Viiruse Download.Ject avastamise ja eemaldamise tööriist

Kokkuvõte

Microsoft on teada Trooja hobune programmi nimega W32/Berbew (variandid A-H), mis laaditakse alla pärast seda, kui Microsoft Windowsi põhisesse klientarvutisse on nakatunud viiruse Download.Ject ründevara. See probleem ilmneb siis, kui kasutaja külastamine veebisaiti, mis on majutatud serveris, kus töötab Microsoft Internet Information Services (IIS) ja mis on nakatunud JS. Scob. Kasutaja arvutisse allalaaditud veebilehed sisaldavad täiendavaid JavaScript programm, mis laadib tagauks: W32 / Berbew Trooja hobune. Tagauks: W32 / Berbew on ka tagauks AXJ, Webber või Padodor. Kui see Trooja hobune töötab kasutaja arvutis, teeb mitmeid meetmeid, sealhulgas järgmisi:

See jälgib Interneti-ühendus. Kui kasutaja külastamine üks paljudest rahalisi või ISP veebisaite, Trooja hobune jäädvustatakse tundliku loomuga teavet, näiteks sisselogimise nimed, paroolide ja muu tundliku loomuga teavet. Trooja hobune saadab selle teabe Trooja hobune Autor toomiseks veebiserveris. See installib puhverserverit, mis konfigureerib kasutaja arvuti kasutamiseks kui relee selliseid meetmeid nagu rämpsposti saatmise eest.
See avab võlts dialoogiboksid, mis palub kasutajal sisestada konfidentsiaalset teavet, nagu on kaardi koodid või krediitkaardi numbreid. Seejärel saadetakse see teave Trooja hobune Autor toomiseks veebiserveris.

Microsoft on andnud välja tööriista, mis aitab eemaldada tagauks: W32 / Berbew Trooja hobune variandid arvutist. Saate selle tööriista alla laadida Microsoft Download Center ja käivitage see oma arvutis eemaldada Backdoor:W32/Berbew.A, Backdoor:W32/Berbew.B, Backdoor:W32/Berbew.C, ja Backdoor:W32/Berbew.D, Backdoor:W32/Berbew.E, Backdoor:W32/Berbew.F, Backdoor:W32/Berbew.G ja Backdoor:W32/Berbew.H.Tehnilised uuendused

8. veebruar 2005: Microsoft asendas selle tööriista Microsoft Windowsi pahatahtliku tarkvara eemaldamise tööriist. Pahatahtliku tarkvara eemaldamise tööriista kohta lisateabe saamiseks klõpsake Microsofti teabebaasi (Knowledge Base) artikli kuvamiseks järgmist artiklinumbrit:

890830 Microsoft Windowsi pahatahtliku tarkvara eemaldamise tööriist aitab eemaldada teatud levinumat tüüpi pahatahtlikku tarkvara arvutitest, kus töötab Windows Server 2003, Windows XP või Windows 2000
14. juuli 2004: "kokkuvõte," "Eraldusvõime" ja "Kasutusteave" jaotiste värskendati.
13. juulil 2004: Microsoft välja versioon 1.0 viiruse Download.Ject avastamise ja eemaldamise tööriista Microsoft Download Center. Versioon 1.0 tuvastab ja eemaldab kõik praegu teadaolevaid variante (A-H) tagauks: W32 / Berbew Trooja hobune.

Sümptomid

Võite kokku puutuda mõnega järgmistest sümptomitest:

Arvuti jõudlus väheneb või võrguühendus on aeglane.
Teade või dialoogiboksi lahtrid et taotlus on turvalisuse telefoninumbrid ja krediitkaardi andmed, kui külastate teatud online finants- ja Interneti-teenuse pakkuja veebisaite.

Põhjus

Selline käitumine ilmneb seetõttu, et teie arvuti on nakatunud tagauks: W32 / Berbew Trooja hobune. Tagauks: W32/Berbew tarnitakse Download.Ject Trooja hobune. Lisateabe saamiseks selle kohta, kuidas teha kindlaks, kas teie arvuti on nakatunud variandi tagauks: W32 / Berbew, külastage järgmist Microsofti veebisaiti:

http://www.microsoft.com/security_essentials/default.aspx

Lahendus

Viirusetõrje tarkvara ajakohasena allkirjad aitab ära hoida tagauks: W32 / Berbew Trooja hobune arvuti nakatumist.

NB! Samuti soovitame kasutada Interneti tulemüüri ja viirusetõrjetarkvara ajakohase allkirja ja hoida Windows ja programmid ajakohasena.

Kohta, kuidas takistada viiruste ja taastamine viiruste kohta lisateabe saamiseks klõpsake Microsofti teabebaasi (Knowledge Base) artikli kuvamiseks järgmist artiklinumbrit:

129972 Arvutiviirused: kirjeldus, vältimine ja taastamine

Allalaadimis- ja installiteave

Eeltingimused

Viiruse Download.Ject avastamise ja eemaldamise tööriista on järgmised eeltingimused:

Arvuti peab kasutama Microsoft Windows 2000 hoolduspaketi SP2 või uuema versiooniga või Microsoft Windows XP 32-bitine versioon.
Peate logige arvutisse sisse administraatorina või administraatorite rühma liikmena.

Kuidas teha kindlaks, kas arvutisse on installitud Windows XP 32-bitine või 64-bitine Windows XP kohta lisateabe saamiseks klõpsake Microsofti teabebaasi (Knowledge Base) artikli kuvamiseks järgmist artiklinumbrit:

827218 kuidas määratleda, kas arvutisse on installitud 32-bitine või 64-bitine Windowsi operatsioonisüsteem

Kui need eeltingimused on täidetud, installimist ei tööta ja kuvatakse tõrketeade. Selle tõrketeate kohta lisateabe saamiseks vaadake järgmise:

%Windir%\Debug\Berbcln.logLisaks soovitame keelamiseks Internet Exploreris objekti ADODB.stream enne eemaldamise tööriista käitada Windows Update'i installimist. Kuigi eemaldamise tööriist eemaldab nakatunud arvutite Trooja hobune, see ei takista uuesti nakatumise kui teie arvuti on veel haavatavad. Kriitilise värskenduse installimine võib aidata vältida täiendavaid faile serverist Download.Ject nakatunud ründevaraga.

Keelata ADODB.stream objekti Windows Update'i kohta lisateabe saamiseks klõpsake Microsofti teabebaasi (Knowledge Base) artikli kuvamiseks järgmist artiklinumbrit:

870669 Kuidas keelata ning ADODB. Stream objekti Internet Explorerist

Taaskäivitamise nõue

Ei ole seda tööriista installimist arvuti taaskäivitama.

Kasutamise kohta

NB! Enne nende juhiste järgimist veenduge, et olete kõik vajalikud andmed varundanud.

Kui installite Download.Ject avastamise ja eemaldamise tööriista ja nõustuge lõppkasutaja litsentsilepingu (EULA), installikomplekt ekstraktib Berbcln.exe faili ajutisse kausta ja seejärel eemaldamise tööriist töötab. Eemaldamise tööriist kontrollib, kas teie arvuti vastab eeltingimused, mis on loetletud jaotises "eeltingimused". Kui kõik eeltingimused on täidetud, võtab eemaldamise tööriist järgmised toimingud:

See tööriist analüüsib Trooja hobune on lisatud kirjete järgmised registri alamvõtmed:
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
- HKEY_CLASSES_ROOT\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32
Tööriist otsib mälus ilmnemise peamine tagauks: Win32 / Berbew Trooja hobune komponent. Kui eemaldamise tööriist leiab selle protsessi lõpetamist.
Tööriist otsib Trooja hobune loodud järgmised andmefailid. Need failid võivad sisaldada tundlikku isiklikke andmeid. See tööriist kustutab need failid.

Neh2x32.vxd
Neh2x32.dat
Glumx32.vxd
Glumx32.dat
Tt32.vxd
Tt32.dat
Gart32.vxd
Gart32.dat
Jcole32.vxd
Jcole32.dat
Kk32.dll
Kk32.dll
Dnkk.dll
Surf.dat
Kkq32.dll
Kkq32.vxd
Dnkkq.dll
Kar32.dll
Kar32.vxd
Dkk32.dll
Zurfs.dat
See tööriist kustutab kõik failid, mis on seotud tagauks: W32 / Berbew Trooja hobune. Nende failide tuvastati samme 1 ja 2.
Tööriist eemaldab registrikirjed, mis on tuvastada 1. sammus. Kui Berbew registriväärtus enam osutab faili arvuti kõvakettale, eemaldamise tööriist eemaldada orvuks registriväärtuse Kuna registriväärtuse põhjustab kahju seotud faili olemas arvuti kõvakettal.
Osana oma äritegevuse viisi töötab Trooja hobune peidetud windows kaks Microsoft Internet Exploreri aknad. Need windows proovige ühendada pahatahtlik veebisaite. Ühe eksemplari püüab laadida varastatud isiklikke andmeid ja muud eksemplari otsib tarkvara värskendusi Trooja hobune. Kui tööriist tuvastab tagauks: W32 / Berbew Trooja hobune arvutis tööriista lõpeb kõik praegu töötavad eksemplarid Internet Explorer.

Tööriista kuvatakse teade, mis kirjeldab tuvastamise ja eemaldamise tulemus. Järgmine loend sisaldab teateid, mis võidakse kuvada ja selgitatakse nende tähendust.

Sõnum	Tähendus
No infection ei tuvastatud	Tagauks: Win32 / Berbew Trooja hobune ei tuvastatud selles arvutis.
Edukalt eemaldatud Backdoor:Win32/Berbew.gen Trooja. Pahatahtlik side vältimiseks lõpetati kõik Internet Exploreri aknad.	Tagauks: Win32 / Berbew Trooja hobune on eemaldatud. Täiendavaid meetmeid on vaja.
See tööriist peab tee administraator.	Tuleb logige välja ja logige uuesti sisse administraatorina.
Parandamatu tõrge, vaadake logifaili.	Vaadake lisateavet %Windir%\Debug\Berbcln.log kataloogi.
Backdoor:/W32/Berbew.Gen Trooja tuvastati, kuid ei saa eemaldada.	Proovige tööriista uuesti ja kontrollige logifaili tõrkeid.
See tööriist nõuab Windows 2000 või Windows XP.	See tööriist ei toeta versioonide Windows peale Windows 2000 ja Windows XP.
Vale versiooni (Win32s)	See tööriist ei toeta Windows 3.1 koos Win32s.

Kui sulgete dialoogiboksi, eemaldamise tööriist suletakse ja kustutatakse fail Berbcln.exe ajutisse kausta. Nüüd saate Windowsi KB873018-ENU V1.exe faili käsitsi kustutada.

Eemaldamise tööriist loob logifail nimega Berbcln.log kausta %Windir%\Debug. Saate vaadata selle logifaili abil kindlaks, kui Backdoor:W32/Berbew.gen nakatumine leiti ja eemaldati.

Käsurea lülitid

Eemaldamise tööriist installer toetab järgmisi käsurea lüliteid.

/Q – Vaikse režiimi kasutamine või teadete tõkestamine failide ekstraktimise ajal.
U - kasutaja-/ Vaikse režiimi kasutamine. Kasutaja-/ vaikses režiimis kuvatakse kasutajale mõned dialoogiboksid.
/Q:A - ülema-/ vaikse režiimi kasutamine. Ülema-/ vaikses režiimis dialoogibokse ei kuvata kasutajale.
/T:
tee - Download.Ject avastamise ja eemaldamise tööriista installimine programmi poolt kasutatav ajutise kausta asukoha määramine või täpsustada sihtkaust Failide ekstraktimine (kui seda lülitit kasutatakse koos lülitiga /C ).
/C - ilma installida need failid ekstraktida. If /T:
tee on määratud, palutakse määrata sihtkausta.
/C:
cmd - tee ja nimi teisele Setup.inf või .exe faili kasutada tööriista installimiseks.
installijärgse/R: n - ei taaskäivita arvutit pärast installi.
/R: I -arvuti taaskäivitada, kui taaskäivitamine on nõutav, v.a kui seda lülitit kasutatakse koos lülitiga /Q:A .
/R:A - alati taaskäivitage arvuti pärast installimist.
Installijärgne - taaskäivita arvutit pärast installi viipa kasutaja

Toetatud installivõtmete kohta lisateabe saamiseks klõpsake Microsofti teabebaasi (Knowledge Base) artikli kuvamiseks järgmist artiklinumbrit:

197147 IExpress tarkvaravärskenduspakettide käsurealülitid

Eemaldamise tööriist toetab järgmisi käsurea lülitiga.

/S – võimaldab vaikses režiimis tööriista. See lüliti takistab nakkuse oleku dialoogiboksis kuvatakse pärast tööriista käitamist.

Eemaldamise teave

Berbcln.exe faili kustutatakse pärast eemaldamise tööriist töötab automaatselt ajutised asukohast. See tööriist installipaketina kustutada eemaldamise tööriista installimist.

Märkus. Viiruse Download.Ject avastamise ja eemaldamise tööriista installimist ei kuvata installitud programmide loendis klõpsake juhtpaneeli programmide lisamise ja eemaldamise tööriista.

Lisateabe saamiseks

Uuemate versioonide Robocopy, versioon XP010, näiteks on /SECFIX lüliti on aegunud. Failide ja kaustade kopeerimine faili andmete kasutamiseks /IS lülitiga /copy/koopia koos ilma vahetada värskendada olemasoleva sihtkoha turbeteave ilma D lipu. Näiteks /IS /COPY:SOU värskendab kõik turbeteave kõigi valitud failide kopeerimine faili andmeid ilma. Lisateabe saamiseks Robocopy.doc faili teemat "Valikuliselt kopeerimine faili andmed".