explorer.exe модифицированный Win32/TrojanDownloader.Carberp.AH

[zak160]

Здравствуйте! Такая проблема - где то подхватил данный троян, вот что пишет НОД32: "14.02.2012 15:15:33 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память » explorer.exe(12 модифицированный Win32/TrojanDownloader.Carberp.AH троянская программа очистка невозможна"
Логи сканирования прилагаю...

[Info_bot]

Уважаемый(ая) zak160, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Nikkollo]

Здравствуйте.

Отключите Восстановление системы (Приложение 1 правил).

Пофиксите в HijackThis (как пофиксить):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxxi.biz
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxxi.biz
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxxi.biz
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxxi.biz
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.babylon.com/?babsrc=SP_ss&q={searchTerms}&mntrId=149c6c76000000000000000000000000&tlver=1.4.19.19&affID=17160
F2 - REG:system.ini: UserInit=Userinit.exe,

Выполните скрипт в AVZ (как выполнить):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\Users\Дмитрий\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\bwBpsORZqS4.exe','');
 DeleteFile('C:\Users\Дмитрий\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\bwBpsORZqS4.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела Диагностика правил) и приложите в теме.

[zak160]

Пофиксил, скрипты выполнил, архив закачал.

Новые логи прикрепил.

[Nikkollo]

Что с проблемой?

[zak160]

Проверил оперативную память НОДом - все чисто. Спасибо!

[Nikkollo]

Смените все ваши пароли (особенно в интернет- банковских системах, если пользуетесь).

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\users\\дмитрий\\appdata\\roaming\\microsoft\\w indows\\start menu\\programs\\startup\\bwbpsorzqs4.exe - Trojan-Spy.Win32.Carberp.duh ( DrWEB: Trojan.Carberp.60, BitDefender: Gen:Heur.Zygug.1, NOD32: Win32/TrojanDownloader.Carberp.AH trojan, AVAST4: Win32:Carberp-TU [Trj] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !