Hacktool.Rootkit tcpsr.sys

[Пенни]

Hacktool.Rootkit
C:\WINDOWS\system32\drivers\tcpsr.sys

Доброе утро, помогите плиз.
Симантек определяет вирус, но после перегруза, он появляется снова. Нод32 так же не помог.

[akok]

http://virusinfo.info/showthread.php?t=1235

[Пенни]

хм...вкладывал вложение..

[Rene-gad]

хм...вкладывал вложение..

Если у Вас проблема с закачкой логов - закачайте их на любой файлообменник и дайте тут ссылку.

[Shu_b]

хм...вкладывал вложение..

посмотрите там http://virusinfo.info/profile.php?do=editattachments
если есть, удалите, попробуйте ещё раз.
если так и не получиться загрузите туда - http://virusinfo.ifolder.ru/

[Пенни]

спасибо. удалил, залил заново.

жду советов

[Гриша]

Отключите антивирус и интернет!

Пофиксить

O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Документы\Settings\arm32.dll (file missing)
O20 - Winlogon Notify: LogCrypt - LogCrypt.dll (file missing)
O20 - Winlogon Notify: ovrscn - ovrscn.dll (file missing)
O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\SYSTEM32\WinNt32.dll
O20 - Winlogon Notify: yvbb01 - yvbb01.dll (file missing)
O20 - Winlogon Notify: yvpp01 - yvpp01.dll (file missing)

Скачать,меню,File,появится аналог проводника,найти:WinNt32.dlll(если будет такой WinNt32.dl_ его тоже удалите),Gmr51.sys,tcpsr.sys,правая кнопка мыши Force Delete.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('yvpp01.dll','');
 QuarantineFile('yvbb01.dll','');
 QuarantineFile('ovrscn.dll','');
 QuarantineFile('LogCrypt.dll','');
 QuarantineFile('WinNt32.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\tcpsr.sys',' ');
 QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Rxd73.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Oty73.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Gmr51.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
 DeleteService('Gmr51');
 DeleteService('Oty73');
 DeleteService('Rxd73');
 DeleteService('smtpdrv');
 DeleteService('tcpsr ', );
 DeleteService('runtime2');
 DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Gmr51.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\tcpsr.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Oty73.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Rxd73.sys');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
 DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll');
 DeleteFile('WinNt32.dll'); 
 DeleteFile('LogCrypt.dll');
 DeleteFile('ovrscn.dll');
 DeleteFile('yvbb01.dll');
 DeleteFile('yvpp01.dll');
 BC_ImportALL;
 ExecuteSysClean;
 BC_DeleteSvc ('Gmr51');
 BC_DeleteSvc ('Oty73');
 BC_DeleteSvc ('Rxd73');
 BC_DeleteSvc ('smtpdrv');
 BC_DeleteSvc ('tcpsr ', );
 BC_DeleteSvc('runtime2');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:http://virusinfo.info/upload_virus.php?tid=22941

Повторите логи.

[Пенни]

Пофиксил, Карантин постал. Логи прилагаю

[drongo]

вот это C:\WINDOWS\system32\yvbb01.sys найдите и скопируйте по правилам- прислать.

[Пенни]

вот это C:\WINDOWS\system32\yvbb01.sys найдите и скопируйте по правилам- прислать.

простите, а как? если файла уже нет...

[drongo]

простите, а как? если файла уже нет...он ведь был ФорсДелитом убран.

жалко, больше так не делайте не прислав нам копию.

Добавлено через 5 минут

Почистить следы:

begin
SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\yvbb01.sys');
BC_ImportALL;
 ExecuteSysClean;
 BC_DeleteSvc('yvbb01');
 BC_Activate;
 ExecuteRepair(6);
 ExecuteRepair(8);
 RebootWindows(true);
end.

[Пенни]

жалко, больше так не делайте не прислав нам копию.

а копии чего и когда надо было присылать ?..вроде после первых логов файлы прислать не просили, а после, как я понимаю, они потёрлись в процессе исправлений.

[Гриша]

Повторите все логи...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\rxd73.sys - Trojan-Downloader.Win32.Mutant.aim