startdrv.exe MulDrop.9300

[DarkDiver]

Доброго времени суток! Заранее извиняюсь если дублирую тему, но в каждом случае могут быть свои нюансы.
Вкратце о проблеме:
Drweb постоянно ,блокирует один файл, затем обнаруживает С:\WINDOWS\Temp\startdrv.exe предлагает лечить, но не лечит, потом удалить, но в итоге, после перезагрузки все повторяется.
c:\windows\temp\startdrv.exe Drweb определяет как MulDrop.9300

[drongo]

1AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\runtime.sys');
 BC_QrFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys');
 BC_QrFile('C:\WINDOWS\system32\DRIVERS\spooldr.exe');
 BC_QrFile('C:\WINDOWS\spooldr.exe');
 BC_QrFile('C:\WINDOWS\system32\ctfmon.exe');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\runtime.sys');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_Activate;
 RebootWindows(true);
end.

2.Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=13111
3. в безопасном режиме : http://virusinfo.info/showthread.php?t=10387

Добавлено через 21 минуту

Ждёмс

[DarkDiver]

[quote=drongo;141228]1AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
Done
2.Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=13111
Done
3. в безопасном режиме : http://virusinfo.info/showthread.php?t=10387
Done

[drongo]

вот эту парочку пришлите, можно по пункту 2 правил:

begin
 QuarantineFile('C:\fwdrv.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\CDAC15BA.SYS','');

end.

C:\WINDOWS\Temp\startdrv.exe-Из автозагрузки надо убрать(можно даже в авз)

[PavelA]

Выполнить:

begin
Clearquarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\fwdrv.sys','');
 BC_DeleteFile('C:\fwdrv.sys');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Загрузить если что-то попадет в карантин.

Troj/Mailbot-CG
Признаки
При старте копирует себя в корневую директорию под именем fwdrv.sys; регистрирует этот файл как системный сервис с автоматическим запуском.

Создаёт запись о сервисе в разделе реестра:
HKLM\SYSTEM\CurrentControlSet\Services\fwdrv.sys

Псевдонимы: SpamTool.Win32.Agent.u, Spam-Xarvester.trojan, Spammer.Win32/Agent.U.

Источник:http://safe.cnews.ru/bugtrack/entry/...7/08/16/103492

[DarkDiver]

вот эту парочку пришлите, можно по пункту 2 правил:

begin
 QuarantineFile('C:\fwdrv.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\CDAC15BA.SYS','');
 
end.

Done, файлы выслал на п3 (на всяк случ)
C:\WINDOWS\Temp\startdrv.exe-Из автозагрузки надо убрать(можно даже в авз)

убрал в АВЗ

Добавлено через 3 минуты

Выполнить:

begin
Clearquarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\fwdrv.sys','');
 BC_DeleteFile('C:\fwdrv.sys');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

выполнил, в карантине вроду нулевые файлы

Добавлено через 1 минуту

Теперь попытаюсь заново посмотреть как ведет себя Drweb.. по результатам отпишусь...

Добавлено через 5 минут

проверил, система чистая, drweb вирус больше не обнаруживает.
Мужики, большое всем спасибо...!!!
Будете на Украине, заходите, с меня пиво...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 10
• В ходе лечения вредоносные программы в карантинах не обнаружены