Вероятно модифицированный Win32/TrojanDownloader.Carberp.AD

[Olm]

Здравствуйте!

После загрузки XP внизу справа EZET выдал сообщение
Обнаружена угроза в памяти
Объект: оперативная память>explorer.exe(174
Угроза:Вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа
Информация:очистка невозможна

Также не работает интернет - внизу справа сообщение"Подключение по локальной сети 2 ограничено или отсутствует"
Не удалось отключить Восстановление системы - не активен соответствующий значок.
Когда в ходе 1-го пункта после работы AVZ перегрузил комп не удалось включить все компоненты защиты EZET NODE32 - а именно защиту доступа в интернет.

[Info_bot]

Уважаемый(ая) Olm, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteRepair(16); 
 DeleteFile('.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','wininet');
AutoFixSPI;
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[thyrex]

А также

Сделайте логи RSIT

[Olm]

Логи приложил. Карантин отправил.
После работы AVZ (и выхода из него) снова запустил Node32 - сообщение о вирусе повторилось.

[thyrex]

Сделайте лог ComboFix

[Olm]

Лог прикладываю. При установке и запуске ComboFix ругнулся что не установлена консоль восстановления - смотрите рисунок.

IMG_4518.jpgPS. В логе обратил внимание на скрытый процесс
c:\documents and settings\1\Главное меню\Программы\Автозагрузка\DyRHwtXkIi0.exe

[thyrex]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt на диск С.

KillAll::

File::
c:\documents and settings\1\Главное меню\Программы\Автозагрузка\DyRHwtXkIi0.exe

Driver::

Folder::
c:\documents and settings\1\Application Data\7TH49ajBktVBz3J

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[Olm]

Лог прикладываю

[thyrex]

Пофиксите в HiJack

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru

Что с проблемой?

[Olm]

По факту удалось только одну строку профиксить из указанных трех. Причем после этого в логе все равно остается R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru

Еще обращает на себя внимание O4 - Startup: DyRHwtXkIi0.exe

ПРоблема остается без изменений - при открытии (вызове) EZET сообщение
"Обнаружена угроза в памяти
Объект: оперативная память>explorer.exe(174
Угроза:Вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа
Информация:очистка невозможна"

Также не работает интернет - внизу справа сообщение"Подключение по локальной сети 2 ограничено или отсутствует"

Однако появилась возможность отключить восстановление системы.

[thyrex]

Сделайте лог TDSSkiller

[Olm]

Сделал сканирование TDSSkiller - но толку не было никакого...

В общем решил лечить самостоятельно и ВЫЛЕЧИЛ!!!

Анализ последнего приложенного здесь hijackthis.log и ComboFix.txt показал следующее
1. В автозагрузке есть процесс
O4 - Startup: DyRHwtXkIi0.exe
Запускается из c:\documents and settings\1\Главное меню\Программы\Автозагрузка\

2. Никаких посторонних процессов в системе нет, процесс explorer.exe присутствует в системе - он штатный.
Расположен C:\WINDOWS\Explorer.EXE

Для работы процесс использует dll из:
c:\windows\system32\WININET.dll
c:\windows\system32\msi.dll

ЧТО БЫЛО СДЕЛАНО ДЛЯ ЛЕЧЕНИЯ:
1. С незараженной машины были скопированы Explorer.EXE, WININET.dll, msi.dll
2. Были найдены DyRHwtXkIi0.exe и Explorer.EXE на зараженной машине, естественно после загрузки ОС попытки их удалить/переименовать не привели к успеху - "Отказано в доступе, файл занят другим приложением"
3. Загрузился с другого винчестера с ОС Windows 7, получил доступ к зараженному винчестеру с правами Администратора,
удалил ВРУЧНУЮ E:\documents and settings\1\Главное меню\Программы\Автозагрузка\DyRHwtXkIi0.exe
заменил E:\WINDOWS\Explorer.EXE на "чистый", обратил ВНИМАНИЕ ЧТО ФАЙЛЫ ЧИСТЫЙ И ЗАРАЖЕННЫЙ ОТЛИЧАЮТСЯ ПО РАЗМЕРУ!!!
Файлы dll НЕ МЕНЯЛ!!!
4. Перезагрузился в XP, запустил EZET, ждал 5 минут, сообщение "Обнаружена угроза в памяти
Объект: оперативная память>explorer.exe(174 Угроза:Вероятно модифицированный ......" так И НЕ ПОЯВИЛОСЬ!!!
5. Сделал лог hijackthis, строка O4 - Startup: DyRHwtXkIi0.exe ИСЧЕЗЛА!!!
6. На всякий случай сделал скрипт в AVZ такого содержания
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\documents and settings\1\Главное меню\Программы\Автозагрузка\DyRHwtXkIi0.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Комп перезагрузился.

7.Однако после перезагрузки не появилась сеть, по прежнему сообщение "Подключение по локальной сети 2 ограничено или отсутствует".
Скачал WinSockFix, запустил, Комп перезагрузился.

8. После перезагрузки появилась сеть, а вот сообщение "Обнаружена угроза в памяти...." так и не появилось, чему ОЧЕНЬ РАД))))))

Резюме:
1.Хелперам - ВНИМАТЕЛЬНО ЧИТАТЬ ЛОГИ, там все написано.
2.СПАСИБО хелперам за приобретенный мною личный опыт.

[Bratez]

Olm, браво, все правильно сделал!

[thyrex]

Все пароли сменить не забудьте

[Olm]

Спасибо, пароли сменю.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены