Беспокоит Win32/TrojanDownloader.Carberp.AM и AF после каждой загруки ПК [Rootkit.Boot.Cidox.b ]

Printable View

20.02.2014, 03:03
Shash

Вложений: 3

Беспокоит Win32/TrojanDownloader.Carberp.AM и AF после каждой загруки ПК [Rootkit.Boot.Cidox.b ]

Здравствуйте. Замучили Win32/TrojanDownloader.Carberp.AM иWin32/TrojanDownloader.Carberp.AF.*
В системе стоит ESET Smart Security 4, стартует при запуске ОС. Практически сразу после запуска обнаруживает данный вирус с сообщением подобного содержания*Оперативная память = explorer.exe(1720) Win32/TrojanDownloader.Carberp.AM и*Оперативная память = svchost.exe(1824) Win32/TrojanDownloader.Carberp.AF (значения в скобках могут меняться и обоих сообщениях) и сообщается очищено. И так при каждой загрузке. Хотелось бы избавится от заразы "насовсем", а не только до следующей перезагрузки.
Файлы проверок прикладываю, хотя не знаю, все ли сделала правильно, ведь каждый раз антивирус успевал из памяти убить вирусы, а запускались avz и HijackThis уже после удаления вируса из памяти.*
20.02.2014, 03:04
Info_bot

Уважаемый(ая) [B]Shash[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
20.02.2014, 17:42
thyrex

Выполните скрипт в AVZ
[code] begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\Movies Toolbar\Datamngr\DatamngrCoordinator.exe','');
DeleteService('DatamngrCoordinator2');
QuarantineFile('C:\WINDOWS\system32\com\svchost.exe','');
DeleteService('Windows');
DeleteFile('C:\WINDOWS\system32\com\svchost.exe','32');
DeleteFile('C:\Program Files\Movies Toolbar\Datamngr\DatamngrCoordinator.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
20.02.2014, 23:06
Shash

Вложений: 4

Карантин отправлен. Логи выполнены, прикрепляю.
Заранее благодарю, что откликнулись!
20.02.2014, 23:34
thyrex

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [b]кроме[/b] [code]HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

Обнаруженные файлы: 11
C:\Documents and Settings\Admin\Рабочий стол\adobe_pscs2_keygen.exe (Trojan.Agent.CK) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Рабочий стол\Adobe_Photoshop_CS2_9.0\KEYGEN.EXE (Trojan.Agent.CK) -> Действие не было предпринято.
C:\Program Files\LClock\hidcon.exe (Trojan.Dropped) -> Действие не было предпринято.
C:\Program Files\LouderIt\LConfig.exe (Trojan.Agent) -> Действие не было предпринято.
C:\WINDOWS\system32\hidcon.exe (Trojan.Dropped) -> Действие не было предпринято.
D:\Программы\x_TNod_1.4.0.15\TNod-1.4.0.15-setup.exe (Trojan.Agent.CK) -> Действие не было предпринято.[/code]
21.02.2014, 00:44
Shash

Вложений: 1

Удаление выполнили. После перезагрузки ноут жестко зависал два раза (первый раз не загрузив и рабочий стол, а только обои, второй загрузив стол, но пока вешал софт в автозагрузку, опять завис). В третий раз загрузился уже нормально. ESET все также сообщает о наличии вирусов и их успешном удалении.
Самое неприятное, что пропал с рабочего стола файл лога программы МВАМ, подозреваю, что это может быть как-то связано с перечисленными выше глюками загрузки. То есть файл лога я пока Вам не могу.
КАк быть теперь? Что выполнить, чтобы продолжить обеззараживание ПК. Понимаю, что доставляю хлопоты, но прошу продолжить помощь.

Открыла программу, нашла в ней отчеты. Возможно этот файл, что пропал?
21.02.2014, 21:50
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
22.02.2014, 00:22
Shash

Вложений: 1

Выполнили. Программа отработала, лог прилагаю.
Во время работы была выполнена перезагрузка, после которой ESET по-прежнему сообщал о наличии вирусов и их успешной очистке.
22.02.2014, 01:49
mike 1

Combofix перенесите в папку с английским названием.

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]на диск С. [/B][/COLOR]
[code]
KillAll::

File::

Driver::

Folder::
c:\documents and settings\All Users\Application Data\IBank

Registry::

FileLook::
c:\windows\system32\odbcint.dll

DirLook::

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Сделайте еще такой лог [url]http://support.kaspersky.ru/viruses/disinfection/5350#block1[/url]
22.02.2014, 03:02
Shash

Вложений: 2

Во время работы программы Combofix было окно с сообщением "Инструкция по адресу 0х10004130 обратилась к памяти по адресу 0х10004130. Память не может быть "read". Нажала ОК. Программа продолжала работать.
TDSSKiller отработала нормально, нашла вирус (или еще какую заразу) и попросила перезагрузки. После перезагруза ESET молчит! Все излечено, можно радоваться?
22.02.2014, 12:24
mike 1

В корневом каталоге системного диска папку [B]TDSSKiller Quarantine[/B] заархивируйте в формате zip с паролем [B]virus[/B] и загрузите по красной ссылке вверху темы "[B]Прислать запрошенный карантин[/B]".

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]на диск С. [/B][/COLOR]
[code]
KillAll::

File::

Driver::

Folder::
c:\documents and settings\All Users\Application Data\IBank

Registry::

FileLook::

DirLook::

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
22.02.2014, 12:33
Shash

C:\shash
Эту папку создала вчера я сама, переместив туда копию программы ComboFix. Все равно выполнить проверку этой папки программой?
Карантин отправили.
22.02.2014, 12:35
mike 1

Поправил немного скрипт. Хотел содержимое папки посмотреть скриптом.
22.02.2014, 12:53
Shash

Вложений: 1

Лог прикладываю.
Во время работы опять было сообщение Инструкция по адресу 0х10004130 обратилась к памяти по адресу 0х10004130. Память не может быть "read". Нажала ОК. Программа продолжала работать.
22.02.2014, 12:56
mike 1

Все похоже добили :) Лог в порядке. Что с проблемой?
22.02.2014, 13:02
Shash

ESET при старте молчит! :), ноут бегает резво. Огромное спасибо за помощь!!!
А то, что удалил ComboFix и сейчас находится в карантине (после своего первого запуска) - неважные файлы для Windows XP SP3 (показать список и расположение файлов?)? Их не надо восстанавливать? Так как, если вылечено, то планирую сносить весь софт, что ставили, в том числе и ComboFix.
22.02.2014, 13:08
mike 1

Сервисы от Яндекса возможно придется установить заново.
22.02.2014, 13:17
Shash

Вот они то как раз мне и не нужны )))
Речь была о dll, например с\windows\system32\Packet.dll или с\windows\system32\wpcap.dll
с\windows\system32\drive\npf.sys и с\windows\system32\drive\etc\hosts.ics
22.02.2014, 13:29
mike 1

В принципе некритичные файлы для Windows.
22.02.2014, 13:45
Shash

Благодарю за помощь!
И огромное спасибо за такой ресурс с подробными мануалами.
22.02.2014, 13:47
mike 1

Деинсталлируйте ComboFix: нажмите [b]Пуск[/b] => [b]Выполнить[/b] в окне наберите команду [b]Combofix /Uninstall[/b], нажмите кнопку "[b]ОК[/b]"

[IMG]http://safezone.cc/images/combofix-uninstall.jpg[/IMG]

Скачайте [url="http://oldtimer.geekstogo.com/OTC.exe"]OTCleanIt[/url], запустите, нажмите [B]Clean up[/B]

Деинсталлируйте MBAM

[LIST][*]Загрузите [B]SecurityCheck by glax24[/B] [URL="http://tools.safezone.cc/glax24/SecurityCheck/SecurityCheck.exe"]отсюда[/URL] и сохраните утилиту на [I]Рабочем столе[/I][*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7[/I])[*]Если увидите [U]предупреждение от вашего фаервола[/U] относительно программы SecurityCheck, не блокируйте ее работу.[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B];[*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*][/LIST]
22.02.2014, 14:46
Shash

Выполнили, что делать с файлом SecurityCheck.txt? Сюда прикрепить?
22.02.2014, 15:39
mike 1

Да прикрепите.
22.02.2014, 18:40
Shash

Вложений: 1

Вот лог
22.02.2014, 19:23
mike 1

[B]Обновите:[/B]

Java(TM) 6 Update 24 v.6.0.240 [color=red][b]Внимание! [url=http://www.oracle.com/technetwork/java/javase/downloads/1880261]Скачать обновления[/url][/b][/color]
[color=blue][b]^Удалите старую версию и установите новую (jre-7u51-windows-i586.exe)^[/b][/color]
Opera 12.02 v.12.02.1578 [color=red][b]Внимание! [url=http://ftp.opera.com/pub/opera/win/1216/int/Opera_1216_int_Setup.exe]Скачать обновления[/url][/b][/color]
[color=blue][b]^Будет скачана последняя версия 12.16 (Для скачивания Opera на движке Chromium перейдите на www.opera.com)^[/b][/color]

Смените все пароли

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
22.02.2014, 20:44
Shash

Спасибо! Обновления сделаны, сейчас займёмся рекомендациями.
Еще раз благодарю за помощь!
22.02.2014, 20:54
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \tdsskiller_quarantine\22.02.2014_00.56.24\boot0000\boot0000\tsk0000.dta - [B]Rootkit.Boot.Cidox.b[/B] ( DrWEB: Trojan.Mayachok.5, AVAST4: Boot:Cidox-A [Rtk] )[/LIST][/LIST]