Подозрение на RootKit

**EgorovEgor** · 31.10.2007, 17:58

Еще раз здравствуйте. Еще один комп полечил от вирусов с помощью CureIt, но avz продолжает ругаться на kernel32.dll и advapi32.dll. Посмотрите пожалуйста.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**PavelA** · 31.10.2007, 18:04

1.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

Код:

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system.exe
O4 - HKLM\..\Run: [svcroot] C:\WINDOWS\system32\svcroot.exe
O4 - HKCU\..\Run: [svcroot] C:\WINDOWS\system32\svcroot.exe

2.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('btasv.dll','');
 QuarantineFile('C:\WINDOWS\system.exe','');
 QuarantineFile('C:\WINDOWS\system32\svcroot.exe','');
 BC_DeleteFile('C:\WINDOWS\system32\svcroot.exe');
 BC_DeleteFile('C:\WINDOWS\system.exe');
 BC_DeleteFile('btasv.dll');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=

**EgorovEgor** · 31.10.2007, 18:29

Карантин закачал.
Файл сохранён как 071031_102801_virus_47289f0184ce0.zip
Размер файла 88001
MD5 cd8fd498544d6ccfe6bfcf81c065102e

Сейчас сделаю новые логи.

**EgorovEgor** · 31.10.2007, 18:46

Сделал новые логи, вроде все чисто.
СПАСИБО!!!

**V_Bond** · 31.10.2007, 19:01

в логах чисто ... осталось подчистить мусор ...
выполните скрипт...

Код:

begin
 DeleteFile('btasv.dll');
 DelCLSID('4F9AB7F3-DE3D-4bce-B932-A5F4E94F4E6D');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

**PavelA** · 31.10.2007, 19:07

Nod32 этого зверя не знает.
C:\WINDOWS\system32\svcroot.exe - Trojan-Proxy.Win32.Small.ez(Касперский)
Второй тот же самый.

профиксить:
O2 - BHO: Flash Module - {4F9AB7F3-DE3D-4bce-B932-A5F4E94F4E6D} - btasv.dll (file missing)

**CyberHelper** · 22.02.2009, 02:44

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 8
В ходе лечения обнаружены вредоносные программы:
1. c:\\windows\\system.exe - Trojan-Proxy.Win32.Small.ez (DrWEB: Trojan.MulDrop.14053)
2. c:\\windows\\system32\\svcroot.exe - Trojan-Proxy.Win32.Small.ez (DrWEB: Trojan.MulDrop.14053)

Подозрение на RootKit (заявка № 13731)

Опции темы