Извиняюсь, но у меня тоже Непонятный трафик

[Adrian]

19/02/2008 робот моего провайдера меня отключил за вирус.
В это время за компом сидела младшая сестра. Работал Agnitum Outpost Firewall Pro ver. 3.51.748.6419.
После продолжительных разбирательств и проверок KAV 6.0.2.614 с последними базами выяснилось, что при подключении к сети через пару минут начинает быстро уходить трафик, в обе стороны, но от меня раза в 2-3 больше. Проверки Касперским с базами от 24.02.2008 ничего не дала. Поставил NOD32 Ver. 2.50.16 с базами ver. 2909 также ничего не дала. Firewall трафик не видит. RootkitRevealer говорит про файлы C:\WINDOWS\system32\drivers\Loq51.sys и C:\WINDOWS\system32\drivers\symavc32.sys от 19.02.2008 соответственно.
Проводник и ТоталКоммандир эти файлы не видят. Посмотрел в Инете это вроде Rootkit.Win32.Agent. Но я думаю здесь еще что-то.
Большинство закрытых служб, закрыты после инфицирования.
OC Windows XP SP2
Логи прилагаются, также отчет RootkitRevealer.
Большая просьба уточнить, что удаляем и закрываем в скрипте. А то удалим что-нибудь нужное.
Заранее благодарен.

[rubin]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\System32\Drivers\Loq51.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Loq51.sys');
 BC_ImportAll;
 BC_DeleteSvc('Loq51');
 BC_Activate;
 ExecuteSysClean;
 ExecuteRepair(6);
 ExecuteRepair(8);
 ExecuteRepair(17);
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=18940

2.Повторить лог virusinfo_syscheck

[Adrian]

Карантин вроде выслал. Лог прилогаю. В карантине файлы *Games* наверное после установки Lingvo остались, давно, наверное, вроде не мешали. Еще с сегодняшнего утра комп стал при загрузке, когда KAV включаетяс немного подтормаживать.

[rubin]

Rootkit.Win32.Agent.px C:\WINDOWS\System32\Drivers\Loq51.sys

Сейчас гляну логи

Добавлено через 55 секунд

Проблемы остались?

[Adrian]

А в логах RootkitRevealer, что за symavc32.sys тоже от 19.02.2008

Добавлено через 1 минуту

Сейчас попробую в Инет выйти, отпишу.

[rubin]

В логах symavc32 видно не было... поищите через AVZ: Сервис - Поиск файлов на диске

[Adrian]

С Инетом на первый взгляд все в норме, трафик пропал. symavc32.sys AVZ в поиске нашел там где и RootkitRevealer (адрес в начале темы), если надо то файл из карантина могу сейчас выслать.

[V_Bond]

выполните скрипт ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите логи ...

[Adrian]

Ок. Щас сделаем, я его после поиска в карантин AVZ поместил . А что в нем сидит?

Добавлено через 54 минуты

Выполнил 2-ой скрипт. Symavc32.sys AVZ уже не нашел.
RootkitRevealer показывает только какие-то строки в реестре от 19.02.2008 Что с ними делать? Новые логи кидаю.

[rubin]

В symavc32? Руткит

[Adrian]

Логи не закачались, повтор.
Если надо, закину symavc32.sys из карантина?

[V_Bond]

в логах ничего подозрительного ...

[Adrian]

В реестре строчки от 19 февр. можно оставлять?

[rubin]

Если не разбираетесь в реестре, лучше его не трогайте... лишнего зацепите

[Adrian]

Хорошо.
Всем большое спасибо за помощь!

[rubin]

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\loq51.sys - Rootkit.Win32.Agent.px (DrWEB: Trojan.Sentinel)