Помогнете да изтрия TR/Dldr.Carberp.C.38

[anarven]

Само да спомена, че и новата версия на Avira AntiVir Rescue System не ми сработи, така че няма какво да казвам за нея.

[TechMaster]

Няма нужда.

Изтеглете това MBR.EXE

Ще създаде логче със същото име-mbr.txt

Става за броени секунди.

Kaчете ми го, да го разгледам.

След това една проверка с Carberp Removal Tool

Ще започне да сканира веднага щом го пуснете.

Времето на сканиране варира.

И едно сканиране с GMER.

При стартирането му, той ще започне да сканира автоматично, обикновено това не продължава повече от 5минутки.

И запазете лога от сканирането с бутончето Save, после го качете.

http://bezplatno.info/upload/thumbs/arx1289495822u.png

Не хабете повече дискове, няма смисъл. Реално проверката само с едно LiveCD, което е общо 1диск щеше да бъде достатъчна. Каквото трябва да се види, видя се.

[anarven]

Няма нужда.

Изтеглете това MBR.EXE

Ще създаде логче със същото име-mbr.txt

 

Странно, но Comodo Firewall изписва, че този exe файл е зловреден и ме препраща към тази информация: http://cima.security...ff845da0aa8.htm

 

Какво става, да го пускам ли? Съжалявам, че питам, просто друг път не ми се е появявало толкова категорично съобщение.

[TechMaster]

Всички инструменти, които давам са напълно чисти и не могат да нанесат вреда с някаква вредоносна вирусна активност.

Моля спрете Comodo FireWall и AviraAntivir и продължете.

По време на проверката може би ще бъде добре интернетът да бъде спрян, щом приключите-пуснете AviraAntivir и Comodo Firewall и включете вашият интернет.

Също така не знам дали сте успели да спрете System Restore, защото един от логовете твърди противното.

Прилагам упътване как да спрете SystemRestore. Oбърнете внимание на всяка стъпка.Линк

След това искаш ScreenShoot, за да се уверя лично, че System Restore e спрян.

След сканирането с Carberp Removal Tool моля направете ScreenShoot на Reports таба.

[anarven]

Също така не знам дали сте успели да спрете System Restore, защото един от логовете твърди противното.

Прилагам упътване как да спрете SystemRestore. Oбърнете внимание на всяка стъпка.Линк

 

Точно по този метод от официалната страница на Windows 7 спрях System Restore, но в единия от логовете, забравих в кой, пишеше, че е пуснат, аз тогава също ви го написах, защото не разбрах кое е вярното. После проверих в System Properties-System Protection и там си стои на OFF, сега също си стои така, не зная защо така пишеше в онзи лог.

Ще спра интернета и антивирусните по време на всички проверки.

 

ПП: А да ползвам ли някоя от споменатите от Федя програми за "връщане" на системата? Явно този на Уиндоус не е много подходящ...

[TechMaster]

...

Моля, не правете нищо друго, което аз не съм описал.

Продължавайте с това, което съм дал като инструкции.

SystemRestore наистина е спрян.

[anarven]

Да , разбира се, няма, затова първо питам.

 

Ето скрийншот за състоянието на System Restore. Да сканирам ли вече в посочения от вас ред?

[TechMaster]

Да

[anarven]

Има някакъв проблем с CarberpRemovalTool, затова ви прикачам първо файла от MBR, а после скрийншот с това, което ми изписва, когато се опитам да стартирам CarberpRemovalTool.

Изтрих и свалих още по веднъж програмите за всеки случай, но положението е същото.

 

mbr.txt

 

 

 

 

Да се пробвам ли да сканирам с GMER при това положение?

[TechMaster]

Да. След това опитайте да изтеглите и пуснете отново CarberpRemovalTool, като го преименувате в CRP.еxe

И изтеглете МBRCheck

Дайте ми лога от него.

Стартирате всичко като администратор.

Лично тествам вече всеки инструмент, който ви давам.

При мен и 3-те функционират коректно.

[anarven]

Нещо започнах да се стряскам. Когато стартирах GMER (вскички програми стартирам като администратор), отново ми излезе съобщение, прилагам снимка долу. След това, все пак, сканирах и прилагам лога.

 

gmerlog.txt

 

 

Сега ще пробвам да сваля отново CarberpRemovalTool и да го пусна. Пробвах да го пусна, след като го преименувах, изписва ми същото съобщение и не тръгва.

 

Ето от MBRCheck:

MBRChek log.txt

 

[TechMaster]

В момента изяснявам ситуацията в системата ви, поради някакви глождещи ме съмнения.

Съжалявам, че ви карам да правим толкова сканирания, но в момента просто се изисква, за да събера информация.

RootRepeal

http://bezplatno.info/upload/thumbs/klz1289502221s.png

След това моля да изтеглите и пуснете TDSSKiller

И след това сканиране с OTL/Линк/ със следните настройки

http://bezplatno.info/upload/thumbs/arx1289502358t.png

[anarven]

Здравейте, рестартирах и успях да пусна CarberpRemovalTool. Не зная какво е станало предишния път, затова просто реших да рестартирам.

Спряла съм антивирусната и стената, но забравих да спра интернета. След малко ще ви изпратя всички логове накуп.

Благодаря!

 

Значи, RootRepeal не пожела да тръгне, изписа ми се съобщение, че има грешка № 5 при extracting. Рестартирах - отново не стана нищо.

При MBR и GMER няма промяна след рестартирането.

 

Прикачам това, което успях да направя:

 

1) снимка от CarberpRemovalTool

2) Репорт от TDSSKiller

tdsskiller-report.txt

3) Лог от OTL

OTL-log.txt

В какво, всъщност, се съмнявате? Малко съм объкана дали има нещо нередно или не.

[TechMaster]

Изтеглете, запазете инструментчето на десктопа ви и го пуснете. Искам да видя лога.

Win32kDiag

п.п Знам, че вече започвате да се чудите какво става и може да губите търпение.

Това е нормално, предвид това каква артилерия с инструменти ви помолих да стартирате.

Няма да увъртам-Rootkit

В предните логове не го видяхме, защото това му е работата-да се крие.

За жалост GMER не ми даде пълен лог, RootRepeal отказва да стартира...

Троянчето може да е било само "черешката на тортата"

[anarven]

Не е ли малко странно, че програмите не искат да стартират. Ох, ми аз не зная каква точно е спецификата на Rootkit. Сериозно ли е? Може ли изобщо да се махне... Прав сте, обърквам се и вече съм по-притеснена от в началото...

 

Ето логът:

Win32Diaglog.txt

 

 

Ахамм... прочетох какво е рууткит...

Ако е, не е ли най-здравословно да се опитам да преинсталирам Windows (което е ужасно, понеже моят се стартира от Recovery Discs, които сама съм си направила, според описанието на Toshiba, т.е. някак се стартира от самата машина...). Вече се чудя, може ли изобщо да се махне?!

 

Между другото, когато се опитах да пусна RootRepeal, то ми изписа следния лог:

 

 

22:34:13: FOPS - DeviceIoControl Error! Error Code = 0xc0000024 Extended Info (0x00000140)

22:34:13: DeviceIoControl Error! Error Code = 0x1e7

22:34:13: FOPS - DeviceIoControl Error! Error Code = 0xc0000024 Extended Info (0x00000140)