Win32/TrojanDownloader.Carberp.AF trojan

**vigilante** · 12.11.2011, 16:24

Здравствуйте! Пару дней назад появилась такая проблема: браузер не пускал на некоторые сайты ( в частности- ВКонтакте, на маил.ру), мотивируя это вирусом, который можно вылечить установкой обновленной версии Опера. я скачал AVZ, после сканирования прграмма обнаружила пару вредоносных программ, удалила их и проблема, в целом, решилась. Но с тех пор при каждом запуске компьютера, НОД 32 находит вот такой поцесс: " 12.11.2011 16:08:22 Startup scanner file Operating memory » explorer.exe(46

a variant of Win32/TrojanDownloader.Carberp.AF trojan unable to clean USER-8B195B7AFD\Администратор ". Удалить его НОД 32 никак не может, поэтому прошу вашей помощи!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 12.11.2011, 16:24

Уважаемый(ая) vigilante, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**ARMA9000** · 12.11.2011, 18:12

Выполнить скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('F:\Documents and Settings\Администратор\Application Data\netprotocol.exe','');
 DeleteFile('F:\Documents and Settings\Администратор\Application Data\netprotocol.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Netprotocol');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. Карантин прислать согласно правилам. Логи повторить.

**vigilante** · 12.11.2011, 18:45

Результат загрузкиФайл сохранён как 111112_144516_virus_4ebe867cb2d63.zip
Размер файла 666
MD5 d602fb7ba89f3656b587e661900f6a48

Файл закачан, спасибо!

**vigilante** · 13.11.2011, 11:07

ко всем добавилась новая проблема:
на всех жестких дисках начали появляться папки с названиями вроде 52bd8436903f1e04fa6c65 или f81c50dfa959f47415, в которых содержатся другие папки с различными числами в названиях, которые в свою очередь содержат какой-то файл eula, который невозможно удалить, так как "нет доступа". еще иногда при попытке удалить ту или иную папку подобного содержания, выдается окно " не удается удалить $shtdwn$, так как оно используется другим приложением".
В безопасном режиме эти папки также не удаляются.

**ARMA9000** · 13.11.2011, 11:42

Выполнить скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{E5E59DD2-22FF-2DA7-00EE-5B42056AD8D2}');
 DelBHO('{C9A2B4BD-08B4-11D4-8D34-4F6673B5AFE1}');
 QuarantineFile('F:\uKvbEPtAuuFLQaG.dll','');
 QuarantineFile('F:\LOznCFFHFNz.dll','');
 DeleteFile('F:\LOznCFFHFNz.dll');
 DeleteFile('F:\uKvbEPtAuuFLQaG.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. Карантин прислать согласно правилам. Сделайте лог MBAM(ссылка в подписи).

Код:

на всех жестких дисках начали появляться папки с названиями вроде 52bd8436903f1e04fa6c65 или f81c50dfa959f47415, в которых содержатся ...

Эти папки создаются в результате обновления ОС. Ничего страшного в этом нет.

**vigilante** · 13.11.2011, 11:48

Сообщение от ARMA9000

Код:

на всех жестких дисках начали появляться папки с названиями вроде 52bd8436903f1e04fa6c65 или f81c50dfa959f47415, в которых содержатся ...

Эти папки создаются в результате обновления ОС. Ничего страшного в этом нет.

просто за 1 день на 2 жестких дисках появляется по 5 таких папок одновременно, при этом - они не появляются на третьем жестком диске - где как раз стоит система

Файл сохранён как 111113_075923_virus_4ebf78db6768a.zip
Размер файла 1122
MD5 3dec9f78fe397bcc84997cc7d3e98fee