startdrv.exe и runtime2.sys

[matan]

Каждый день при загрузке Nod ругается на файл c:\windows\temp\startdrv.exe
удаляет
а на следующий день снова
AVZ находит еще процесс runtime2.sys
но это уже все в логах

P.S. Сразу прикрепляю карантин AVZ (файл у вас сохранился как 070827_083313_virus_46d2d299ba4a0.zip)

[drongo]

сейчас посмотрим

1. Отключиться от интеренета и отключить обязательно ваш нод32
2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

R3 - URLSearchHook: ICQ  Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll (file missing)
O2 - BHO: AL2Spy Class - {DC200356-0864-4F66-8964-5D43A19300F5} - C:\WINDOWS\AUTOLO~1\AL2DLL.dll (file missing)
O2 - BHO: AL2Spy Class - {DC200356-0864-4F66-8964-5D43A19300F5} - C:\WINDOWS\AUTOLO~1\AL2DLL.dll (file missing)
O3 - Toolbar: ICQ  Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll (file missing)
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Program Files\ICQToolbar\toolbaru.dll/SEARCH.HTML
O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/9335~1/LOCALS~1/Temp/msohtml1/01/clip_image002.jpg
O24 - Desktop Component 1: (no name) - file:///C:/DOCUME~1/9335~1/LOCALS~1/Temp/msohtml1/19/clip_image002.jpg
O24 - Desktop Component 2: (no name) - file:///C:/DOCUME~1/9335~1/LOCALS~1/Temp/msohtml1/02/clip_image002.jpg
O24 - Desktop Component 3: (no name) - file:///C:/DOCUME~1/9335~1/LOCALS~1/Temp/msohtml1/03/clip_image002.jpg

3.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 DeleteFile('C:\WINDOWS\system32\kprof');
 DeleteFile('C:\WINDOWS\system32\poof');
 DeleteFile('C:\WINDOWS\system32\koos.exe');
 BC_DeleteSvc('runtime2');
 BC_DeleteSvc('kprof');
 BC_DeleteSvc('poof');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

карантин загрузить
сделать новые логи и прикрепить к следующему сообщению .

[matan]

Сделал

[PavelA]

1.Сделайте лог по след. инструкции: http://virusinfo.info/showthread.php?t=10387 Желательно в Safe Mode.

2.Выполнить скрипт в SafeMode:

begin
SearchRootkit(true, true);
DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\koos.exe - Trojan-Proxy.Win32.Wopla.ag (DrWEB: Trojan.Sklog)
  2. c:\\windows\\temp\\startdrv.exe - Trojan-Downloader.Win32.Diehard.bq (DrWEB: Trojan.DownLoader.29243)