BackDoor.Bulknet, ip6fw.sys и синий экран смерти runtime.sys

[Deuss]

Добрый вечер!

У меня система приблизительно через пол часа работы сваливается с синим экраном. Ошибка DRIVER_IRQL_NOT_LESS_OR_EQUAL 0х000000D1 с руганью на runtime.sys (adress F7B816E7 base at F7B81000).

Др. веб находит system32/drivers/ip6fw.sys зараженным BackDoor.Bulknet
После удаления и перезагрузки файл появляется снова.

Что нужно сделать в моем случае?

Спасибо!

Прилагаемые файлы.

[Макcим]

Выполните скрипт в AVZ

begin
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 BC_QrFile('C:\WINDOWS\System32\drivers\runtime.sys');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
 BC_Activate;
 RebootWindows(true);
end.

Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи.

[Deuss]

Выслать только
startdrv.exe
runtime2.sys
runtime.sys

или все что есть в карантине?

И еще я выполнил второй скрипт который был в теме, но которого уже нет

[Макcим]

Второй скрипт убрал за ненадобностью. Присылайте все что есть в карантине по правилам.

[Deuss]

Закачался архив?

[Макcим]

Закачался архив?

Да, только я не могу понять почему он такой большой

"Пофиксите" в HijackThis

O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

Проблема решена?

P.S.: У Вас установлен антивирус & файрвол? По логам не скажешь...

[Deuss]

Скинул все что было.
Установлен др.веб с последними обновлениями. Фаервол - AtGuard. Виндосовский отключен и остановлен.

Профиксил. Перегрузился. На проверке папки вируса не обнаруживает. Сейчас буду работать и смотреть за системой, упадет или нет.

Спасибо!

[Bratez]

O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

Пофиксить - это здорово, а файлик-то не удалили!
Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

И еще io.sys какой-то в логах болтается, пришлите пожалуйста согласно приложению 2 правил:
C:\WINDOWS\system32\drivers\io.sys

[Макcим]

Пофиксить - это здорово, а файлик-то не удалили!

Удалили, просто запись в реестре осталась.
Если startdrv.exe попал в карантин, то он был чистый...

avz00003.dta - Rootkit.Win32.Agent.dp
bcqr00002.dat - Rootkit.Win32.Agent.ey (По Kaspersky)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 11
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\ip6fw.sys - Rootkit.Win32.Agent.dp (DrWEB: Trojan.NtRootKit.319)
  2. c:\\windows\\temp\\startdrv.exe - Rootkit.Win32.Agent.ey (DrWEB: BackDoor.Bulknet)