Win32/Rootkit.Agent.EY

[Ramil]

Добрый день, господа хелперы,

NOD32 сегодня обнаружил троян (ниже строчка лога сканера):

C:\System Volume Information\_restore{8686517C-C2C4-4609-BAD9-BBFB95A14241}\RP106\A0031936.sys - Win32/Rootkit.Agent.EY trojan - unable to clean - quarantined - deleted

Несколько записей назад уже давались логи AVZ и HiJAckthis связанные с этим трояном. Можно ли использовать для лечения скрипт, предоставленный в ответ на сообщение пользователя vook?

[Numb]

У вас попроще скрипт будет: на время выполнения - отключите восстановление системы, отключите Nod32, отключитесь от сети. Далее, программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
BC_DeleteSvc('runtime2');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

Система будет перезагружена. После перезагрузки, загрузите карантин AVZ по ссылке http://virusinfo.info/upload_virus.php?tid=10361 , как написано в прил. 3 правил, и сделайте новые логи, начиная с п. 10 правил

[Ramil]

Карантин передан:

Файл сохранён как


070614_011741_virus_46705ef54e34d.zip
Размер файла19566MD5dc0b7cd8c562c0a14076370da926cb91

Логи - во вложении

Пока не забыл - спасибо огромное :-)

[Кто?]

В присланном:
файл C:\WINDOWS\Temp\startdrv.exe - была троянская программа Trojan-Downloader.Win32.Agent.brk (По Касперскому)

[Muzzle]

В логах ничего подозрительного нет,если симптомы исчезли то можно считать лечение законченным.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\temp\\startdrv.exe - Trojan-Downloader.Win32.Agent.brl (DrWEB: BackDoor.Bulknet)