BackDoor.Bulknet Windows 2000

[u235]

Определился этот зверь доктор вебом(базы от 23 июля 2007). При загрузке пишет что нашел, я его лечу, при следующей перезагрузке картина повторяется. Помогите пожалуйста!

[NickGolovko]

AVZ - Файл - Выполнить скрипт, скопировать код, вставить и выполнить. Система перезагрузится.

После этого пришлите файлы карантина по правилам.

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINNT\system32\sрoоlsv.exe','');
 QuarantineFile('C:\WINNT\system32\ntos.exe','');
 QuarantineFile('C:\WINNT\Temp\startdrv.exe','');
 QuarantineFile('C:\Documents and Settings\ен.KONTAKT-SERVICE\svchost.exe','');
 QuarantineFile('\SystemRoot\system32\drivers\runtime2.sys','');
 QuarantineFile('C:\WINNT\system32\so1.dll','');
 BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

[u235]

отправил файлы из карантина

[NickGolovko]

C:\WINNT\system32\sрoоlsv.exe - Trojan.Win32.Small.fb
C:\WINNT\system32\so1.dll - Trojan-Spy.Win32.Banker.cnx
и несколько экземпляров Rootkit.Win32.Agent

Скрипт:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFile('C:\WINNT\system32\sрoоlsv.exe');
 DeleteFile('C:\WINNT\system32\ntos.exe');
 DeleteFile('C:\WINNT\Temp\startdrv.exe');
 DeleteFile('C:\Documents and Settings\ен.KONTAKT-SERVICE\svchost.exe');
 DeleteFile('\SystemRoot\system32\drivers\runtime2.sys');
 DeleteFile('C:\WINNT\system32\so1.dll');
 DeleteFile('C:\Documents and Settings\ен.KONTAKT-SERVICE\Local Settings\Temp\281484.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

Повторите протоколы.

[u235]

Вроде доктор веб замолчал. СПАСИБО!

[NickGolovko]

Еще один скрипт для окончательной уверенности в зачистке:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFile('C:\WINNT\system32\drivers\runtime2.sys');
 DeleteFile('C:\WINNT\system32\ntos.exe');
 DeleteFile('sрoоlsv.exe');
 DeleteFile('so1.dll');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 16
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\ен.kontakt-service\\local settings\\temp\\281484.exe - Rootkit.Win32.Agent.ey (DrWEB: BackDoor.Bulknet)
  2. c:\\winnt\\system32\\so1.dll - Trojan-Banker.Win32.Banker.cnx (DrWEB: Trojan.PWS.Finanz)
  3. c:\\winnt\\system32\\sрoоlsv.exe - Trojan.Win32.Small.fb (DrWEB: Trojan.PWS.Webmonier)