Detectare și Download.Ject instrumentul de eliminare

Rezumat

Microsoft a aflat programului un cal troian numit W32/Berbew (variante A-H) care este descărcat după ce un computer bazat pe Windows client Microsoft este infectat cu software rău intenționat Download.Ject. Această problemă apare când un utilizator vizitează un site Web care este găzduit pe un server care execută Microsoft Internet Information Services (IIS) și care a fost infectat de JS. Scob. Paginile Web care sunt descărcate pe computerul utilizatorului conține un program JavaScript suplimentare pe care descărcări Backdoor: W32 / cal troian Berbew. Backdoor: W32 / Berbew este cunoscut și ca Backdoor AXJ, Webber sau Padodor. Când acest cal troian se execută pe computerul utilizatorului, se efectuează mai multe acțiuni, inclusiv următoarele:

Monitorizează acces la Internet. Atunci când utilizatorul vizitează una din mai multe financiară sau site-uri Web de ISP, cal troian conține informații sensibile, cum ar fi nume de conectare, parolele și alte informații sensibile. Cal troian apoi trimite informații la un server Web pentru autor cal troian pentru a regăsi. Se instalează un server proxy care configurează computerul utilizatorului pentru utilizarea ca releu pentru aceste acțiuni, în trimiterea de spam.
Se deschide casete de dialog fals care solicită utilizatorului să introduceți informații confidențiale, cum ar fi coduri de card ATM sau numere de cărți de credit. Aceste informații sunt trimise apoi la un server Web pentru cal troian de autor pentru a regăsi.

Microsoft a lansat un instrument pentru a vă ajuta să eliminați Backdoor: W32 / cal troian Berbew de variante de pe computer. Puteți descărca acest instrument de la Microsoft Download Center și executați pe computerul dvs. pentru a elimina infecții Backdoor:W32/Berbew.A, Backdoor:W32/Berbew.B, Backdoor:W32/Berbew.C, și Backdoor:W32/Berbew.D, Backdoor:W32/Berbew.E, Backdoor:W32/Berbew.F, Backdoor:W32/Berbew.G și Backdoor:W32/Berbew.H.Actualizările tehnice

8 februarie 2005: Microsoft înlocuit acest instrument cu Microsoft Windows Malicious Software Removal Tool. Pentru mai multe informații despre instrumentul de eliminare Software rău intenționat, faceți clic pe următorul număr de articol pentru a vedea articolul în baza de cunoștințe Microsoft:

890830 Microsoft Windows Malicious Software Removal Tool ajută la eliminarea de software rău intenționat specific, larg răspândite, din computere care execută Windows Server 2003, Windows XP sau Windows 2000
14 iulie 2004: "rezumat," "Rezolvare" și "Informații de utilizare" s-au actualizat secțiuni.
13 iulie 2004: Microsoft a lansat versiunea 1.0 de detectare și Download.Ject Removal Tool pentru Microsoft Download Center. Versiunea 1.0 detectează și elimină toate variantele cunoscute în prezent (de la A la H) de Backdoor: W32 / cal troian Berbew.

Simptome

Este posibil să apară una sau mai multe dintre următoarele simptome:

Performanța computerului este lentă sau conexiunea la rețea este lentă.
Primiți mesaje sau casetele de dialog care solicitarea ATM numere și carte de credit informații de securitate atunci când vizitați anumite online financiare și site-uri ISP Web.

Cauza

Acest comportament se produce deoarece computerul este infectat cu Backdoor: W32 / cal troian Berbew. Ușă secretă: W32/Berbew este livrat de cal troian Download.Ject. Pentru mai multe informații despre cum se determină dacă computerul este infectat cu o variantă de Backdoor: W32 / Berbew, vizitați următorul site Web Microsoft:

http://www.microsoft.com/security_essentials/default.aspx

Rezolvare

Software-ul antivirus cu semnături la zi va ajuta la prevenirea Backdoor: W32 / cal troian Berbew infectarea computerului.Important De asemenea, vă recomandăm să utilizați un paravan de protecție Internet și un program antivirus cu semnături la zi și să țineți atât Windows şi programele la zi.Pentru mai multe informații despre cum să împiedice viruși și despre cum se recuperează din infectare cu virus, faceți clic pe următorul număr de articol pentru a vedea articolul în baza de cunoștințe Microsoft:

Virușii de Computer 129972 : descriere, prevenire și recuperare

Descărcare și instalare informații

Cerințe preliminare

Detectare și Download.Ject Removal Tool are următoarele cerințe:

Computerul trebuie să executați Microsoft Windows 2000 SP2 sau o versiune ulterioară sau o versiune pe 32 de biți de Microsoft Windows XP.
Trebuie să faceți log on ca administrator sau ca membru al grupului de administratori.

Pentru mai multe informații despre cum se determină dacă un computer execută o versiune pe 32 de biți de Windows XP sau o versiune de 64 de biți de Windows XP, faceți clic pe următorul număr de articol pentru a vedea articolul în baza de cunoștințe Microsoft:

827218 cum se determină dacă computerul execută o versiune pe 32 de biți sau o versiune de 64 de biți a sistemului de operare WindowsDacă aceste cerințe preliminare nu sunt îndeplinite, instalarea nu va funcționa și veți primi un mesaj de eroare. Pentru mai multe informații despre mesajul de eroare, Vizualizați următorul fișier jurnal:

%Windir%\Debug\Berbcln.logÎn plus, vă recomandăm să instalați Windows update pentru a dezactiva obiectul ADODB.stream în Internet Explorer înainte de a executa instrumentul de eliminare. Cu toate că instrumentul de eliminare va elimina cal troian de computerele infectate, aceasta va împiedica re-infecție dacă computerul este vulnerabil în continuare. După instalarea actualizării critice, vă poate ajuta la prevenirea descărcări suplimentare de software rău intenționat de la un server Download.Ject infectat.Pentru mai multe informații despre Windows update pentru a dezactiva obiectul ADODB.stream, faceți clic pe următorul număr de articol pentru a vedea articolul în baza de cunoștințe Microsoft:

870669 cum se dezactivează ADODB. Flux de obiecte din Internet Explorer

Cerinţă de repornire

Nu trebuie să reporniți computerul după ce instalați acest instrument.

Informații de utilizare

Important Înainte de a urma acești pași, asigurați-vă că ați creat copii de rezervă pentru toate datele importante.Atunci când instalați detectare și Download.Ject Removal Tool și acceptați acordul de licenţă pentru utilizatorul final (EULA), pachetul de instalare extrage fișierul Berbcln.exe într-un folder temporar, și apoi se execută instrumentul de eliminare. Instrumentul de eliminare verifică faptul că pe computer sunt îndeplinite cerințele preliminare care sunt listate în secțiunea "preliminare". Dacă sunt respectate cerințele, instrumentul de eliminare efectuează următoarele acțiuni:

Instrumentul analizează următoarele subchei de registry pentru intrările care a adăugat cal troian:
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
- HKEY_CLASSES_ROOT\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32
Instrumentul caută în memorie pentru dovada Backdoor principale: Win32 / componente de cal troian Berbew. Dacă instrumentul de eliminare găsește acest lucru, procesului.
Instrumentul căutări pentru următoarele fișiere de date care creează cal troian. Aceste fișiere pot conține date personale sensibile. Instrumentul se șterge aceste fișiere.

Neh2x32.vxdNeh2x32.datGlumx32.vxdGlumx32.datTt32.vxdTt32.datGart32.vxdGart32.datJcole32.vxdJcole32.datKk32.dllKk32.dllDnkk.dllSurf.datKkq32.dllKkq32.vxdDnkkq.dllKar32.dllKar32.vxdDkk32.dllZurfs.dat
Instrumentul șterge toate fișierele care sunt asociate cu Backdoor: W32 / cal troian Berbew. Aceste fișiere au fost identificate în pașii 1 și 2.
Instrumentul elimină intrările de registry care se identificat în pasul 1. Dacă o valoare de registry Berbew nu mai indică spre un fișier de pe hard disk, instrumentul de eliminare eliminați valoarea de registry solitare, deoarece valoarea de registry nu va provoca deteriorarea orice dacă fișierul asociat nu există pe hard disk.
Ca parte din metoda sa de funcționare, cal troian se execută două instanțe de Microsoft Internet Explorer în windows ascunse. Aceste windows încearcă să vă conectați la site-uri rău intenționate. O singură instanță încearcă să încarce furat datele personale și alte instanța caută actualizări de software pentru cal troian. Dacă instrumentul detectează Backdoor: W32 / cal troian Berbew pe computer, instrumentul se termină toate instanțele de Internet Explorer execută în prezent.

Instrumentul afișează un mesaj care descrie rezultatul procesul de detectare și eliminare. Următoarea listă conține mesajele care este posibil să primiți și explică semnificaţia lor.

Mesaj	Sensul
Nicio infecție detectat	Backdoor: Win32 / cal troian Berbew nu s-a detectat pe acest computer.
Cu succes a eliminat Backdoor:Win32/Berbew.gen troieni. Pentru a preveni rău intenționat de comunicare, s-au terminat toate instanțele de Internet Explorer.	Backdoor: Win32 / cal troian Berbew a fost eliminat. Nu este necesară nicio acțiune suplimentară.
Acest instrument trebuie executat de un administrator.	Trebuie să faceți log out și din nou log on ca administrator.
Eroare fatală, examinați fișierul jurnal.	Consultați directorul %Windir%\Debug\Berbcln.log pentru mai multe informații.
Backdoor:/W32/Berbew.gen troian a fost detectat, dar nu pot fi eliminate.	Încercați să executați instrumentul din nou și căutați în fișierul jurnal de erori.
Acest instrument necesită Windows 2000 sau Windows XP.	Acest instrument nu este acceptată pe versiuni de Windows decât Windows 2000 și Windows XP.
Versiune incorectă a Windows (Win32s)	Acest instrument nu este acceptat în Windows 3.1 cu Win32s.

Când închideți caseta de mesaj, instrumentul de eliminare se închide și fișierul Berbcln.exe este ștearsă din folderul temporar. Acum puteți șterge manual fișierul Windows-KB873018-ENU-V1.exe.

Instrumentul de eliminare creează un fișier jurnal denumit Berbcln.log în folderul %Windir%\Debug. Puteți vizualiza acest fișier jurnal pentru a determina dacă Backdoor:W32/Berbew.gen infecții s-au detectat și au fost eliminate.

Parametri de linie de comandă

Programul de instalare a instrumentul de eliminare acceptă următorii parametrii în linia de comandă:

/Q - utilizează modul silențios sau suprimă mesajele când se extrag fișierele.
U - utilizează modul silențios pentru utilizator. Modul silențios pentru utilizator afișează unele casete de dialog către utilizator.
/Q:A - utilizează modul silențios pentru administrator. Modul silențios pentru administrator nu prezintă toate casetele de dialog către utilizator.
/T:calea - specificați locația folderului temporar care este utilizat de program de detectare și Download.Ject Removal Tool Setup sau specificați folderul destinație pentru extragerea fișierelor (când acest parametru este utilizat împreună cu parametrul/c ).
C - extrage fișierele fără a le instala. If /T:cale nu este specificat, vi se solicită să specificați un folder țintă.
/C:cmd - specificați calea și numele de fișier .exe se utilizează pentru a instala instrumentul sau alt fișier Setup.inf.
/r:n/R: n - nu reporniți computerul după instalare.
/R: I -solicită utilizatorului să reporniți computerul dacă este necesară o repornire, cu excepția cazului când acest parametru este utilizat cu parametrul /Q:A .
/R:A - întotdeauna, reporniți computerul după instalare.
/r:s/R: s - reporniți computerul după instalare fără a solicita utilizatorului

Pentru mai multe informații despre argumentele de instalare acceptate, faceți clic pe următorul număr de articol pentru a vedea articolul în baza de cunoștințe Microsoft:

197147 parametri de linie de comandă pentru pachetele de actualizare software IExpressInstrumentul de eliminare acceptă parametrul de linie de comandă următoarele:

/S - activează modul silențios pentru instrument. Acest parametru suprimă caseta de dialog stare infecție că primiți după executarea instrumentului.

Eliminare informaţii

Fișierul Berbcln.exe se elimină automat din locația temporară, după ce se execută instrumentul de eliminare. Puteți șterge pachet de instalare al instrumentului după ce instalați instrumentul de eliminare.Notă După ce instalați detectare și Download.Ject Removal Tool, nu apare în lista de programe instalate din instrumentul Adăugare/eliminare programe din panoul de Control.

Mai multe informații

În versiunile mai recente de Robocopy, cum ar fi versiunea XP010, parametrul /SECFIX are perimată. Pentru a actualiza informațiile de securitate pentru existente destinație fișierele și folderele fără copierea datelor de fișier, utilizați /IS comuta împreună cu /copy/Copy comutați fără semnalizatorul D. De exemplu, /IS /COPY:SOU reîmprospătează toate informațiile de securitate pentru toate fișierele selectate fără copierea orice fişier de date. Pentru mai multe informații, consultați subiectul "Selectiv Copiere fişier de date" în fișierul Robocopy.doc.