Download. Ject Payload atklāšanas un noņemšanas rīku

Kopsavilkums

Trojas zirgs programmas nosaukumu W32/Berbew (varianti A H) tiek lejupielādēts pēc Microsoft Windows bāzes klienta dators ir inficēts ar ļaunprātīgu programmatūru Download. Ject Microsoft ir pieredzi. Šī problēma rodas, lietotājam apmeklējot vietni, kas viesota serverī, kurā darbojas sistēma Microsoft Internet Information Services (IIS) un kas ir inficēts ar JS. Scob. Web lapas, kas tiek lejupielādētas lietotāja datorā ir papildu JavaScript programmas lejupielādes Backdoor: W32 / Berbew Trojas zirgu. Backdoor: W32 / Berbew ir zināms arī kā Backdoor AXJ, Webber vai Padodor. Šis Trojas zirgs darbojoties lietotāja datorā, tas veic vairākas darbības, kurā ietverta šāda informācija:

Tā pārrauga internetam. Kad lietotājs apmeklē vienu vai vairākas finanšu vai ISP Web vietām, Trojas zirgs ietver sensitīvu informāciju, piemēram, pieteikšanās vārdus, paroles un citu konfidenciālu informāciju. Trojas zirgs Trojas zirgs autora izgūt Web serveris pēc tam nosūta šo informāciju. Instalē starpniekserveri, kas konfigurē lietotāja datora izmantošanas kā pārraides kā surogātpasta šādu darbību.
Tiek atvērta viltus dialoglodziņus, kuros aicināts ievadīt konfidenciālu informāciju, piemēram, kredītkaršu numurus vai ATM kartes kodu lietotāja. Pēc tam šī informācija tiek nosūtīta Trojas zirgs autora izgūt Web serverī.

Korporācija Microsoft ir izlaidusi rīks, kas palīdz noņemt Backdoor: W32 / Berbew Trojas zirgu variantu no datora. Varat lejupielādēt šo rīku no Microsoft Download Center un palaidiet to datorā noņemt Backdoor:W32/Berbew.A, Backdoor:W32/Berbew.B, Backdoor:W32/Berbew.C, un Backdoor:W32/Berbew.D, Backdoor:W32/Berbew.E, Backdoor:W32/Berbew.F, Backdoor:W32/Berbew.G un Backdoor:W32/Berbew.H infekcijas.Tehniskā atjauninājumus

2005. gada 8. februārī: Microsoft aizstāj šo rīku ar Microsoft Windows ļaunprātīgās programmatūras noņemšanas rīku. Lai iegūtu papildinformāciju par ļaunprātīgās programmatūras noņemšanas rīku, noklikšķiniet uz šī raksta numura un lasiet Microsoft zināšanu bāzes rakstu:

890830 Microsoft Windows ļaunprātīgās programmatūras noņemšanas rīks palīdz noņemt specifisku, izplatītu ļaunprātīgu programmatūru no datoriem, kuros darbojas sistēma Windows Server 2003, Windows XP vai Windows 2000
2004. gada 14. jūlijā: "kopsavilkums," "Risinājums" un "Informācija par lietošanu" sadaļas tika atjauninātas.
2004. gada 13. jūlijā: Korporācija Microsoft ir izlaidusi versija 1.0 Download. Ject Payload atklāšanas un noņemšanas rīka Microsoft Download Center. Versija 1.0 nosaka un noņem visas pašlaik zināmās variantus (no A līdz H) Backdoor: W32 / Berbew Trojas zirgu.

Pazīmes

Ir iespējama viena vai vairākas no šīm pazīmēm:

Datora veiktspēja samazinās vai tīkla savienojums ir lēns.
Tiek parādīti ziņojumi vai dialoglodziņos šo pieprasījumu ATM drošības numuri un kredītkartes informāciju, apmeklējot noteiktas tiešsaistes finanšu un ISP Web vietas.

Iemesls

Tas notiek tāpēc, ka dators ir inficēts ar Backdoor: W32 / Berbew Trojas zirgu. Backdoor: W32/Berbew piegādā Download. Ject Trojas zirgs. Lai iegūtu papildinformāciju par to, kā noteikt, vai dators ir inficēts ar variants Backdoor: W32 / Berbew, apmeklējiet šo Microsoft Web vietu:

http://www.microsoft.com/security_essentials/default.aspx

Risinājums

Ar parakstu atjauninātu pretvīrusu programmatūra palīdz novērst Backdoor: W32 / Berbew Trojas zirgu inficēt datoru.

Svarīgi! Ieteicams arī izmantot interneta ugunsmūri un pretvīrusu programmu ar jaunākā paraksti un ka tiek regulāri Windows un programmas.

Lai iegūtu papildinformāciju par to, kā izvairīties no vīrusiem un par to, kā atkopt datoru pēc inficēšanās, noklikšķiniet uz šī raksta numura un lasiet Microsoft zināšanu bāzes rakstu:

129972 datorvīrusi: apraksts, profilakse un atkopšana

Informācija par lejupielādi un iestatījumiem

Priekšnosacījumi

Download. Ject Payload atklāšanas un noņemšanas rīks ir šādiem priekšnosacījumiem:

Datorā ir jādarbojas Microsoft Windows 2000 SP2 vai jaunāka versija vai Microsoft Windows XP 32 bitu versija.
Jums ir jāpiesakās kā administratoram vai administratoru grupas dalībniekam.

Lai iegūtu papildinformāciju par to, kā noteikt, vai datorā darbojas sistēmas Windows XP 32 bitu versija vai 64 bitu versijas Windows XP, noklikšķiniet uz šī raksta numura un lasiet Microsoft zināšanu bāzes rakstu:

Kā noteikt, vai datorā darbojas 32 bitu versija vai 64 bitu operētājsistēmas Windows versijas 827218

Ja neatbilst šiem priekšnoteikumiem, instalēšanas nedarbojas, un tiek saņemts kļūdas ziņojums. Lai iegūtu papildinformāciju par kļūdas ziņojumu, skatiet šādu žurnālfailu:

%Windir%\Debug\Berbcln.logTurklāt, ieteicams instalēt Windows update, lai atspējotu Internet Explorer ADODB.stream objektu pirms noņemšanas rīks tiek palaists. Lai gan noņemšanas rīks noņems Trojas zirgs no inficētos datorus, tas nenovērsīs atkārtotas inficēšanās, ja dators ir pakļauts joprojām. Instalējot kritisko atjauninājumu, jums var palīdzēt novērst papildu servera Download. Ject inficēta ļaunprātīgas programmatūras lejupielādes.

Lai iegūtu papildinformāciju par Windows atjaunināšanu, lai atspējotu ADODB.stream objektu, noklikšķiniet uz šī raksta numura un lasiet Microsoft zināšanu bāzes rakstu:

870669 kā atspējot ADODB. Objekta plūsmas programmā Internet Explorer

Restartēšanas nepieciešamība

Nav pēc šī rīka instalēšanas restartējiet datoru.

Informācija par lietošanu

Svarīgi! Pirms šo darbību veikšanas pārliecinieties, vai ir dublēti visi svarīgie dati.

Instalējot Download. Ject Payload atklāšanas un noņemšanas rīku un akceptējiet lietotāja licences līgumu (EULA), instalācijas pakotne izvērš Berbcln.exe failu pagaidu mapē un tad noņemšanas rīks tiek palaists. Noņemšanas rīks pārbauda, vai jūsu dators atbilst priekšnosacījumiem, kas norādītas sadaļā "priekšnosacījumi". Ja priekšnosacījumi ir ievēroti, noņemšanas rīks veic šādas darbības:

Rīks pārbauda ierakstus, kas ir pievienoti Trojas zirgs šīm reģistra apakšatslēgām:
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
- HKEY_CLASSES_ROOT\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32
Rīks meklē atmiņā pierādījumus par galveno Backdoor: Win32 / Berbew Trojas zirgu komponents. Ja noņemšanas rīks atrod šo, šis process tiek pārtraukts.
Rīks meklē šo datu failus, kas izveidoti Trojas zirgs. Šie faili var būt sensitīvi dati. Rīka dzēš šos failus.

Neh2x32.vxd
Neh2x32.dat
Glumx32.vxd
Glumx32.dat
Tt32.vxd
Tt32.dat
Gart32.vxd
Gart32.dat
Jcole32.vxd
Jcole32.dat
Kk32.dll
Kk32.dll
Dnkk.dll
Surf.dat
Kkq32.dll
Kkq32.vxd
Dnkkq.dll
Kar32.dll
Kar32.vxd
Dkk32.dll
Zurfs.dat
Rīks izdzēš visus failus, kas saistīti ar Backdoor: W32 / Berbew Trojas zirgu. Šie faili tika noteiktas 1. un 2. darbību.
Rīks noņem reģistra ieraksti identificē to 1. darbībā. Ja vairs Berbew reģistra vērtības norāda uz failu cietajā diskā, noņemšanas rīks nevar noņemt savrupās reģistra vērtību, jo reģistra vērtību nerada kaitējumu, ja saistītajā failā cietajā diskā nav.
Kā daļa no tās darbības veidu, Trojas zirgs slēpto windows darbojas divas programmas Microsoft Internet Explorer gadījumus. Šīs windows pieslēgties ļaunprātīgas tīmekļa vietnes. Instanci mēģina augšupielādēt nozagts personas dati un citas instances meklē Trojas zirgs programmatūras atjauninājumus. Ja rīks atrod Backdoor: W32 / Berbew Trojas zirgs rīks datorā beidzas visas pašlaik darbojošās programmas Internet Explorer gadījumus.

Tiek parādīts ziņojums, kurā aprakstīta rezultātu noteikšanas un noņemšanas procesu. Šajā sarakstā ir ziņojumi, kas var tikt parādīti, un tas izskaidro to nozīme.

Ziņojums	Nozīme
Noteikta neviena infekcija	Backdoor: Win32 / Berbew Trojas zirgs nav atraduši šajā datorā.
Veiksmīgi noņemts Backdoor:Win32/Berbew.gen Trojan. Lai novērstu ļaunprātīgu sakaru, visus programmas Internet Explorer gadījumus tika pārtraukta.	Backdoor: Win32 / Berbew Trojas zirgs ir noņemts. Papildu darbība nav nepieciešama.
Šis rīks ir jāpalaiž administratoram.	Jums atsakieties un vēlreiz piesakieties datorā kā administrators.
Fatāla kļūda, lūdzu, skatiet žurnālfailā.	Skatiet papildinformāciju %Windir%\Debug\Berbcln.log direktorijā.
Backdoor:/W32/Berbew.Gen Trojas tika atrasta, bet nevar noņemt.	Mēģiniet vēlreiz palaist rīku un pārbaudiet žurnālfailu kļūdas.
Šis rīks ir nepieciešama Windows 2000 vai Windows XP.	Šī rīka versijas Windows, nevis Windows 2000 un Windows XP netiek atbalstīta.
Nepareiza sistēmas Windows versijas (Win32s)	Šis rīks Windows 3.1 ar Win32s netiek atbalstīts.

Aizverot ziņojuma lodziņa, noņemšanas rīks beidz darbu un Berbcln.exe fails tiek izdzēsts no tās pagaidu mapes. Tagad varat izdzēst failu Windows KB873018-ENU V1.exe manuāli.

Noņemšanas rīks izveido žurnālfailu Berbcln.log %Windir%\Debug mapes nosaukumu. Varat skatīt šo žurnālfailu, ja Backdoor:W32/Berbew.gen infekcijas tika atrasti un izņemti.

Komandrindas slēdži

Noņemšanas rīka instalēšanas atbalsta šādus komandrindas slēdžus:

/Q — izmantot kluso režīmu vai nerādīt ziņojumus failu izvēršanas laikā.
U — izmantot lietotāja kluso režīmu. Lietotāja klusais režīms lietotājam parāda dažus dialoglodziņus.
/Q:A — izmantot administratora kluso režīmu. Administratora klusais režīms lietotājam nerāda dialoglodziņus lietotājam.
/T:
ceļš - norādiet Download. Ject Payload atklāšanas un noņemšanas rīks uzstādīšanas programma izmanto pagaidu mapes atrašanās vietu, vai failu izvēršanas mērķa mapi (ja šis slēdzis tiek lietots kopā ar slēdzi /C ).
/C — izvērst failus, tos neinstalējot. If /T:
ceļš nav norādīts, tiek vaicāts norādīt mērķa mapi.
/C:
cmd — norādīt ceļu un citu Setup.inf failu vai izmantot, lai instalētu rīku .exe faila nosaukumu.
/R: n - nekad restartēt datoru pēc instalēšanas.
/R: I -aicināt restartēt datoru, ja dators tiks restartēts, izņemot gadījumus, kad šis slēdzis tiek lietots kopā ar slēdzi /Q:A .
/R:A — pēc instalēšanas restartēt datoru.
/R: s - restartēt datoru pēc instalēšanas nejautājot lietotājam

Lai iegūtu papildinformāciju par atbalstītajiem instalēšanas slēdžu, noklikšķiniet uz šī raksta numura un lasiet Microsoft zināšanu bāzes rakstu:

197147 komandrindas slēdži IExpress programmatūras atjauninājumu pakotnēm

Noņemšanas rīks atbalsta šādas komandrindas slēdzi:

/S — klusais režīms ļauj rīku. Šis slēdzis izlaiž dialoglodziņu infekcijas statuss, tiek parādīts pēc rīka palaišanas.

Informācija par noņemšanu

Berbcln.exe fails tiek automātiski dzēsta no pagaidu atrašanās vietas pēc noņemšanas rīks tiek palaists. Pēc instalēšanas, noņemšanas rīks var dzēst rīka instalēšanas pakotne.

Piezīme. Pēc instalēšanas Download. Ject Payload atklāšanas un noņemšanas rīku, tas nav redzama vadības paneļa rīku programmu pievienošana vai noņemšana sarakstā instalētās programmas .

Papildinformācija

Jaunākās versijās Robocopy, piemēram, versija XP010, /SECFIX slēdzis ir novecojusi. Atsvaidzināt drošības informācija par esošo mērķa failu un mapju kopēšana failu, izmantojiet /COPY kopā ar slēdzi /IS bez pārslēgt D karodziņu. Piemēram, /IS /COPY:SOU bez jebkuru failu kopēšana atsvaidzina visus drošības informācija par visiem atlasītos failus. Lai iegūtu papildinformāciju, skatiet tēmu "Selektīvi kopēt failu datu" Robocopy.doc failā.