Троян Agent-FTK или GPS

[Permico]

Здравствуйте!
При загрузке в нормальном режиме комп. пытается подключить интернет, начинает что-то качать, а потом перезагружается. Если сетевой шнур не подключать он не перезагружается, но выдает ошибку системы. В Safe Mode with Networking работает.
Попытался почистить комп. Avast'ом и NOD32. Эти антивирусы чего-то удалили (ряд троянов и червей) из папки windows/system32 (в ней много подозрительных файлов, созданных после атаки троянами) и папок recycler, но это, к сожалению не дало результатов.
Выполняя Ваши правила, получил следующий результат. Скажите, пожалуйста, что делать? Прошу вашей помощи. С уважением, Permico.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA','');
 QuarantineFile('C:\DOCUME~1\Bober\LOCALS~1\Temp\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Hde32.sys','');
 QuarantineFile('C:\Documents and Settings\All Users\Documents\Settings\bot.dll','');
 DeleteFile('C:\Documents and Settings\All Users\Documents\Settings\bot.dll');
 DeleteFile('C:\WINDOWS\system32\drivers\Hde32.sys');
 DeleteFile('C:\DOCUME~1\Bober\LOCALS~1\Temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.

[PavelA]

@Bratez Думаю, эту комапанию можно и без карантина удалять.
Станд. наборчик для посл. дней.

[Bratez]

В дополнение: пришлите по правилам файл
C:\WINDOWS\system32\DRIVERS\tcpip.sys

(tnx, Numb)

[Permico]

Это логи

[Permico]

Указанный файл прислал по правилам.

[V_Bond]

tcpip.sys - Trojan.Win32.Patced.aq скачайте ftp://ftp.drweb.com/pub/drweb/cureit/cureit-beta.exe провертесь в безопастном режиме ... эту напасть он лечит..
пофиксите ...

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O20 - Winlogon Notify: botreg - C:\Documents and Settings\All Users\Documents\Settings\bot.dll (file missing)
O23 - Service: MS Internet Countermeasures Framework2b (FCI) - Unknown owner - C:\WINDOWS\system32\svchost.exe:ext.exe (file missing)

выполните скрипт ....

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\Documents and Settings\All Users\Documents\Settings\bot.dll');     
 DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');     
 BC_DeleteSvc('FCI');
 DelWinlogonNotifyByFileName('bot.dll');
 BC_ImportAll;
 BC_Activate;
 ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(11);
RebootWindows(true);
end.

повторите логи ....

[Bratez]

Только пожалуйста логи делайте в нормальном режиме, а не в безопасном.

[Permico]

Логи повторил в нормальном режиме. Компьютер работает, но при попытке подгрузить icq и иногда при загрузке AVZ перезагружается.

[PavelA]

Два антивируса это много. Нужно оставить один, плюс закрыть дырки в системе.
В логах чисто.

Чутка мусора из реестра подчистим:
профиксить в hijackthis:
O20 - Winlogon Notify: botreg - C:\WINDOWS\

[Permico]

Огромное спасибо Вам.
Профиксил, что Вы указали.
А дыры в системе с помощью каких инструментов можно залатать?

[V_Bond]

определите что вам из этого нужно ...
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

остальное залатаем ...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 17
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\all users\\documents\\settings\\bot.dll - Trojan-Proxy.Win32.Xorpix.bq (DrWEB: BackDoor.Bech)
  2. c:\\documents and settings\\bober\\local settings\\temp\\winlogon.exe - Trojan-Proxy.Win32.Small.gk (DrWEB: Trojan.Packed.147)
  3. c:\\docume~1\\bober\\locals~1\\temp\\winlogon.exe - Trojan-Proxy.Win32.Small.gk (DrWEB: Trojan.Packed.147)
  4. c:\\windows\\system32\\drivers\\hde32.sys - Rootkit.Win32.Agent.it (DrWEB: Trojan.NtRootKit.371)
  5. c:\\windows\\system32\\drivers\\symavc32.sys - Rootkit.Win32.Agent.it (DrWEB: Trojan.NtRootKit.371)
  6. c:\\windows\\system32\\spooldr.sys - Email-Worm.Win32.Nulprot.e (DrWEB: Trojan.NtRootKit.389)
  7. c:\\windows\\system32\\svchost.exe:ext.exe:$data - Trojan.Win32.Obfuscated.ib (DrWEB: BackDoor.Crypt)
  8. \\tcpip.sys - Trojan.Win32.Patched.aq (DrWEB: BackDoor.Groan)