Помогите пожалуйста ...

[tennisprof]

Здравствуйте!
Есть Windows Server 2000, на котором установлено спец. ПО Abbyy, а также настроен терминальный сервер.
Сервер стал периодически неожидано завершать работу ночью либо под утро, то есть перезагружаться а системных событиях ничего нет/
Есть подозрение на rootkit или троян.

Помогите пожалуйста, Заранее спасибо .... (всех еще раз с праздником!!)

[kps]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINNT\system32\Drivers\PsSdk30.drv','');
 QuarantineFile('deckzpsx.sys','');
 QuarantineFile('C:\WINNT\system32\Drivers\deckzpsx.sys','');
 QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\1\PBXCSYDFHJYEMJF.exe','');
 QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\1\JINCSZRKZPGKCA.exe','');
 QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\1\HHUXHD.exe','');
 QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\1\HGGMA.exe','');
 QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\1\BNWGCDEXKSSNP.exe','');
 QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\1\AMZPKIW.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=22656 ).

[tennisprof]

помогите пожалуйста...

[AndreyKa]

На руткит не похоже.
Проверяли свежим CureIt?
Блок бесперебойного питания есть? Сервер настроен на выключение при разряде батареи?

[Rene-gad]

На руткит не похоже.

зато похоже на непатченый Интернет Эксплорер

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

[tennisprof]

Карантин выслал.

Добавлено через 4 минуты

Свежим cure.. проверял, по поводу блока бесперибойного питания не могу сказать.
А как проверить настроен ли он на выключение при разряде батареи?

Добавлено через 10 минут

ой сори я два раз карантин вам отправил

Добавлено через 10 минут

А что теперь делать?

[kps]

Карантин не тот пришел. Нужен карантин после выпонения скрипта. Все отметьте, что попадет в карантин после выполнения скрипта (приложение 3 правил), запакуйте в архив и вышлите.

[tennisprof]

Отправил другой вариант, прелварительно почистив карантин после предыдущего запуска скрипта. Возможно эти данные перехватывал symantec, который после запуска скрипта и как бы сказать прям перед перезагрузкой писал об обнаружении troyan horse, но нелечил его данные такие: vdm3mtq3.sys
имя вируса: troyan horse
Исх путь c:\winnt\system32\Drivers/
Для нового запуска данного скрипта, на время выключил symantec/
Вы получили карантин?

[Гриша]

Карантин пустой,vdm3mtq3.sys-это драйвер AVZ

[tennisprof]

что значит карантин пустой, сам открывал этот файл там в карантине около 10 значений

[Гриша]

Это значит что там только ini-файлы,после выполнения скрипта там были файлы с расширением dta?

[tennisprof]

его еще раз выполнить, потому что с dta был предыдущий карантин virus, еще выслал карантин

[Гриша]

Попробуйте...

[tennisprof]

вот что у меня показывает, в прикрепленном файле скрин

[tennisprof]

что делать ... help
?

[Rene-gad]

что делать ...

Нажать Архивировать. Архив закачать.

[tennisprof]

да сделал я это, показывает она ini файлы в карантине после перезгрузки

[Rene-gad]

да сделал я это, показывает она ini файлы в карантине после перезгрузки

Так размер файлов - 0 Byte или просто в картинку не влез?

[tennisprof]

архиватор должен стоять на серваке!!!!!!?

[Rene-gad]

архиватор должен стоять на серваке!!!!!!?

AFAIK- да .