Троян Carberp.AM [Rootkit.Boot.Cidox.b ]

[Zeddicus]

Здравствуйте. ESS 5 на ноутбуке нашел следующее:
Оперативная память = svchost.exe(1456) модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа очистка невозможна

Оперативная память = explorer.exe(1308) модифицированный Win32/TrojanDownloader.Carberp.AM троянская программа очистка невозможна

И все тоже самое, но с Carberp.AF. Номера в скобках меняются периодически.
Сделал проверку по инструкции с Вашего сайта. AVZ подозрительных файлов не нашел.

Помогите, пожалуйста, вылечить.

[Info_bot]

Уважаемый(ая) Zeddicus, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true); 
 QuarantineFile('C:\WINDOWS\TEMP\-2137587406aq','');
 QuarantineFile('C:\WINDOWS\TEMP\944169484aq','');
 DeleteFile('C:\WINDOWS\TEMP\944169484aq','32');
 DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
 DeleteFile('C:\WINDOWS\TEMP\-2137587406aq','32');
 DeleteFile('C:\WINDOWS\Tasks\At2.job','32');
BC_ImportAll;
ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

Сделайте полный образ автозапуска uVS

[Zeddicus]

После перезагрузки, при выполнении п. 2, 3 и образа автозапуска, антивирус может быть запущен или лучше отключить?

[regist]

на время создания логов антивирус надо отключать,а после создания лога его надо включить обратно. На время выполнения скрипта потом снова надо отключать, а потом выполнения скрипта включить.

[Zeddicus]

Все сделал, как Вы написали.

[regist]

Скачайте, распакуйте и запустите TDSSKiller:
http://support.kaspersky.ru/faq/?qid=208636926
Если программа обругается на файл WINDOWS\system32\Drivers\sptd.sys, то не удаляйте его.
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)

- - - Добавлено - - -

+Пришлите

C:\WINDOWS\SYSTEM32\REBUILDI.EXE

в карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

[Zeddicus]

Добрый день.
C:\WINDOWS\SYSTEM32\REBUILDI.EXE в AVZ отсутствует.

[regist]

1. Найдите в корне системного диска (обычно это диск C:) папку TDSSkiller_Quarantine;
2. Заархивруйте эту папку с паролем virus. И и загрузите по ссылке Прислать запрошенный карантин вверху темы.

сделайте новый лог TDSSkiller-а.

что с проблемой ?

[Zeddicus]

Все чисто, вроде. ESS ничего подозрительного не находит. Файл C:\WINDOWS\SYSTEM32\REBUILDI.EXE уже не нужен, как я понимаю? Логи и карантин TDSSKiller'а можно удалить с системного диска?

[regist]

Логи и карантин TDSSKiller'а можно удалить с системного диска?

да их можно удалить, а REBUILDI.EXE попытаемся закарантинить.

Выполните скрипт в uVS

;uVS v3.81.1 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

OFFSGNSAVE
zoo %Sys32%\REBUILDI.EXE

и пришлите карантин.

[Zeddicus]

Сделал. Комп не перезагружался после выполнения скрипта. Папку архивировал через меню UVS.

Хм, пришлось архивировать вручную, поэтому архив без даты и времени. UVS только в .рар архивирует.

[regist]

C:\WINDOWS\SYSTEM32\REBUILDI.EXE

судя по карантину файл чистый.

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

[Zeddicus]

Спасибо Вам огромное за помощь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. \\tdsskiller_quarantine\\25.08.2013_15.09.16\\boot 0000\\boot0000\\tsk0000.dta - Rootkit.Boot.Cidox.b ( DrWEB: Trojan.Mayachok.5 )