Вероятно модифицированный Win32/TrojanDownloader.Carberp.AD

Здравствуйте!

После загрузки XP внизу справа EZET выдал сообщение
Обнаружена угроза в памяти
Объект: оперативная память>explorer.exe(1748)
Угроза:Вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа
Информация:очистка невозможна

Также не работает интернет - внизу справа сообщение"Подключение по локальной сети 2 ограничено или отсутствует"
Не удалось отключить Восстановление системы - не активен соответствующий значок.
Когда в ходе 1-го пункта после работы AVZ перегрузил комп не удалось включить все компоненты защиты EZET NODE32 - а именно защиту доступа в интернет.

Уважаемый(ая) [B]Olm[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteRepair(16);
DeleteFile('.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','wininet');
AutoFixSPI;
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

А также

Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]

Логи приложил. Карантин отправил.
После работы AVZ (и выхода из него) снова запустил Node32 - сообщение о вирусе повторилось.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Лог прикладываю. При установке и запуске ComboFix ругнулся что не установлена консоль восстановления - смотрите рисунок.

[ATTACH=CONFIG]355459[/ATTACH]PS. В логе обратил внимание на скрытый процесс
c:\documents and settings\1\Главное меню\Программы\Автозагрузка\DyRHwtXkIi0.exe

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на диск С.
[code]KillAll::

File::
c:\documents and settings\1\Главное меню\Программы\Автозагрузка\DyRHwtXkIi0.exe

Driver::

Folder::
c:\documents and settings\1\Application Data\7TH49ajBktVBz3J

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Лог прикладываю

Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru[/CODE]Что с проблемой?

По факту удалось только одну строку профиксить из указанных трех. Причем после этого в логе все равно остается R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = [url]http://webalta.ru[/url]

Еще обращает на себя внимание O4 - Startup: DyRHwtXkIi0.exe

ПРоблема остается без изменений - при открытии (вызове) EZET сообщение
"Обнаружена угроза в памяти
Объект: оперативная память>explorer.exe(174
Угроза:Вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа
Информация:очистка невозможна"

Также не работает интернет - внизу справа сообщение"Подключение по локальной сети 2 ограничено или отсутствует"

Однако появилась возможность отключить восстановление системы.

Сделайте лог [url="http://support.kaspersky.ru/faq/?qid=208639606"]TDSSkiller[/url]

Сделал сканирование TDSSkiller - но толку не было никакого...

В общем решил лечить самостоятельно и ВЫЛЕЧИЛ!!!

Анализ последнего приложенного здесь hijackthis.log и ComboFix.txt показал следующее
1. В автозагрузке есть процесс
O4 - Startup: DyRHwtXkIi0.exe
Запускается из c:\documents and settings\1\Главное меню\Программы\Автозагрузка\

2. Никаких посторонних процессов в системе нет, процесс explorer.exe присутствует в системе - он штатный.
Расположен C:\WINDOWS\Explorer.EXE

Для работы процесс использует dll из:
c:\windows\system32\WININET.dll
c:\windows\system32\msi.dll

ЧТО БЫЛО СДЕЛАНО ДЛЯ ЛЕЧЕНИЯ:
1. С незараженной машины были скопированы Explorer.EXE, WININET.dll, msi.dll
2. Были найдены DyRHwtXkIi0.exe и Explorer.EXE на зараженной машине, естественно после загрузки ОС попытки их удалить/переименовать не привели к успеху - "Отказано в доступе, файл занят другим приложением"
3. Загрузился с другого винчестера с ОС Windows 7, получил доступ к зараженному винчестеру с правами Администратора,
удалил ВРУЧНУЮ E:\documents and settings\1\Главное меню\Программы\Автозагрузка\DyRHwtXkIi0.exe
заменил E:\WINDOWS\Explorer.EXE на "чистый", обратил ВНИМАНИЕ ЧТО ФАЙЛЫ ЧИСТЫЙ И ЗАРАЖЕННЫЙ ОТЛИЧАЮТСЯ ПО РАЗМЕРУ!!!
Файлы dll НЕ МЕНЯЛ!!!
4. Перезагрузился в XP, запустил EZET, ждал 5 минут, сообщение "Обнаружена угроза в памяти
Объект: оперативная память>explorer.exe(1748) Угроза:Вероятно модифицированный ......" так И НЕ ПОЯВИЛОСЬ!!!
5. Сделал лог hijackthis, строка O4 - Startup: DyRHwtXkIi0.exe ИСЧЕЗЛА!!!
6. На всякий случай сделал скрипт в AVZ такого содержания
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\documents and settings\1\Главное меню\Программы\Автозагрузка\DyRHwtXkIi0.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Комп перезагрузился.

7.Однако после перезагрузки не появилась сеть, по прежнему сообщение "Подключение по локальной сети 2 ограничено или отсутствует".
Скачал WinSockFix, запустил, Комп перезагрузился.

8. После перезагрузки появилась сеть, а вот сообщение "Обнаружена угроза в памяти...." так и не появилось, чему ОЧЕНЬ РАД))))))

Резюме:
1.Хелперам - ВНИМАТЕЛЬНО ЧИТАТЬ ЛОГИ, там все написано.
2.СПАСИБО хелперам за приобретенный мною личный опыт.

[b]Olm[/b], браво, все правильно сделал! :)

[B]Все пароли сменить[/B] не забудьте

Спасибо, пароли сменю.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]