carberp.ad

[Likhunov]

Помогите пожалуйста! NOD32 пишет что explorer.exe заражен carberp.ad но ничего не может сделать.

[Info_bot]

Уважаемый(ая) Likhunov, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Likhunov]

вот еще лог от HijackThis.exe

[Bratez]

Пофиксите в HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\Common Files\ms64sign.cert','');
 QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\awhbubx.exe','');
 DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\awhbubx.exe');
 DeleteFile('C:\Program Files\Common Files\ms64sign.cert');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\lanmanserver\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%SystemRoot%\System32\srvsvc.dll');
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 2 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=119874).

Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Сделайте проверку TDSSKiller'ом.

[Likhunov]

Спсибо, что помогаете! TDSSkiller: угроз - 0

[Bratez]

Чисто.
Что с проблемой?

[Likhunov]

Спасибо огромное!
Проблем больше пока нет.

[thyrex]

Смените все пароли

[Likhunov]

Добрый день! вернулся тот же паразит. Все тоже самое: NOD32 говорит, что explorer.exe - carberp.ad. Выручайте пожалуйста.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\user\Главное меню\Программы\Автозагрузка\YPozAxv7j1k.exe','');
 QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\huzizsg.exe','');
 DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\huzizsg.exe');
 DeleteFile('C:\Documents and Settings\user\Главное меню\Программы\Автозагрузка\YPozAxv7j1k.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пофиксите в HijackThis:

O4 - HKLM\..\Run: [AdobeFlash] C:\DOCUME~1\user\LOCALS~1\Temp\huzizsg.exe noproxy noicon hide nolog hosts=C:\DOCUME~1\user\LOCALS~1\Temp\ppvdxxo noddns noftp nopop3 nosmtp
O17 - HKLM\System\CCS\Services\Tcpip\..\{3C19A16F-01A0-4FD2-9CAD-8EA6B82D3479}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{698AAFF3-6D4D-4CB2-A2F5-1F36274F4DE3}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{999B5D35-09D6-4671-8D51-2B8BE02F54CC}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{CF03EE5E-F9DA-4041-94C3-21D37FD8238B}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{DD882A68-7485-4E41-9DAA-AC19B9016EBE}: NameServer = 127.0.0.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{3C19A16F-01A0-4FD2-9CAD-8EA6B82D3479}: NameServer = 127.0.0.1

Перезагрузите компьютер.

Пришлите новый карантин согласно приложению 2 правил.

Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[Likhunov]

Спасибо большое! карантин пустой, потому что я эти файлы в ручную удалил по наводке NOD. Сейчас все чисто. Большое спасибо еще раз!!!

[thyrex]

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\docume~1\\user\\locals~1\\temp\\awhbubx.exe - Trojan.Win32.Menti.nojq ( DrWEB: Program.Server.249, BitDefender: Gen:Variant.Barys.2139 )