Trojan.Win32.agent.ady и с ним руткит

[Chiffa]

Здравствуйте!
Антивирус Касперского обнаружил на локальной машине в сети
Trojan.Win32.agent.ady
Rootkit.Win32.agent.db
Rootkit.Win32.agent.ey
Сеть подключена к Internet постоянно по ADSL.
Вирусы создают файлы .exe в папке Temp (имена состоят из различных цифр), на которые и указывает Касперский
Действия вирусов выражаются в резком увеличении объема входящего и исходящего Internet-трафика.
После удаления зараженные файлы через некоторое время появляются снова.
Помогите, пожалуйста, избавиться от них окончательно.

[Макcим]

Выполните скрипт в AVZ

begin
 BC_QrFile('C:\WINDOWS\System32\drivers\runtime.sys');
 BC_QrFile('C:\WINDOWS\System32\drivers\runtime2.sys');
 BC_QrFile('C:\WINDOWS\System32\ksys.sys');
 BC_QrFile('C:\WINDOWS\System32\iedhwdh.dll');
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrFile('C:\WINDOWS\csrss.exe');          
 BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime2.sys');
 BC_DeleteFile('C:\WINDOWS\System32\ksys.sys');
 BC_DeleteFile('C:\WINDOWS\System32\iedhwdh.dll');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteFile('C:\WINDOWS\csrss.exe');          
 BC_QrSvc('runtime');
 BC_QrSvc('runtime2');  
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');  
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Загрузите карантин по этой ссылке. Повторите логи.

[Chiffa]

Карантин загрузила. При его архивировании Касперский ругался на bcqr00005.dat вирусом rootkit.win32.agent.eb
Логи повторяю.

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\iedhwdh.dll');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 DeleteFile('C:\WINDOWS\csrss.exe');
ExecuteSysClean;
RebootWindows(false);
end.

"Пофиксите" в HijackThis

O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O4 - HKLM\..\Policies\Explorer\Run: [system] C:\WINDOWS\csrss.exe
O20 - AppInit_DLLs: C:\WINDOWS\System32\iedhwdh.dll

Повторите логи.

[Chiffa]

Сделано.
Только пофиксить не пришлось: в логе HiJackThis после выполнения скрипта AVZ такие строки исчезли.
Логи высылаю.

[Макcим]

В логах всё чисто. Проблема решена?

[Chiffa]

В ночь оставляли сетевого агента - чужих пакетов нет, интернет-трафик на месте.
Огромное спасибо!!!

[Muzzle]

Советую работать за компьютером под пользователем с ограничеными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[Chiffa]

Закачала файл
070802_111012_virusinfo_files_lexama_46b18354227c5 .zip
Надеюсь, пригодится

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 14
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\runtime2.sys - Rootkit.Win32.Agent.ey (DrWEB: Trojan.NtRootKit.321)
  2. c:\\windows\\system32\\ksys.sys - Rootkit.Win32.Agent.eb (DrWEB: Trojan.NtRootKit.24
  3. \\systemroot\\system32\\drivers\\runtime2.sys - Rootkit.Win32.Agent.ey (DrWEB: Trojan.NtRootKit.321)