Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 27.

Беспокоит Win32/TrojanDownloader.Carberp.AM и AF после каждой загруки ПК [Rootkit.Boot.Cidox.b ] (заявка № 155541)

  1. #1
    Junior Member Репутация
    Регистрация
    20.02.2014
    Сообщений
    15
    Вес репутации
    11

    Беспокоит Win32/TrojanDownloader.Carberp.AM и AF после каждой загруки ПК [Rootkit.Boot.Cidox.b ]

    Здравствуйте. Замучили Win32/TrojanDownloader.Carberp.AM иWin32/TrojanDownloader.Carberp.AF.*
    В системе стоит ESET Smart Security 4, стартует при запуске ОС. Практически сразу после запуска обнаруживает данный вирус с сообщением подобного содержания*Оперативная память = explorer.exe(1720) Win32/TrojanDownloader.Carberp.AM и*Оперативная память = svchost.exe(1824) Win32/TrojanDownloader.Carberp.AF (значения в скобках могут меняться и обоих сообщениях) и сообщается очищено. И так при каждой загрузке. Хотелось бы избавится от заразы "насовсем", а не только до следующей перезагрузки.
    Файлы проверок прикладываю, хотя не знаю, все ли сделала правильно, ведь каждый раз антивирус успевал из памяти убить вирусы, а запускались avz и HijackThis уже после удаления вируса из памяти.*
    Вложения Вложения

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,268
    Вес репутации
    326
    Уважаемый(ая) Shash, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,576
    Вес репутации
    2916
    Выполните скрипт в AVZ
    Код:
     begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
    QuarantineFile('C:\Program Files\Movies Toolbar\Datamngr\DatamngrCoordinator.exe','');
     DeleteService('DatamngrCoordinator2');
     QuarantineFile('C:\WINDOWS\system32\com\svchost.exe','');
     DeleteService('Windows');
     DeleteFile('C:\WINDOWS\system32\com\svchost.exe','32');
     DeleteFile('C:\Program Files\Movies Toolbar\Datamngr\DatamngrCoordinator.exe','32');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Сделайте новые логи

    Сделайте лог полного сканирования МВАМ
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  5. thyrex получил(а) благодарность за это сообщение от


  6. #4
    Junior Member Репутация
    Регистрация
    20.02.2014
    Сообщений
    15
    Вес репутации
    11
    Карантин отправлен. Логи выполнены, прикрепляю.
    Заранее благодарю, что откликнулись!
    Вложения Вложения

  7. #5
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,576
    Вес репутации
    2916
    Удалите в МВАМ все, кроме
    Код:
    HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
    
    Обнаруженные файлы:  11
    C:\Documents and Settings\Admin\Рабочий стол\adobe_pscs2_keygen.exe (Trojan.Agent.CK) -> Действие не было предпринято.
    C:\Documents and Settings\Admin\Рабочий стол\Adobe_Photoshop_CS2_9.0\KEYGEN.EXE (Trojan.Agent.CK) -> Действие не было предпринято.
    C:\Program Files\LClock\hidcon.exe (Trojan.Dropped) -> Действие не было предпринято.
    C:\Program Files\LouderIt\LConfig.exe (Trojan.Agent) -> Действие не было предпринято.
    C:\WINDOWS\system32\hidcon.exe (Trojan.Dropped) -> Действие не было предпринято.
    D:\Программы\x_TNod_1.4.0.15\TNod-1.4.0.15-setup.exe (Trojan.Agent.CK) -> Действие не было предпринято.
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  8. #6
    Junior Member Репутация
    Регистрация
    20.02.2014
    Сообщений
    15
    Вес репутации
    11
    Удаление выполнили. После перезагрузки ноут жестко зависал два раза (первый раз не загрузив и рабочий стол, а только обои, второй загрузив стол, но пока вешал софт в автозагрузку, опять завис). В третий раз загрузился уже нормально. ESET все также сообщает о наличии вирусов и их успешном удалении.
    Самое неприятное, что пропал с рабочего стола файл лога программы МВАМ, подозреваю, что это может быть как-то связано с перечисленными выше глюками загрузки. То есть файл лога я пока Вам не могу.
    КАк быть теперь? Что выполнить, чтобы продолжить обеззараживание ПК. Понимаю, что доставляю хлопоты, но прошу продолжить помощь.

    Открыла программу, нашла в ней отчеты. Возможно этот файл, что пропал?
    Вложения Вложения
    Последний раз редактировалось Shash; 21.02.2014 в 01:01.

  9. #7
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,576
    Вес репутации
    2916
    Сделайте лог ComboFix
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  10. #8
    Junior Member Репутация
    Регистрация
    20.02.2014
    Сообщений
    15
    Вес репутации
    11
    Выполнили. Программа отработала, лог прилагаю.
    Во время работы была выполнена перезагрузка, после которой ESET по-прежнему сообщал о наличии вирусов и их успешной очистке.
    Вложения Вложения

  11. #9
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,248
    Вес репутации
    1022
    Combofix перенесите в папку с английским названием.

    Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt на диск С.
    Код:
    KillAll::
    
    File::
    
    Driver::
    
    Folder::
    c:\documents and settings\All Users\Application Data\IBank
    
    Registry::
    
    
    FileLook::
    c:\windows\system32\odbcint.dll
    
    DirLook::
    
    Reboot::
    После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

    Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

    Сделайте еще такой лог http://support.kaspersky.ru/viruses/...on/5350#block1
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  12. mike 1 получил(а) благодарность за это сообщение от


  13. #10
    Junior Member Репутация
    Регистрация
    20.02.2014
    Сообщений
    15
    Вес репутации
    11
    Во время работы программы Combofix было окно с сообщением "Инструкция по адресу 0х10004130 обратилась к памяти по адресу 0х10004130. Память не может быть "read". Нажала ОК. Программа продолжала работать.
    TDSSKiller отработала нормально, нашла вирус (или еще какую заразу) и попросила перезагрузки. После перезагруза ESET молчит! Все излечено, можно радоваться?
    Вложения Вложения
    Последний раз редактировалось Shash; 22.02.2014 в 03:10.

  14. #11
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,248
    Вес репутации
    1022
    В корневом каталоге системного диска папку TDSSKiller Quarantine заархивируйте в формате zip с паролем virus и загрузите по красной ссылке вверху темы "Прислать запрошенный карантин".

    Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt на диск С.
    Код:
    KillAll::
    
    File::
    
    
    Driver::
    
    Folder::
    c:\documents and settings\All Users\Application Data\IBank
    
    Registry::
    
    FileLook::
    
    DirLook::
    
    Reboot::
    После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

    Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
    Последний раз редактировалось mike 1; 22.02.2014 в 12:34.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  15. #12
    Junior Member Репутация
    Регистрация
    20.02.2014
    Сообщений
    15
    Вес репутации
    11
    C:\shash
    Эту папку создала вчера я сама, переместив туда копию программы ComboFix. Все равно выполнить проверку этой папки программой?
    Карантин отправили.

  16. #13
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,248
    Вес репутации
    1022
    Поправил немного скрипт. Хотел содержимое папки посмотреть скриптом.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  17. #14
    Junior Member Репутация
    Регистрация
    20.02.2014
    Сообщений
    15
    Вес репутации
    11
    Лог прикладываю.
    Во время работы опять было сообщение Инструкция по адресу 0х10004130 обратилась к памяти по адресу 0х10004130. Память не может быть "read". Нажала ОК. Программа продолжала работать.
    Вложения Вложения

  18. #15
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,248
    Вес репутации
    1022
    Все похоже добили Лог в порядке. Что с проблемой?
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  19. #16
    Junior Member Репутация
    Регистрация
    20.02.2014
    Сообщений
    15
    Вес репутации
    11
    ESET при старте молчит! , ноут бегает резво. Огромное спасибо за помощь!!!
    А то, что удалил ComboFix и сейчас находится в карантине (после своего первого запуска) - неважные файлы для Windows XP SP3 (показать список и расположение файлов?)? Их не надо восстанавливать? Так как, если вылечено, то планирую сносить весь софт, что ставили, в том числе и ComboFix.

  20. #17
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,248
    Вес репутации
    1022
    Сервисы от Яндекса возможно придется установить заново.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  21. #18
    Junior Member Репутация
    Регистрация
    20.02.2014
    Сообщений
    15
    Вес репутации
    11
    Вот они то как раз мне и не нужны )))
    Речь была о dll, например с\windows\system32\Packet.dll или с\windows\system32\wpcap.dll
    с\windows\system32\drive\npf.sys и с\windows\system32\drive\etc\hosts.ics

  22. #19
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,248
    Вес репутации
    1022
    В принципе некритичные файлы для Windows.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  23. #20
    Junior Member Репутация
    Регистрация
    20.02.2014
    Сообщений
    15
    Вес репутации
    11
    Благодарю за помощь!
    И огромное спасибо за такой ресурс с подробными мануалами.

  • Уважаемый(ая) Shash, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Страница 1 из 2 12 Последняя

    Похожие темы

    1. Ответов: 7
      Последнее сообщение: 29.10.2013, 20:06
    2. Win32/TrojanDownloader.Carberp.AM троян [Trojan.Script.Carberp.a ]
      От slon_1 в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 02.10.2013, 19:33
    3. Ответов: 7
      Последнее сообщение: 26.07.2013, 20:55
    4. Ответов: 13
      Последнее сообщение: 18.11.2012, 15:09
    5. Ответов: 8
      Последнее сообщение: 21.08.2012, 10:11

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00716 seconds with 22 queries