backdoor.bulknet и Trojan.Sespy

[Brandon]

Др. Вэб 4.33, обновление баз от 09.07.2007. Обнаруживает в ip6fw.sys - backdoor.bulknet и в y2.dll & y2(2).dll – Trojan.Sespy. Лечение или удаление второго случая приводит к полному падению IE, «Невозможно отобразить страницу» даже для файлов, сохраненных на винте, никакие танцы с бубном после этого не помогают, только виндовское восстановление системы. Первый после удаления, естественно восстанавливается руткитом.

Никакой вредной активности за червями не замечено, однако, неприятно.
Что делать, подскажите, пожалуйста?

P.S. У меня НТФС и Вин ХР СП2. Файер – Аутпост 4.0.1007. Настроен по мере моих скромных сил, т. к. смутно понимаю суть работы файера.

[Макcим]

Прочитать и выполнить.

[Brandon]

Сделал, сразу не стал потому как боялся падения IE, только потом сообразил, что из карантина АВЗ этот клятый у2 ресторить можно...

[Макcим]

Выполните скрипт в AVZ

begin
 BC_QrSvc('runtime');
 BC_QrSvc('runtime2');
 BC_QrFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 BC_QrFile('C:\WINDOWS\system32\drivers\runtime.sys');
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_Activate;
 RebootWindows(true);
end.

Потом ещё один

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\y2.dll','');
 DeleteFile('C:\WINDOWS\system32\y2.dll');  
 AutoFixSPI;
 BC_ImportDeletedList;
 BC_ImportQuarantineList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи.

Внимание! После выполнения скрипта может пропасть связь с интернет. Чтобы её восстановить, скачайте заранее утилиту WinSockFix. Утилита WinSockFix сбрасывает настройки сети. Крайне желательно их записать/запомнить.

[Brandon]

Карантин закинул по ссылке сверху, вот логи после выполнения указанных скриптов.

[Макcим]

Выполните скрипт в AVZ

begin
 BC_DeleteFile('C:\WINDOWS\system32\y2.dll');
 BC_Activate;
 ExecuteSysClean;
 ExecuteRepair(14);  
 RebootWindows(true);
end.

Повторите логи.

Внимание! После выполнения скрипта может пропасть связь с интернет. Чтобы её восстановить, скачайте заранее утилиту WinSockFix. Утилита WinSockFix сбрасывает настройки сети. Крайне желательно их записать/запомнить.

[Brandon]

Вот новые логи. В этот раз IE не упал и SockFix юзать не пришлось.
Смена в 2 заканчивается, ухожу спать. Все дальнейшие рецепты смогу применить после 7 вечера.

[Muzzle]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_QrSvc('AotoLogon');
 BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_DeleteSvc('AotoLogon');
 BC_DeleteFile('C:\WINDOWS\svchost.exe');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=11121
повторите логи

[Brandon]

Карантин скинул, вот логи.

[Muzzle]

C:\WINDOWS\svchost.exe - Rootkit.Win32.Agent.dp (по Касперскому)
Его мы удалили,теперь в логах всё чисто.
Советую работать за компьютером с правами ограниченного пользователя.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами)
Советую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[Brandon]

Muzzle,
Maxim, Спсаибо, без IE, к сожалению, не обойтись.

[Макcим]

Тогда хотя бы заплатки ставьте.

[Brandon]

Тогда хотя бы заплатки ставьте.

Какие конкретно можете посоветовать?
Инет через диал-ап, в настройках вырублен весь АктивХ.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\ip6fw.sys - Rootkit.Win32.Agent.dp (DrWEB: Trojan.NtRootKit.319)
  2. c:\\windows\\system32\\drivers\\runtime2.sys - Rootkit.Win32.Agent.ey (DrWEB: BackDoor.Bulknet)
  3. c:\\windows\\system32\\y2.dll - Trojan-Downloader.Win32.Agent.but (DrWEB: Trojan.Sespy)