказалось.
Зато в процессе программа мне выдала сообщение, что ее атакует файл: D://Windows/system32/wininet.dll

Удалось обновить базы AVZ, снова выкладываю логи.
virusinfo_syscheck.zip
virusinfo_syscure.zip
hijackthis.log

[Bratez]

Выполните скрипт в AVZ в безопасном режиме:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('D:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\CsAHHxdvCxs.exe','');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Wisdom-soft ScreenHunter 5.1 Pro');
 DeleteFile('D:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\CsAHHxdvCxs.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 2 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=120244).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[Funct]

hijackthis.log
virusinfo_syscheck.zip
Результат загрузки
Файл сохранён как 120515_120651_virus_4fb246dbc06e0.zip
Размер файла 18512717

С карантином неполадки случились, была папка с сегодняшней датой, но файлы в правом окне не отображались. Я выбрал автодобавление и заархивировал, все.

[Bratez]

Всё на месте...

Пофиксите в HijackThis:

O4 - HKCU\..\Run: [Wisdom-soft ScreenHunter 5.1 Pro] 0
O17 - HKLM\System\CCS\Services\Tcpip\..\{A723FB5D-7DAD-4F0D-B9DB-B3D2719C3651}: NameServer = 1.2.3.1,1.2.3.3
O17 - HKLM\System\CCS\Services\Tcpip\..\{C3CA1635-82FE-49AA-9204-A3CBC7E60802}: NameServer = 8.8.8.8
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB38D058-FA9A-4F80-B01E-70B27F6DBEBF}: NameServer = 1.2.3.3
O17 - HKLM\System\CCS\Services\Tcpip\..\{EF7ECD14-591E-4288-9EC9-AB32FB2A410C}: NameServer = 1.2.3.3

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('D:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\CsAHHxdvCxs.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[Funct]

У меня установлены две ОС и безопасный режим представляется возможность включить только на Windows 7, там и пришлось скрипт в AVZ выполнять. (Зараженная ОС - XP)

HijackThis пофиксил, а AVZ при выполнении скрипта выдал ошибку: Failed to set data for 'ImagePath'

[миднайт]

В HiJackThis пофиксите:

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = ftp://1.2.3.4/
O4 - HKCU\..\Run: [Wisdom-soft ScreenHunter 5.1 Pro] 0
O4 - Startup: .exe

Повторите лог hijackthis и лог virusinfo_syscure.zip с зараженной ОС.

[Funct]

Выполнил

[миднайт]

В AVZ - Файл - Мастер поиска и устранения проблем - Системные проблемы - Все проблемы - Пуск
Отметить все пункты и нажать кнопку "Исправить".

Выполните в AVZ скрипт из файла ScanVuln.txt откройте файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления. (Обратите внимание, при установке сервис паков, обновлении ОС, может потребоваться повторная активация Windows)
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

Что с проблемами?

[Funct]

Часто используемые уязвимости не обнаружены.
Explorer.exe остался зараженным.

[миднайт]

ESET снова выдает сообщение из первого поста?
При работе AVZ защиту eset отключали?
Такой лог сделайте http://support.kaspersky.ru/faq?qid=208639606

[Funct]

Да, выдает то же самое.
При работе AVZ защиту не отключал.

[Funct]

Что дальше делать? Вирус не удален.

[thyrex]

Сделайте лог ComboFix