Нужна помощь

[V_Bond]

на всякий случай ...
выполните скрипт ...

begin
 QuarantineFile('C:\WINDOWS\system32\sfc_os.dll','');       
 BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...

[Bratez]

Да, и еще такой скриптик:

begin
regkeyparamdel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'LinkDel');
end.

[ig473]

Пациент скорее жив ...
Выполнил предложенные скрипты, карантин выслал.
Спасибо.

[V_Bond]

хорошая новость ...
C:\WINDOWS\system32\sfc_os.dll - чистый
плохая новость ...
C:\WINDOWS\system32\ntoskrnl.exe Trojan.Win32.Patched.at
необходимо заменить .... из дистрибутива
заменить можно так
Пуск/выполнить/cmd
expand d:\i386\ntoskrnl.ex_ c:\windows\system32\ntoskrnl.exe
вместо d буква вашего cd
затем еще раз логи ...

[ig473]

.... из дистрибутива

Этот этап для меня сложноват. Комп офисный, фирма маленькая (админа, техника и т.п. нет), кто устанавливал, где диски (самое главное есть ли они) - для нас это сложные вопросы. Завтра постараюсь разузнать.

[V_Bond]

вот залил вам ntoskrnl.ex_

[Muzzle]

Скачав файлик положите его например в корень диска C ,тогда его замена будет выглядеть так :
Пуск--выполнить--cmd
expand с:\ntoskrnl.ex_ c:\windows\system32\ntoskrnl.exe

и про логи не забудьте.

[ig473]

За файл спасибо, но закачать не получается. Ошибка 502 Bad Gateway
Попробовать позже? А можна с другого компа взять или он тоже может быть заражен ? (на работе сетка, пять компов).

[V_Bond]

лучше попробуйте позднее ... там файл гарантировано чистый...
или ищите диск...

[PavelA]

Пробуй позже. Не рискуй. Других мы еще не проверяли, не знаем что там живет.

[ig473]

Файл нашел, спасибо.
Попытка замены закончилась "не удается открыть системный файл c:\windows\system32\ntoskrnl.exe"

[PavelA]

Либо что-то не так сделал, либо версия виндов не та.
Это home или pro?
Лог getsysteminfo не помешает для выяснения ситуации. сделай его, плс.

[ig473]

Извиняюсь за свои знания (вернее их отсутствие), но лог getsysteminfo это скрипт в AVZ (срипт сбора информации...)?
Про и там и там, СП2 тоже.

[PavelA]

getsysteminfo - программа с сайта Касперского.

[ig473]

Лог сделал, его прикрепить к сообщению или загрузить (создать архив с паролем virus)?

[V_Bond]

прикрепить ...

[ig473]

Прикрепить не получилось, он весит 1.42 МБ, по весу не проходит как вложение

[PavelA]

Сжать rar-ом и прикрепить.

[ig473]

Виноват, затупил

[PavelA]

Выполнить скрипт:

begin
 SetAVZGuardStatus(true);
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
 BC_DeleteFile('C:\WINDOWS\system32\DefLib.sys');     
 BC_DeleteSvc('runtime');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки прислать boot_clr.log