модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа [not-a-virus:RiskTool.Win32.WFPDisabler.c ]

**Pikachu** · 27.10.2012, 18:53

Здравствуйте! проблема весьма распространенная, но не знаю как решить:
27.10.2012 Нод 32 выдает: Оперативная память = explorer.exe (1848 вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа очистка невозможна.
Нод его не удаляет, а Dr WEB не находит (удалил откуда-то взявшиеся штук 20 вирусов TrojanDownloader.Carberp.30 и Троян маячок и на этом успокоился).
Помогите пожалуйста удалить эту гадость.

Просканировала систему, логи прилагаю (надеюсь, все сделала правильно, первый раз все-таки)

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 27.10.2012, 18:54

Уважаемый(ая) Pikachu, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 27.10.2012, 19:13

Pikachu, правила внимательно прочтите.

**Pikachu** · 27.10.2012, 21:08

сорри, я лох. Буду исправляться, не ругайте сильно...

**regist** · 28.10.2012, 00:32

сколько антивирусов у вас установлено ? в логах видно AVG, Nod доктор Веб - нужно оставить только один остальные удалить.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
  ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
  ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  QuarantineFile('C:\WINDOWS\system32\b.tmp','');
  QuarantineFile('C:\WINDOWS\system32\drivers\avgtpx86.sys','');
  QuarantineFile('C:\Temp\3188921FdOh ','');
  QuarantineFile('C:\WINDOWS\system32\SSMATR~1.SCR','');
  QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\vGrXasDrNKw.exe','');
  QuarantineFile('C:\WINDOWS\system32\MSGINA.dll','');
  DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\vGrXasDrNKw.exe');
  DeleteFile('C:\Temp\3188921FdOh');
  DeleteFile('C:\WINDOWS\system32\b.tmp');
  DeleteFile('C:\WINDOWS\system32\c.tmp');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','3189062');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

- Сделайте лог полного сканирования МВАМ.

**Pikachu** · 28.10.2012, 11:20

сделано

**regist** · 28.10.2012, 11:33

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(true);
  end;
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*', true);
 DeleteFileMask(GetAVZDirectory + 'Infected', '*', true);
QuarantineFile('C:\D\S\C\01\CMICONTROL.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\D\S\C\01\cmicpl.cpl', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\BBE3ROPD\about[1].exe', 'MBAM: Trojan.Winlock');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\BBE3ROPD\about[2].exe', 'MBAM: Trojan.Winlock');
QuarantineFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP119\A0078365.exe', 'MBAM: Backdoor.Small');
QuarantineFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP119\A0081640.exe', 'MBAM: Trojan.Winlock');
QuarantineFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP63\A0035737.dll', 'MBAM: Trojan.Appinit');
QuarantineFile('C:\WINDOWS\notepad.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\WINDOWS\system32\1F6.tmp', 'MBAM: Trojan.Appinit');
QuarantineFile('C:\WINDOWS\system32\2D3.tmp', 'MBAM: Trojan.Appinit');
QuarantineFile('C:\WINDOWS\system32\30.tmp', 'MBAM: Trojan.Appinit');
QuarantineFile('C:\WINDOWS\system32\33B.tmp', 'MBAM: Trojan.Appinit');
QuarantineFile('C:\WINDOWS\system32\39.tmp', 'MBAM: Trojan.Appinit');
QuarantineFile('C:\WINDOWS\ResPatch\ResPatch.exe', 'MBAM: Backdoor.Small');
QuarantineFile('C:\WINDOWS\Temp\Sound.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\igfxtray.dat', 'MBAM: Malware.Trace');
QuarantineFile('C:\WINDOWS\system32\ieunitdrf.inf', 'MBAM: Malware.Trace');
QuarantineFile('C:\WINDOWS\system32\drivers\etc\hоsts', 'MBAM: Hijack.Trace');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\BBE3ROPD\about[1].exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\BBE3ROPD\about[2].exe');
DeleteFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP119\A0078365.exe');
DeleteFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP119\A0081640.exe');
DeleteFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP62\A0033686.dll');
DeleteFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP62\A0033681.dll');
DeleteFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP63\A0033705.dll');
DeleteFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP63\A0033710.dll');
DeleteFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP63\A0035737.dll');
DeleteFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP63\A0035751.dll');
DeleteFile('C:\System Volume Information\_restore{E658814F-611D-4FAF-AF28-F00AFFDFF1BA}\RP63\A0036791.dll');
DeleteFile('C:\WINDOWS\system32\1F6.tmp');
DeleteFile('C:\WINDOWS\system32\2D3.tmp');
DeleteFile('C:\WINDOWS\system32\30.tmp');
DeleteFile('C:\WINDOWS\system32\33B.tmp');
DeleteFile('C:\WINDOWS\system32\39.tmp');
DeleteFile('C:\WINDOWS\Temp\Sound.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\igfxtray.dat');
DeleteFile('C:\WINDOWS\system32\ieunitdrf.inf');
 ClearHostsFile;
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по virusinfo_syscheck.zip; MBAM)

Сообщение от Pikachu

avz_log.txt

опять не то прикрепили

**Pikachu** · 28.10.2012, 12:28

вроде так:

**regist** · 28.10.2012, 12:59

C:\WINDOWS\ResPatch\ResPatch.exe - Заархивируйте в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы.

также проверьте его на https://www.virustotal.com/ ссылку на результат проверки напишите здесь.

- - - Добавлено - - -

что с проблемами ?

**Pikachu** · 28.10.2012, 13:58

результат проверки:

https://www.virustotal.com/file/761d...12dc/analysis/

**Pikachu** · 28.10.2012, 13:59

ссылка на результат проверки:
https://www.virustotal.com/file/761d...12dc/analysis/

**Pikachu** · 28.10.2012, 14:03

карантин загружен.

вопрос:я добавила в архив программу C:\WINDOWS\ResPatch\ResPatch.exe
У меня теперь и сама программа, и архив с ней. Так и должно быть? или что-то нужно удалить?

**thyrex** · 28.10.2012, 14:30

C:\WINDOWS\ResPatch\ResPatch.exe - это нормальная чистая программа

**Pikachu** · 28.10.2012, 14:41

НОД 32 угроз не обнаружил.
Значит ли это, что вирус удален?

**regist** · 28.10.2012, 15:29

смените все пароли !

Советы и рекомендации после лечения компьютера

**Pikachu** · 28.10.2012, 16:00

СПАСИБО!!!!!!!!

**CyberHelper** · 28.10.2012, 16:10

Статистика проведенного лечения:

Получено карантинов: 4
Обработано файлов: 31
В ходе лечения обнаружены вредоносные программы:
1. c:\\documents and settings\\admin\\главное меню\\программы\\автозагрузка\\vgrxasdrnkw.exe - Trojan-Ransom.Win32.PornoAsset.asoe ( DrWEB: Trojan.DownLoader7.14691, BitDefender: Gen:Variant.Kazy.104018 )
2. c:\\windows\\system32\\b.tmp - Trojan.Win32.Cidox.lcg ( DrWEB: Trojan.Mayachok.1, BitDefender: Gen:Variant.Zusy.15394 )
3. c:\\windows\\system32\\c.tmp - Trojan.Win32.Cidox.lcg ( DrWEB: Trojan.Mayachok.1, BitDefender: Gen:Variant.Zusy.15394 )
4. \\respatch.exe - not-a-virus:RiskTool.Win32.WFPDisabler.c

модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа [not-a-virus:RiskTool.Win32.WFPDisabler.c ] (заявка № 126312)

Опции темы

модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа [not-a-virus:RiskTool.Win32.WFPDisabler.c ]

Антивирусная помощь

Итог лечения

Похожие темы

модифицированный Win32/TrojanDownloader.Carberp.AH троянская программа

модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа

модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа

Модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа

Троянская программа модифицированный Win32/TrojanDownloader.Carberp.AD

Метки для этой темы

Ваши права в разделе