Šis rīks vairs nav pieejams. Tas ir aizstāts ar Microsoft Windows ļaunprogrammatūras noņemšanas rīku. Lai iegūtu papildinformāciju par ļaunprogrammatūras noņemšanas rīku, noklikšķiniet uz tālāk norādītā raksta numura un lasiet Microsoft zināšanu bāzes rakstu:
890830 Microsoft Windows ļaunprogrammatūras noņemšanas rīks palīdz noņemt specifisku, izplatītu ļaunprogrammatūru no datoriem, kuros darbojas Windows Server 2003, Windows XP vai Windows 2000
Kopsavilkums
Korporācija Microsoft ir uzzinājusi par Trojas zirga programmu W32/Berbew (varianti A-H), kas tiek lejupielādēta pēc tam, kad Microsoft Windows klienta dators ir inficēts ar ļaunprogrammatūru Download.Ject. Šī problēma rodas, kad lietotājs apmeklē tīmekļa vietni, kas viesota serverī, kurā darbojas Microsoft interneta informācijas pakalpojumi (IIS), un kuru ir inficējusi JS. Scob. Tīmekļa lapās, kas tiek lejupielādētas lietotāja datorā, ir papildu JavaScript programma, kas lejupielādē Backdoor:W32/Berbew Trojas zirgu. Backdoor: W32 / Berbew ir pazīstams arī kā Backdoor-AXJ, Webber vai Padodor. Kad šis Trojas zirgs darbojas lietotāja datorā, tas veic vairākas darbības, tostarp šādas:
- Tas pārrauga piekļuvi internetam. Kad lietotājs apmeklē kādu no vairākām finanšu vai ISP vietnēm, Trojas zirgs tver sensitīvu informāciju, piemēram, pieteikšanās vārdus, paroles un citu sensitīvu informāciju. Pēc tam Trojas zirgs nosūta šo informāciju tīmekļa serverim, lai to izgūtu Trojas zirga autors. Tas instalē starpniekserveri, kas konfigurē lietotāja datoru izmantošanai kā pārraidi tādām darbībām kā surogātpasta sūtīšana.
- Tiek atvērti viltoti dialoglodziņi, kuros lietotājs tiek aicināts ievadīt konfidenciālu informāciju, piemēram, bankomāta karšu kodus vai kredītkaršu numurus. Pēc tam šī informācija tiek nosūtīta uz tīmekļa serveri, lai to izgūtu Trojas zirga autors.
Korporācija Microsoft ir izlaidusi rīku, kas palīdzēs noņemt no datora Backdoor:W32/Berbew Trojas zirga variantus. Varat lejupielādēt šo rīku no Microsoft lejupielādes centra un palaist to datorā, lai noņemtu Backdoor:W32/Berbew.A, Backdoor:W32/Berbew.B, Backdoor:W32/Berbew.C un Backdoor:W32/Berbew.D, Backdoor:W32/Berbew.E, Backdoor:W32/Berbew.F, Backdoor:W32/Berbew.G un Backdoor:W32/Berbew.H infekcijas. Tehniskie atjauninājumi
2005. gada 8. februāris: Microsoft aizstāja šo rīku ar Microsoft Windows ļaunprātīgās programmatūras noņemšanas rīku. Lai iegūtu papildinformāciju par ļaunprogrammatūras noņemšanas rīku, noklikšķiniet uz tālāk norādītā raksta numura un lasiet Microsoft zināšanu bāzes rakstu:
890830 Microsoft Windows ļaunprogrammatūras noņemšanas rīks palīdz noņemt specifisku, izplatītu ļaunprogrammatūru no datoriem, kuros darbojas Windows Server 2003, Windows XP vai Windows 2000
2004. gada 14. jūlijs: tika atjauninātas sadaļas "Kopsavilkums", "Risinājums" un "Lietojuma informācija".
2004. gada 13. jūlijs: Microsoft izlaida Download.Ject Payload Detection and Removal Tool 1.0 versiju Microsoft lejupielādes centram. Versija 1.0 nosaka un noņem visus pašlaik zināmos Backdoor:W32/Berbew Trojas zirga variantus (no A līdz H).
Pazīmes
Var rasties viena vai vairākas no šīm pazīmēm:
- Datora veiktspēja ir samazināta vai tīkla savienojums ir lēns.
- Apmeklējot noteiktas tiešsaistes finanšu un interneta pakalpojumu sniedzēju tīmekļa vietnes, saņemat ziņojumus vai dialoglodziņus, kuros tiek pieprasīti bankomāta drošības numuri un kredītkaršu informācija.
Iemesls
Šāda darbība ir tāpēc, ka jūsu dators ir inficēts ar Backdoor:W32/Berbew Trojas zirgu. Backdoor:W32/Berbew piegādā Download.Ject Trojas zirgs. Lai iegūtu papildinformāciju par to, kā noteikt, vai jūsu dators ir inficēts ar Backdoor:W32/Berbew variantu, apmeklējiet šo Microsoft vietni:
http://www.microsoft.com/security_essentials/default.aspx
Risinājums
Pretvīrusu programmatūra ar atjauninātiem parakstiem palīdzēs novērst Backdoor:W32/Berbew Trojas zirga inficēšanu datorā.
Svarīgi Iesakām arī izmantot interneta ugunsmūri un pretvīrusu programmu ar atjauninātiem parakstiem, kā arī nodrošināt Windows un programmu atjaunināšanu.
Lai iegūtu papildinformāciju par vīrusu aizsardzību un atkopšanos no vīrusu infekcijām, noklikšķiniet uz tālāk norādītā raksta numura un lasiet Microsoft zināšanu bāzes rakstu:
129972 Datorvīrusi: apraksts, novēršana un atkopšana
Lejupielādes un iestatīšanas informācija
Priekšnosacījumi
Download.Ject lietderīgās slodzes noteikšanas un noņemšanas rīkam ir šādi priekšnosacījumi:
- Jūsu datorā ir jābūt instalētai Microsoft Windows 2000 SP2 vai jaunākai versijai, vai Microsoft Windows XP 32 bitu versijai.
- Piesakieties kā datora administratoram vai kā administratoru grupas dalībniekam.
Lai iegūtu papildinformāciju par to, kā noteikt, vai datorā darbojas Windows XP 32 bitu versija vai Windows XP 64 bitu versija, noklikšķiniet uz šī raksta numura un lasiet Microsoft zināšanu bāzes rakstu:
827218 Kā noteikt, vai datorā darbojas operētājsistēmas Windows 32 bitu versija vai 64 bitu versija
Ja šie priekšnoteikumi netiks izpildīti, instalēšana nedarbosies un tiks parādīts kļūdas ziņojums. Lai iegūtu papildinformāciju par kļūdas ziņojumu, skatiet šo žurnālfailu:
%Windir%\Debug\Berbcln.logTurklāt pirms noņemšanas rīka palaišanas iesakām instalēt Windows atjauninājumu, lai atspējotu ADODB.stream objektu pārlūkprogrammā Internet Explorer. Lai gan noņemšanas rīks noņems Trojas zirgu no inficētajiem datoriem, tas nenovērsīs atkārtotu inficēšanos, ja dators joprojām ir neaizsargāts. Instalējot kritisko atjauninājumu, varat novērst ļaunprogrammatūras papildu lejupielādes no Download.Ject inficētā servera.
Lai iegūtu papildinformāciju par Windows atjauninājumu objekta ADODB.stream atspējošanai, noklikšķiniet uz tālāk norādītā raksta numura un lasiet Microsoft zināšanu bāzes rakstu:
870669 Kā atspējot ADODB. Stream object from Internet Explorer
Restartēšanas prasības
Pēc šī rīka instalēšanas nav jārestartē dators.
Informācija par lietojumu
Svarīgi Pirms veicat šīs darbības, pārliecinieties, vai esat dublējis visus svarīgos datus.
Instalējot Download.Ject vērtuma noteikšanas un noņemšanas rīku un akceptējot lietotāja licences līgumu (EULA), instalācijas pakotne izvelk Berbcln.exe failu pagaidu mapē, pēc tam tiek palaists noņemšanas rīks. Noņemšanas rīks pārbauda, vai jūsu dators atbilst priekšnosacījumiem, kas norādīti sadaļā "Priekšnosacījumi". Ja priekšnosacījumi ir izpildīti, noņemšanas rīks veic šādas darbības:
Rīks pārbauda tālāk norādītās reģistra apakšatslēgas, lai atrastu Trojas zirga pievienotos ierakstus:
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
- HKEY_CLASSES_ROOT\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32
Rīks atmiņā meklē pierādījumus par galveno Backdoor:Win32/Berbew Trojas zirga komponentu. Ja noņemšanas rīks to atrod, process ir pabeigts.
Rīks meklē šādus datu failus, kurus ir izveidojis Trojas zirgs. Šajos failos var būt sensitīvi personas dati. Rīks izdzēš šos failus.
Neh2x32.vxd
Neh2x32.dat
Glumx32.vxd
Glumx32.dat
tt32.vxd
Tt32.dat
Gart32.vxd
Gart32.dat
Jcole32.vxd
Jcole32.dat
Kk32.dll
Kk32.dll
Dnkk.dll
Surf.dat
Kkq32.dll
Kkq32.vxd
Dnkkq.dll
Kar32.dll
Kar32.vxd
Dkk32.dll
Zurfs.datRīks izdzēš visus failus, kas ir saistīti ar Backdoor:W32/Berbew Trojas zirgu. Šie faili tika identificēti 1. un 2. darbībā.
Rīks noņem reģistra ierakstus, kurus tas identificēja, veicot 1. darbību. Ja Berbew reģistra vērtība vairs nenorāda uz failu cietajā diskā, noņemšanas rīks nenoņem pamesto reģistra vērtību, jo reģistra vērtība neradīs kaitējumu, ja cietajā diskā nepastāv saistītais fails.
Kā daļu no savas darbības metodes Trojas zirgs slēptajos logos darbina divas Microsoft Internet Explorer instances. Šie logi mēģina izveidot savienojumu ar ļaunprātīgām vietnēm. Viens gadījums mēģina augšupielādēt nozagtus personas datus, bet otrs meklē programmatūras atjauninājumus Trojas zirgam. Ja rīks datorā konstatē Backdoor:W32/ Berbew Trojas zirgu, rīks pārtrauc visas pašlaik palaistās Internet Explorer instances.
Rīks parāda ziņojumu, kurā ir aprakstīts noteikšanas un noņemšanas procesa rezultāts. Šajā sarakstā ir uzskaitīti ziņojumi, kas var tikt saņemti, un paskaidrota to nozīme.
Ziņojums Nozīme Infekcija nav konstatēta Šajā datorā netika konstatēts Backdoor:Win32/Berbew Trojas zirgs. Sekmīgi noņemts Backdoor:Win32/Berbew.gen Trojas zirgs. Lai novērstu ļaunprātīgu saziņu, visu Internet Explorer instanču darbība tika pārtraukta. Aizmugures durvis: Win32 / Berbew Trojas zirgs tika noņemts. Nav jāveic papildu darbības. Šo rīku ir jāpalaiž administratoram. Jums ir jāatsakās un vēlreiz jāpiesakās kā administratoram. Fatāla kļūda. Lūdzu, pārskatiet žurnālfailu. Papildinformāciju skatiet direktorijā %Windir%\Debug\Berbcln.log. Backdoor:/W32/Berbew.gen Trojas zirgs tika atklāts, bet to nevarēja noņemt. Mēģiniet vēlreiz palaist rīku un pārbaudiet, vai žurnālfailā nav kļūdu. Šim rīkam nepieciešama sistēma Windows 2000 vai Windows XP. Šis rīks netiek atbalstīts Windows versijās, izņemot Windows 2000 un Windows XP. Nepareiza Windows versija (Win32s) Šis rīks netiek atbalstīts operētājsistēmā Windows 3.1 ar Win32s. Aizverot ziņojuma lodziņu, noņemšanas rīks tiek aizvērts, un Berbcln.exe fails tiek izdzēsts no pagaidu mapes. Tagad varat dzēst Windows-KB873018-ENU-V1.exe failu manuāli.
Noņemšanas rīks mapē %Windir%\Debug izveido žurnālfailu ar nosaukumu Berbcln.log. Varat skatīt šo žurnālfailu, lai noteiktu, vai tika konstatētas un noņemtas Backdoor:W32/Berbew.gen infekcijas.
Komandrindas slēdži
Noņemšanas rīka instalēšanas programma atbalsta šādus komandrindas slēdžus:
/Q — izmantojiet kluso režīmu vai apslāpējiet ziņojumus, kad faili tiek izvilkti.
/Q:U — izmantot lietotāja kluso režīmu. Lietotāja klusais režīms parāda lietotājam dažus dialoglodziņus.
/Q:A - izmantot administratora kluso režīmu. Administratora klusajā režīmā lietotājam netiek rādīti dialoglodziņi.
/T:
ceļš — norādiet pagaidu mapes atrašanās vietu, ko izmanto Download.Ject lietderīgās slodzes noteikšanas un noņemšanas rīka iestatīšanas programma, vai norādiet mērķa mapi failu izgūšanai (ja šo slēdzi izmanto kopā ar slēdzi /C)./C - Izvelciet failus, tos neinstalējot. Ja /T:
ceļš nav norādīts, tiek piedāvāts norādīt mērķa mapi./C:
cmd — norādiet ceļu un nosaukumu citam Setup.inf failam vai .exe failam, kas jāizmanto rīka instalēšanai./R:N - Nekad nerestartējiet datoru pēc instalēšanas.
/R:I — pieprasīt lietotājam restartēt datoru, ja nepieciešama restartēšana, izņemot gadījumus, kad šo slēdzi izmanto ar slēdzi /Q:A.
/R:A — pēc instalēšanas vienmēr restartējiet datoru.
/R:S — pēc instalēšanas restartējiet datoru, nelūdzot lietotājam
Lai iegūtu papildinformāciju par atbalstītajiem instalācijas slēdžiem, noklikšķiniet uz šī raksta numura un lasiet Microsoft zināšanu bāzes rakstu:
197147 komandrindas slēdži IExpress programmatūras atjauninājumu pakotnēm
Noņemšanas rīks atbalsta šādu komandrindas slēdzi:
- /S — iespējo rīka klusuma režīmu. Slēdzis noņem infekcijas statusa dialoglodziņu, kas tiek parādīts pēc rīka palaišanas.
Noņemšanas informācija
Berbcln.exe fails tiek automātiski izdzēsts no tā pagaidu atrašanās vietas pēc noņemšanas rīka palaišanas. Pēc noņemšanas rīka instalēšanas varat izdzēst rīka instalēšanas programmas pakotni.
Piezīme Pēc Download.Ject Payload Detection and Removal Tool instalēšanas tas netiek parādīts instalēto programmu sarakstā rīkā Pievienot/noņemt programmas vadības panelī.
Papildinformācija
Jaunākās Robocopy versijās, piemēram, XP010 versijā, slēdzis /SECFIX ir novecojis. Lai atsvaidzinātu esošo mērķa failu un mapju drošības informāciju bez failu datu kopēšanas, izmantojiet slēdzi /IS kopā ar slēdzi /COPY bez karodziņa D. Piemēram, /IS /COPY:SOU atsvaidzina visu drošības informāciju visiem atlasītajiem failiem, nekopējot faila datus. Papildinformāciju skatiet Robocopy.doc faila tēmā "Faila datu selektīva kopēšana".