Тоже syssenddrv.sys

[AndyK]

Собсно описывать нечего

[Гриша]

Отключите восстановление системы!

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('vdmmqggbcpcuxy');
 QuarantineFile('C:\windows\system32\drivers\oohwuabies.sys','');
 DeleteService('synsend');
 QuarantineFile('C:\windows\system32\drivers\synsenddrv.sys','');
 QuarantineFile('00000A2E.sys','');
 DeleteFile('C:\windows\system32\drivers\synsenddrv.sys');
 DeleteFile('C:\windows\system32\drivers\oohwuabies.sys');
 DeleteFile('C:\windows\system32\drivers\00000A2E.sys ');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('vdmmqggbcpcuxy');
BC_DeleteSvc('synsend');
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[AndyK]

syssenddrv-а вроде не стало, а в сеть продолжает переться

[Гриша]

В логах чисто, сделайте полную проверку AVPTool...

[AndyK]

Похоже дело было не в одном synsenddrv. Машина продолжает долбить в сеть ICMP пакеты по различным адресам. Какие еще будут предложения?

[Bratez]

Пришлите по правилам файл C:\WINDOWS\system32\winlogon.exe

[AndyK]

Послал, но ИМХО винлогон тут не при чем.

[Bratez]

У него дата изменения вчерашняя.
Но на вирустотал никто не опознал, видимо и вправду чистый.

Давайте попробуем в AVZ сделать AVZPM -> Установить дравер...
Затем перезагрузитесь и сделайте логи заново.

[AndyK]

У него дата изменения вчерашняя.
Но на вирустотал никто не опознал, видимо и вправду чистый.

Давайте попробуем в AVZ сделать AVZPM -> Установить дравер...
Затем перезагрузитесь и сделайте логи заново.

Я вчера SP3 накатил, седня откатился назад. Файлик чистый однозначно. Блин, ну где-то же эта зараза сидит?
Попробую с драйвером расширенного мониторинга....

[AndyK]

В защищенном режиме с поддержкой сети все равно прется наружу....
AVPTools все время ругается на uti3otqy.sys, но сам файл никакими средствами не удается обнаружить!

[Bratez]

uti3otqy.sys - это от AVZ драйвер.
В логах все чисто.

[AndyK]

Понял.... но в сеть прет и прет.....

[Гриша]

Что прет? может софт хочет апдейтится?

[AndyK]

Да какой софт? ICMP запросами да по разным IP? Никакой на машине не апдейтся!

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('FastUserSwitchingCompatibility');
 SetServiceStart('FastUserSwitchingCompatibility', 4);
 QuarantineFile('FastUserSwitchingCompatibility.sys','');
 DeleteFile('FastUserSwitchingCompatibility.sys');
 DeleteFile('%WINDIR%\SYSTEM32\DRIVERS\FASTUSERSWITCHINGCOMPATIBILITY.SYS');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[AndyK]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('FastUserSwitchingCompatibility');
 SetServiceStart('FastUserSwitchingCompatibility', 4);
 QuarantineFile('FastUserSwitchingCompatibility.sys','');
 DeleteFile('FastUserSwitchingCompatibility.sys');
 DeleteFile('%WINDIR%\SYSTEM32\DRIVERS\FASTUSERSWITCHINGCOMPATIBILITY.SYS');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

Грохнул этот файлик не дождавшись ваших рекомендациий, ибо уже отчаялся отыскать заразу. Всем спасибо, долбежка прекратилась, будем посмотреть дальше