Win32/TrojanDownloader.Carberp.AD

Malik77 · 28.09.2011, 13:09

Добрый день.
Домашний комп. Windows 7. Неделю назад установил пробную версию ESET NOD32 SMART SECURITY 5.0.
Сегодня при проверке выдало такой результат.
http://i015.radikal.ru/1109/b2/1d241529c44d.jpg
Подскажите пожалуйста как от него избавиться.

Имеет значение или нет, но напишу. Одновреммено заморосил Internet Explorer, которым иногда пользуюсь. Скачал обновление с офиц.сайта IE9-Windows7-x86-rus сейчас работает.

Если данная проблема рассматривалась в форуме и я не смог найти, прошу дать ссылку.

safety · 28.09.2011, 13:20

сделайте дополнительно образ автозапуска в uVS

обновите утилиту uVS до версии 3.71

или отсюда, для тек кто дружит с Avast (или GData)

Распаковать архив, запустить файл Start.exe
Появится окно программы - нажать "запустить под текущим пользователем".
Далее - Меню Файл - Сохранить Полный образ автозапуска.
Сохраняем файл, добавляем в архив rar или 7z и заливаем на форум.

Malik77 · 28.09.2011, 14:59

http://zalil.ru/31773113 пароль VOV1945

честно говоря в блокноте какой то бардак

safety · 28.09.2011, 15:07

закрыть браузеры перед выполнением скрипта
выполнить скрипт в uVS
меню - скрипты - выполнить скрипт из буфера обмена

Код:

;uVS v3.71 script [http://dsrt.dyndns.org]

delall %SystemDrive%\USERS\SHAFAAT\APPDATA\LOCAL\TEMP\\WINDEBUG32.EXE
delall %SystemDrive%\USERS\SHAFAAT\APPDATA\ROAMING\NETPROTOCOL.EXE
addsgn 4AE899DE553A288D3ED4AEB164AC9B20258AFCF6BA3A9670D586868E50041B0B95E3D721AD518E1BF7D4BE86F804C549287D323639D4A6976D6480128A3D0620 8 Carberp.km [Kaspersky]

zoo %SystemDrive%\USERS\SHAFAAT\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE
bl 557FB303AC3F2DD18A5FFA7BCA921BF1 257224
delall %SystemDrive%\USERS\SHAFAAT\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE
delref HTTP://WWW.SMAXI.NET
chklst
delvir
deltmp
delnfr
regt 1
regt 2
regt 5
regt 18
czoo
restart

перезагрузка,

добавить новый образ автозапуска

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту sendvirus2011@gmail.com
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

Malik77 · 28.09.2011, 15:50

http://zalil.ru/31773358 ПАРОЛЬ VOV1946

---------- Добавлено в 14:50 ---------- Предыдущее сообщение было написано в 14:38 ----------

сделал сканирование антивирусом, вируса нет.
Вы можете коротко объяснить что ерунда это была.
Спасибо большое

safety · 28.09.2011, 16:57

Судя по VT, это файл

Цитата:

C:\USERS\SHAFAAT\APPDATA\ROAMING\MICROSOFT\WINDOWS \START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE

определяет пока только Касперский
------

Цитата:

www.virustotal.com 2011-09-28 [2011-09-28]
Kaspersky Trojan.Win32.Jorik.Carberp.km

Цитата:

Новая троянская программа, получившая название Carberp, по своим функциям весьма похожа на ZeuS, сейчас становится все более популярным инструментом киберпреступников в Европе и США, специализирующихся на воровстве информации, идентифицирующей пользователя банковских услуг онлайн.

-----------
сделайте так же лог малваребайт
скачайте программу malwarebytes (free version)
http://www.malwarebytes.org/mbam.php

установить (только сканер!), обновить базы, выполнить быстрое сканирование,
после завершения сканирования,
текстовый лог (в виде файла) добавить в ваше сообщение на форум.

Malik77 · 28.09.2011, 17:52

выявил 2 зараженных параметра в реестре. Предлагает удалить.

http://zalil.ru/31774243 ПАРОЛЬ VOV1947

Получается вирус уже мог похитить мой пароль онлайн - банка?

safety · 28.09.2011, 17:59

возможно.
------------------
удалите все найденные объекты в МБАМ
далее
--------
по возможности, выполните наши рекомендации по безопасной работе в сети

актуальные пакеты обновлений
для XP - SP3
скачать и установить SP3 для Windows XP
http://windows.microsoft.com/ru-RU/w...ads/windows-xp
для Vista - SP2
скачать и установить SP2 для Vista
http://www.microsoft.com/downloads/r...displaylang=ru
для Win7 - SP1
скачать и установить SP1 для Windows7
http://www.microsoft.com/downloads/r...b-3a9b77cdfdda

**********

Установите Internet Explorer 8
даже если вы не используете его в качестве браузера
скачать отсюда
http://www.microsoft.com/rus/windows...r/default.aspx

если используете браузер Firefox
установите текущую версию
http://www.mozilla-europe.org/ru/firefox/

установите для Firefox дополнение NoScript для блокирования javascript,
https://addons.mozilla.org/ru/firefox/addon/722/
разрешайте использование javascript на доверенных сайтах,
или временно разрешить на данной странице.

установите дополнение AddBlock Plus
https://addons.mozilla.org/ru/firefox/addon/1865/

если установлено данное ПО:Java, Adobe Flash player, Acrobat REader,
обязательно обновите до текущих версий:

Java
http://www.java.com/ru/download/manual.jsp

Adobe Flash Player
http://get.adobe.com/ru/flashplayer/

Adobe Acrobat Reader
http://get.adobe.com/reader/

oxothuk · 12.10.2011, 20:52

Windows XP (32) SP3

ESET NOD32 SMART SECURITY 5.0.
Оперативная память - модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна

Проверил uVS Полный образ автозапуска.

http://zalil.ru/31856600

maksimog · 12.10.2011, 21:05

закрыть браузеры перед выполнением скрипта
выполнить скрипт в uVS
меню - скрипты - выполнить скрипт из буфера обмена

Код:

;uVS v3.71 script [http://dsrt.dyndns.org]

delref HTTP://RU.ASK.COM/?L=DIS&O=101702
regt 1
regt 2
regt 18
deltmp
delnfr
restart

ПК перезагрузится. Сообщите о результате.

oxothuk · 12.10.2011, 22:12

Выполнил скрипт в UVS. ПК перезагрузился. Вроде как вирус исчез =)
На всякий случай сделал еще один Образ Автозапуска, который уже после "обработки".

http://zalil.ru/31857151

Хотел скачать сканер mbam, но к сожалению не смог, так как не знаю английский. Вернее скачал что-то, но там был вовсе не сканер, а антивирус, как я понял.

Объясните, пожалуйста, какие пароли ворует троян Carberp.AD ?? пароли стоит менять на емейле??

maksimog · 12.10.2011, 22:18

Вирус был удален еще антивирусом, в скрипте я применил только зачистку системы. По поводу паролей не уверен но думаю смените на все от греха подальше.

И выполнить вот это, чтобы еще раз не получить такой же подарок.

если вы используете Windows XP
установите сервис-пак SP3 + все последующие критические обновления для операционной системы.

Установите Internet Explorer 8
скачать отсюда
http://www.microsoft.com/rus/windows...r/default.aspx

если установлена Java, обновить ее до текущей версии
скачать отсюда
http://www.java.com/ru/download/manual.jsp

обновите ПО:
Adobe Flash Player отсюда
http://get.adobe.com/ru/flashplayer/

Adobe Acrobat Reader
http://get.adobe.com/reader/

svetlana_27 · 13.10.2011, 02:12

Добрый вечер!

Помогите удалить вирус.

Windows XP (32)

ESET NOD32 SMART SECURITY 4.
Оперативная память - модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна

Проверила uVS Полный образ автозапуска.

http://zalil.ru/31859051

Спасибо.

Lexer · 13.10.2011, 06:12

svetlana_27, Здравствуйте. Создайте новую тему и там выложите ваши логи!

shiizk · 15.10.2011, 20:49

Здравствуйте. НОД нашел такой же вирус как и у ТС, помогите избавиться от него.

Вот сделал полный образ автозапуска через uVS:

http://zalil.ru/31873770

28.09.2011, 13:09	#1 (ссылка)
Malik77 Новичок Регистрация: 28.09.2011 Сообщений: 4 Репутация: 0	Win32/TrojanDownloader.Carberp.AD Добрый день. Домашний комп. Windows 7. Неделю назад установил пробную версию ESET NOD32 SMART SECURITY 5.0. Сегодня при проверке выдало такой результат. http://i015.radikal.ru/1109/b2/1d241529c44d.jpg Подскажите пожалуйста как от него избавиться. Имеет значение или нет, но напишу. Одновреммено заморосил Internet Explorer, которым иногда пользуюсь. Скачал обновление с офиц.сайта IE9-Windows7-x86-rus сейчас работает. Если данная проблема рассматривалась в форуме и я не смог найти, прошу дать ссылку.

28.09.2011, 15:07	#4 (ссылка)
safety Эксперт Регистрация: 12.07.2011 Сообщений: 28,970 Репутация: 1660	закрыть браузеры перед выполнением скрипта выполнить скрипт в uVS меню - скрипты - выполнить скрипт из буфера обмена Код: ;uVS v3.71 script [http://dsrt.dyndns.org] delall %SystemDrive%\USERS\SHAFAAT\APPDATA\LOCAL\TEMP\\WINDEBUG32.EXE delall %SystemDrive%\USERS\SHAFAAT\APPDATA\ROAMING\NETPROTOCOL.EXE addsgn 4AE899DE553A288D3ED4AEB164AC9B20258AFCF6BA3A9670D586868E50041B0B95E3D721AD518E1BF7D4BE86F804C549287D323639D4A6976D6480128A3D0620 8 Carberp.km [Kaspersky] zoo %SystemDrive%\USERS\SHAFAAT\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE bl 557FB303AC3F2DD18A5FFA7BCA921BF1 257224 delall %SystemDrive%\USERS\SHAFAAT\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\IGFXTRAY.EXE delref HTTP://WWW.SMAXI.NET chklst delvir deltmp delnfr regt 1 regt 2 regt 5 regt 18 czoo restart перезагрузка, добавить новый образ автозапуска архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z) отправить в почту sendvirus2011@gmail.com если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

12.10.2011, 21:05	#10 (ссылка)
maksimog Мастер Регистрация: 08.07.2011 Сообщений: 6,292 Репутация: 631	закрыть браузеры перед выполнением скрипта выполнить скрипт в uVS меню - скрипты - выполнить скрипт из буфера обмена Код: ;uVS v3.71 script [http://dsrt.dyndns.org] delref HTTP://RU.ASK.COM/?L=DIS&O=101702 regt 1 regt 2 regt 18 deltmp delnfr restart ПК перезагрузится. Сообщите о результате.

15.10.2011, 20:49	#15 (ссылка)
shiizk Новичок Регистрация: 15.10.2011 Сообщений: 3 Репутация: 0	Здравствуйте. НОД нашел такой же вирус как и у ТС, помогите избавиться от него. Вот сделал полный образ автозапуска через uVS: http://zalil.ru/31873770 Последний раз редактировалось shiizk; 15.10.2011 в 21:16.

Похожие темы
Тема	Автор	Раздел	Ответов	Последнее сообщение
Trojan.Win32.Ddox.ci или Trojan.Win32.Inject.aohy Help me please!	Антон70	Безопасность	20	23.09.2011 20:58
TrojanDownloader:Win32/Vundo.HIY	LORD2000	Безопасность	6	04.07.2011 07:03
Помогите! Trojan.win32.Ddox.ci, Trojan.Win32.ExpireT	geronimo	Безопасность	3	01.07.2011 22:35
TR/Spy.Carberp.AG	Nevskiy	Безопасность	3	22.10.2010 23:01
TrojanDownloader:Win32/Renos.JM	stick	Безопасность	7	02.02.2010 12:04

28.09.2011, 13:20	#2 (ссылка)
safety Эксперт Регистрация: 12.07.2011 Сообщений: 28,970 Репутация: 1660	сделайте дополнительно образ автозапуска в uVS обновите утилиту uVS до версии 3.71 или отсюда, для тек кто дружит с Avast (или GData) Распаковать архив, запустить файл Start.exe Появится окно программы - нажать "запустить под текущим пользователем". Далее - Меню Файл - Сохранить Полный образ автозапуска. Сохраняем файл, добавляем в архив rar или 7z и заливаем на форум.

28.09.2011, 14:59	#3 (ссылка)
Malik77 Новичок Регистрация: 28.09.2011 Сообщений: 4 Репутация: 0	http://zalil.ru/31773113 пароль VOV1945 честно говоря в блокноте какой то бардак

28.09.2011, 15:50	#5 (ссылка)
Malik77 Новичок Регистрация: 28.09.2011 Сообщений: 4 Репутация: 0	http://zalil.ru/31773358 ПАРОЛЬ VOV1946 ---------- Добавлено в 14:50 ---------- Предыдущее сообщение было написано в 14:38 ---------- сделал сканирование антивирусом, вируса нет. Вы можете коротко объяснить что ерунда это была. Спасибо большое

28.09.2011, 17:52	#7 (ссылка)
Malik77 Новичок Регистрация: 28.09.2011 Сообщений: 4 Репутация: 0	выявил 2 зараженных параметра в реестре. Предлагает удалить. http://zalil.ru/31774243 ПАРОЛЬ VOV1947 Получается вирус уже мог похитить мой пароль онлайн - банка?

28.09.2011, 17:59	#8 (ссылка)
safety Эксперт Регистрация: 12.07.2011 Сообщений: 28,970 Репутация: 1660	возможно. ------------------ удалите все найденные объекты в МБАМ далее -------- по возможности, выполните наши рекомендации по безопасной работе в сети актуальные пакеты обновлений для XP - SP3 скачать и установить SP3 для Windows XP http://windows.microsoft.com/ru-RU/w...ads/windows-xp для Vista - SP2 скачать и установить SP2 для Vista http://www.microsoft.com/downloads/r...displaylang=ru для Win7 - SP1 скачать и установить SP1 для Windows7 http://www.microsoft.com/downloads/r...b-3a9b77cdfdda ******** Установите Internet Explorer 8 даже если вы не используете его в качестве браузера скачать отсюда http://www.microsoft.com/rus/windows...r/default.aspx если используете браузер Firefox установите текущую версию http://www.mozilla-europe.org/ru/firefox/ установите для Firefox дополнение NoScript для блокирования javascript, https://addons.mozilla.org/ru/firefox/addon/722/ разрешайте использование javascript на доверенных сайтах, или временно разрешить на данной странице. установите дополнение AddBlock Plus https://addons.mozilla.org/ru/firefox/addon/1865/ если установлено данное ПО:Java, Adobe Flash player, Acrobat REader, обязательно обновите до текущих версий: Java http://www.java.com/ru/download/manual.jsp Adobe Flash Player http://get.adobe.com/ru/flashplayer/ Adobe Acrobat Reader** http://get.adobe.com/reader/

12.10.2011, 20:52	#9 (ссылка)
oxothuk Новичок Регистрация: 12.10.2011 Сообщений: 2 Репутация: 0	Windows XP (32) SP3 ESET NOD32 SMART SECURITY 5.0. Оперативная память - модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна Проверил uVS Полный образ автозапуска. http://zalil.ru/31856600

12.10.2011, 22:12	#11 (ссылка)
oxothuk Новичок Регистрация: 12.10.2011 Сообщений: 2 Репутация: 0	Выполнил скрипт в UVS. ПК перезагрузился. Вроде как вирус исчез =) На всякий случай сделал еще один Образ Автозапуска, который уже после "обработки". http://zalil.ru/31857151 Хотел скачать сканер mbam, но к сожалению не смог, так как не знаю английский. Вернее скачал что-то, но там был вовсе не сканер, а антивирус, как я понял. Объясните, пожалуйста, какие пароли ворует троян Carberp.AD ?? пароли стоит менять на емейле??

12.10.2011, 22:18	#12 (ссылка)
maksimog Мастер Регистрация: 08.07.2011 Сообщений: 6,292 Репутация: 631	Вирус был удален еще антивирусом, в скрипте я применил только зачистку системы. По поводу паролей не уверен но думаю смените на все от греха подальше. И выполнить вот это, чтобы еще раз не получить такой же подарок. если вы используете Windows XP установите сервис-пак SP3 + все последующие критические обновления для операционной системы. Установите Internet Explorer 8 скачать отсюда http://www.microsoft.com/rus/windows...r/default.aspx если установлена Java, обновить ее до текущей версии скачать отсюда http://www.java.com/ru/download/manual.jsp обновите ПО: Adobe Flash Player отсюда http://get.adobe.com/ru/flashplayer/ Adobe Acrobat Reader http://get.adobe.com/reader/

13.10.2011, 02:12	#13 (ссылка)
svetlana_27 Новичок Регистрация: 13.10.2011 Сообщений: 8 Репутация: 0	Добрый вечер! Помогите удалить вирус. Windows XP (32) ESET NOD32 SMART SECURITY 4. Оперативная память - модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна Проверила uVS Полный образ автозапуска. http://zalil.ru/31859051 Спасибо.

13.10.2011, 06:12	#14 (ссылка)
Lexer Мастер Регистрация: 24.10.2010 Сообщений: 4,156 Репутация: 513	svetlana_27, Здравствуйте. Создайте новую тему и там выложите ваши логи!

Ads

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)