c:\windows\system32\svchost.exe:ext.exe:$DATA

[magician73]

Добрый день.
Пару дней как стали появляться вирусы на компе.

Стоит подключиться к интернет как НОД 32 обнаруживает:

03.01.2008 2144 Real-time file system protection file C:\WINDOWS\system32\DefLib.sys Win32/Rootkit.Agent.NCR trojan cleaned by deleting - quarantined NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\DOCUME~1\ADMIN\LOCALS~1\Temp\winlogon.exe.

а так же

"03.01.2008 21:44:48 HTTP filter file http://208.72.169.9/mm27nov.exe probably a variant of Win32/Obfuscated trojan connection terminated - quarantined NT AUTHORITY\SYSTEM Threat was detected upon access to web by the application: c:\windows\system32\svchost.exe."

отрубаю инет, проверяю антивирусом все чисто, перезагрузка - все по новой.

AVZ говорит что c:\windows\system32\svchost.exe:ext.exe:$DATA

Опасно - исполняемый файл в потоке NTFS - возможно, маскировка исполняемого файла

Прошу помочь с решением

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
 QuarantineFile('C:\WINDOWS\system32\LAA1E.tmp.exe','');
 QuarantineFile('c:\docume~1\admin\locals~1\temp\winlogon.exe','');
 DeleteFile('c:\docume~1\admin\locals~1\temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
 BC_DeleteSvc('FCI');
 BC_DeleteSvc('smtpdrv');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....

[magician73]

карантин выслан согласно правилам

[V_Bond]

C:\WINDOWS\system32\LAA1E.tmp.exe HEUR/Crypted
c:\docume~1\admin\locals~1\temp\winlogon.exe TR/Proxy.Small.IH
выполните скрипт ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\LAA1E.tmp.exe');
 BC_ImportDeletedList;
 BC_DeleteSvc('helpsvcWmiApSrv');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите логи ...

[magician73]

логи прикреплены

[zerocorporated]

1.В avz выполнить скрипт:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\i386kd.exe','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

2.Выслать карантин согласно приложению 3 правил

[magician73]

По выполнению данного скрипта карантин не создается.
Выполнил данный скрипт без перезагрузки компьютера, выдается сообщение что скрипт удачно выполнен, но вот что говорит лог:

1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=082B80)
Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000
SDT = 80559B80
KiST = 804E2D20 (284)
Проверено функций: 284, перехвачено: 0, восстановлено: 0
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\i386kd.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\i386kd.exe)
Карантин с использованием прямого чтения - ошибка

[zerocorporated]

1.В avz выполнить скрипт:

begin
 DeleteFile('C:\WINDOWS\system32\i386kd.exe');
ExecuteSysClean;
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

2.Пофиксить в HiJackThis

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\i386kd.exe,
O2 - BHO: (no name) - {140BD8E3-C167-11D4-B4A3-080000180323} - (no file)

И повторите лог HiJackThis.

[magician73]

строчки
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDO WS\system32\i386kd.exe,

в логе не было.

O2 - BHO: (no name) - {140BD8E3-C167-11D4-B4A3-080000180323} - (no file)

пофиксено.

лог прилагается

[rubin]

Чисто, проблемы решены?

[magician73]

ДА, все чисто. проблема решена.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\docume~1\\admin\\locals~1\\temp\\winlogon.exe - Trojan-Proxy.Win32.Small.ih (DrWEB: Trojan.Packed.573)
  2. c:\\windows\\system32\\laa1e.tmp.exe - Backdoor.Win32.IRCBot.ayk (DrWEB: BackDoor.IRC.Cemka)