Показано с 1 по 14 из 14.

Невозможно вылечить NTRootKit.1070 (заявка № 22801)

  1. #1
    Junior Member Репутация
    Регистрация
    06.05.2008
    Сообщений
    18
    Вес репутации
    32

    Question Невозможно вылечить NTRootKit.1070

    WinXP, DrWeb
    Запускали лечение в safemode - было найдено и вылечено/удалено 77 разновидностей вириев.
    После лечения не грузится нормально рабочий стол (только через диспетчер задач)
    Теперь Сканер, cureIT, AVZ в режиме лечения подвешивают комп
    (синий экран STOP 0x00000007E и проч. бла,бла,бла...) и в safemode тоже

    DrWeb Spider Guard после каждой перезагрузки вылечивает Trojan.NtRootKit.1070 в C:\WINXP\System32\drivers\tcpsr.sys
    и иногда какие-то даунлоадеры и т.п.

    как я сказал скрипт лечения в AVZ не выполняется, так что кладу 2 лога:
    Вложения Вложения

  2. Реклама
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.09.2004
    Сообщений
    3,510
    Вес репутации
    1276
    Отключите антивирус!

    В обычном режиме скачайте IceSword.
    Запустите его, внизу слева выберите меню File.
    Появится аналог проводника. Найдите в нем файлы
    C:\WINXP\system32\Drivers\Kpt72.sys
    Brly83.sys
    и если есть - удалите с помощью force delete (нажмите по ним правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").

    Затем выполните скрипт в AVZ:
    Код:
    begin
    SetAVZGuardStatus(True);
     QuarantineFile('swin32.dll','');
     QuarantineFile('WinNt32.dll','');
     QuarantineFile('C:\WINXP\system32\userinit.exe','');
     QuarantineFile('C:\WINXP\system32\drivers\spools.exe','');
     QuarantineFile('C:\WINXP\herjek.exe','');
     QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe','');
     QuarantineFile('C:\WINXP\system32\drivers\nkv2.sys','');
     QuarantineFile('C:\WINXP\System32\drivers\tcpsr.sys','');
     QuarantineFile('C:\WINXP\System32\Drivers\Qvb26.sys','');
     QuarantineFile('C:\WINXP\System32\Drivers\Qva26.sys','');
     QuarantineFile('C:\WINXP\System32\Drivers\Dim37.sys','');
     QuarantineFile('C:\WINXP\System32\Drivers\Dhl26.sys','');
     QuarantineFile('C:\WINXP\System32\Drivers\Kpt72.sys','');
     QuarantineFile('C:\WINXP\Offline Web Pages\svchost.exe','');
     QuarantineFile('C:\WINXP\system32\Drivers\Kpt72.sys','');
     QuarantineFile('Brly83.sys','');
     QuarantineFile('C:\WINXP\System32\Drivers\Brly83.sys','');
     QuarantineFile('C:\WINXP\system32\swin32.dll','');
     QuarantineFile('C:\WINXP\system32\WinNt32.dll','');
     QuarantineFile('C:\Documents and Settings\User\Application Data\ie_updates3r.exe','');
     DeleteFile('C:\Documents and Settings\User\Application Data\ie_updates3r.exe');
     DeleteFile('C:\WINXP\system32\WinNt32.dll');
     DeleteFile('C:\WINXP\system32\swin32.dll');
     DeleteFile('Brly83.sys');
     DeleteFile('C:\WINXP\system32\Drivers\Brly83.sys');
     DeleteFile('C:\WINXP\system32\Drivers\Kpt72.sys');
     DeleteFile('C:\WINXP\Offline Web Pages\svchost.exe');
     DeleteFile('C:\WINXP\System32\Drivers\Kpt72.sys');
     DeleteFile('C:\WINXP\System32\Drivers\Dhl26.sys');
     DeleteFile('C:\WINXP\System32\Drivers\Dim37.sys');
     DeleteFile('C:\WINXP\System32\Drivers\Qva26.sys');
     DeleteFile('C:\WINXP\System32\Drivers\Qvb26.sys');
     DeleteFile('C:\WINXP\System32\drivers\tcpsr.sys');
     DeleteFile('C:\WINXP\system32\drivers\nkv2.sys');
     DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
     DeleteFile('C:\WINXP\herjek.exe');
     DeleteFile('C:\WINXP\system32\drivers\spools.exe');
     DeleteFile('WinNt32.dll');
     DeleteFile('swin32.dll');
     DelBHO('{FFFFFFFF-85A3-452b-B7A8-759AD9B42162}');
    BC_ImportALL;
    ExecuteSysClean;
    BC_DeleteSvc('Kpt72');
    BC_DeleteSvc('System Scheduler');
    BC_DeleteSvc('Google Online Services');
    BC_DeleteSvc('Dim37');
    BC_DeleteSvc('Dhl26');
    BC_DeleteSvc('Qvb26');
    BC_DeleteSvc('Qva26');
    BC_DeleteSvc('tcpsr');
    BC_DeleteSvc('USB2_04');
    BC_Activate;
    ExecuteRepair(6);
    ExecuteRepair(8);
    ExecuteRepair(16);
    ExecuteRepair(1);
    ExecuteRepair(5);
    RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=22801 ).

    AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".

    Сделайте новые логи. Все 3.
    Месть - мечта слабых, прощение - удел сильных.
    Поддержать проект можно здесь

  4. #3
    Junior Member Репутация
    Регистрация
    06.05.2008
    Сообщений
    18
    Вес репутации
    32

    дальше...

    если что.:
    Антивирус не выгружаю, просто "отключаю мониторинг"
    так что в процессах он есть

    Кстати еще: drweb spider guard находит и удаляет постоянно в закачанном интернет контенте Adware.BHO

    в IceSword сделал
    карантин выслал
    скрипт запустил
    запустил мастер - в нем ничего серьезного не было, только автозапуск и таймаут на завершение приложений.

    пока есть 2 лога
    долго делается скрипт лечения AVZ, как закончит выложу еще 1 лог
    Вложения Вложения

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Цитата Сообщение от KoNst Посмотреть сообщение
    долго делается скрипт лечения AVZ, как закончит выложу еще 1 лог
    Скрипт лечения выполняется согласно правилам ДО скрипта сбора информации и лога Хайджека

  6. #5
    Junior Member Репутация
    Регистрация
    06.05.2008
    Сообщений
    18
    Вес репутации
    32
    ОК, дождусь и сделаю как надо.

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.09.2004
    Сообщений
    3,510
    Вес репутации
    1276
    Достаточно сейчас virusinfo_syscure.zip
    Карантин сейчас посмотрю.
    Месть - мечта слабых, прощение - удел сильных.
    Поддержать проект можно здесь

  8. #7
    Junior Member Репутация
    Регистрация
    06.05.2008
    Сообщений
    18
    Вес репутации
    32

    Лог

    Лог
    Вложения Вложения

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.09.2004
    Сообщений
    3,510
    Вес репутации
    1276
    Много свежака поймали. Уже стало почти чисто у Вас.
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('Brly83.sys');
     DeleteFile('C:\WINXP\System32\Drivers\Brly83.sys');
     DeleteFile('C:\WINXP\system32\WinData.cab');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_DeleteSvc('Brly83');
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пофиксите в HijackThis:
    Код:
    O20 - Winlogon Notify: WinNt32 - C:\WINXP\
    Вам это знакомо?
    Код:
    O17 - HKLM\System\CCS\Services\Tcpip\..\{0F250D4F-239C-45E1-9B95-64F515FD8256}: NameServer = 85.255.116.115,85.255.112.129
    O17 - HKLM\System\CCS\Services\Tcpip\..\{F66191DB-55BB-49D7-AF70-B98385E2A13A}: NameServer = 85.255.116.115,85.255.112.129
    O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.115 85.255.112.129
    O17 - HKLM\System\CS1\Services\Tcpip\..\{0F250D4F-239C-45E1-9B95-64F515FD8256}: NameServer = 85.255.116.115,85.255.112.129
    O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.115 85.255.112.129
    O17 - HKLM\System\CS2\Services\Tcpip\..\{0F250D4F-239C-45E1-9B95-64F515FD8256}: NameServer = 85.255.116.115,85.255.112.129
    O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.115 85.255.112.129
    Если незнакомо, то тоже пофиксите в HijackThis.

    Очистите временные папки и кеш браузера.

    Зайдите в AVZ - Сервис - Системные утилиты - SFC проверка системных файлов.
    Понадобится установочный диск Windows.

    Сделайте новый лог virusinfo_syscure.zip и новый лог hijackthis.log
    Месть - мечта слабых, прощение - удел сильных.
    Поддержать проект можно здесь

  10. #9
    Junior Member Репутация
    Регистрация
    06.05.2008
    Сообщений
    18
    Вес репутации
    32

    Сделал

    все сделал, вот логи
    к сожалению диска с дистрибутивом WinXP не прихватил, сделаю но не сегодня...

    Сканер DrWeb не подвешивает комп и вирусов больше н находит.
    Вложения Вложения
    Последний раз редактировалось KoNst; 13.05.2008 в 14:14.

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.09.2004
    Сообщений
    3,510
    Вес репутации
    1276
    Отключите восстановление системы, как написано в правилах (забыли раньше сделать ? ). Потом снова включите. Нужно очистить то, что там хранится.

    Проверку системных файлов прогоняли? Меня интересует userinit.exe. Подождем ответ вирлаба по поводу Вашего карантина.
    Месть - мечта слабых, прощение - удел сильных.
    Поддержать проект можно здесь

  12. #11
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    herjek.exe_ - Email-Worm.Win32.Zhelatin.yu
    ie_updates3r.exe_ - Trojan-Downloader.Win32.Winlagons.gy
    nkv2.sys - Rootkit.Win32.Agent.agf
    swin32.dll - Trojan-Downloader.Win32.BHO.gt
    WinNt32.dll - Trojan-Downloader.Win32.Mutant.vt
    Qva26.sys - Trojan-Downloader.Win32.Mutant.wl

    userinit.exe_

    Файл поврежден.

  13. #12
    Junior Member Репутация
    Регистрация
    06.05.2008
    Сообщений
    18
    Вес репутации
    32

    что дальше?

    Восстановление Windows отключал, но не включал обратно.
    AVZ требует только CD для восстановления
    Есть возможность в AVZ вручную выбрать путь к дистрибутиву?

    Кстати, судя по сообщению пользователя "ГРИША" вирусы обнаружены в карантине - дальше как быть - очистить карантин?

  14. #13
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.09.2004
    Сообщений
    3,510
    Вес репутации
    1276
    Карантин можете очистить. Это сообщение о том, что у Вас было. Перечисленные зловреды уже удалены (только в карантине остались в виде *.dta файлов). userinit.exe поврежден - советую заменить на чистый.
    По поводу восстановления - в логах было написано, что оно включено.
    Месть - мечта слабых, прощение - удел сильных.
    Поддержать проект можно здесь

  15. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,553
    Вес репутации
    942

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 50
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\documents and settings\\user\\application data\\ie_updates3r.exe - Trojan-Downloader.Win32.Winlagons.gy (DrWEB: Trojan.DownLoader.based)
      2. c:\\winxp\\herjek.exe - Email-Worm.Win32.Zhelatin.zt (DrWEB: Trojan.Spambot.3251)
      3. c:\\winxp\\system32\\drivers\\dim37.sys - Trojan-Downloader.Win32.Mutant.wl
      4. c:\\winxp\\system32\\drivers\\nkv2.sys - Rootkit.Win32.Agent.agf (DrWEB: Trojan.NtRootKit.994)
      5. c:\\winxp\\system32\\drivers\\qva26.sys - Trojan-Downloader.Win32.Mutant.wl
      6. c:\\winxp\\system32\\swin32.dll - Trojan-Downloader.Win32.BHO.gt (DrWEB: Trojan.DownLoader.60039)
      7. c:\\winxp\\system32\\winnt32.dll - Trojan-Downloader.Win32.Mutant.vt (DrWEB: Trojan.DownLoader.59773)


  • Уважаемый(ая) KoNst, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 3
      Последнее сообщение: 01.03.2011, 20:52
    2. Ntrootkit.9659
      От shaman.nk в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 18.11.2010, 08:34
    3. Ответов: 1
      Последнее сообщение: 31.03.2010, 21:00
    4. помогите избавиться отTrojan.NTRootKit.1070
      От Zillli в разделе Помогите!
      Ответов: 16
      Последнее сообщение: 22.02.2009, 05:17
    5. Help!!! NTRootkit.Al
      От osetrina в разделе Помогите!
      Ответов: 12
      Последнее сообщение: 16.06.2007, 19:48

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01161 seconds with 23 queries