руткит, подмена IP адресов

[NataEl]

Avast нашел следущие файлы:
baseutu32.dll
clbdll.dll
clbdriver.sys
found.exe.exe

Удаление привело к синему экрану с требованием - baseutu32.dll

Адрес avast.ru завернут на 127.0.0.1

До прохождения AVZ - масса соединений с 72.9.98.66

[Гриша]

Отключите антивирус и интернет!

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\mszv.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\herjek.exe','');
 QuarantineFile('C:\WINDOWS\fastsmell.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\system32\baseutu32.dll','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\clbdriver.sys','');
 QuarantineFile('C:\WINDOWS\system32\clbdll.dll','');
 DeleteFile('C:\WINDOWS\system32\Drivers\clbdriver.sys');
 DeleteFile('C:\WINDOWS\system32\clbdll.dll');     
 DeleteFile('C:\WINDOWS\system32\baseutu32.dll');
 DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
 DeleteFile('C:\WINDOWS\fastsmell.exe');
 DeleteFile('C:\WINDOWS\herjek.exe');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('c:\windows\system32\mszv.exe');
DelCLSID('{CCA460CA-0027-0CBA-B000-59A449E14E6F} ');     
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи.

[NataEl]

Огромное спасибо.
Карантин выслала.

[Гриша]

Логи

Добавлено через 1 час 8 минут

baseutu32.dll - Trojan.Win32.SubSys.dx
clbdll.dll - Rootkit.Win32.Clbd.p
clbdriver.sys - Rootkit.Win32.Clbd.aq
herjek.exed - Email-Worm.Win32.Zhelatin.zb

[NataEl]

на радостях забыла.

[Синауридзе Александр]

Ничего вредоносного в логах нет.

Пофиксите в HijackThis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit .exe

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 20
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\herjek.exe - Email-Worm.Win32.Zhelatin.zb (DrWEB: Trojan.Packed.46
  2. c:\\windows\\system32\\baseutu32.dll - Trojan.Win32.SubSys.dx (DrWEB: Trojan.Okuks.based)
  3. c:\\windows\\system32\\clbdll.dll - Rootkit.Win32.Clbd.p (DrWEB: Trojan.Clb)
  4. c:\\windows\\system32\\drivers\\clbdriver.sys - Trojan.Win32.DNSChanger.dqm (DrWEB: Trojan.NtRootKit.1182)