Подозрение на BackDoor.Bulknet.216

[N0ax]

Доброго времени суток
Необычно высокий исходящий трафикчуть более чем за сутки)
отправлено-156 930 039 байт
принято-125 628 797

Каспер молчит даже при полном сканировании,а CureIT говорит что файл c:\windows\system32\drivers\dlf37.sys заражен BackDoor.Bulknet.216

Очень надеюсь на вашу помощь.

[PavelA]

Вот эту парочку через IceSword надо удалить, предварительно куда-нибудь скопировав:
C:\WINDOWS\System32\drivers\tcpsr.sys
C:\WINDOWS\System32\Drivers\Dlf37.sys

Затем добить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Drivers\Dlf37.sys','');
 DeleteService('Dlf37');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 DeleteService('tcpsr');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Dlf37.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Копии этих файлов в карантин и прислать. еще желательно сделать логи с запущенным AVZPM.

[N0ax]

Карантин:
Файл сохранён как080704_003103_Quarantine_486db597ab0d4.zipРазме р файла21999MD5036af8d382b0d3a06cdc0e8a812e5ec2

Файла tcpsr.sys нет хотя я его не удалял.
Файл Dlf37.sys в карантине

Все инструкции выполнил,вот новые логи.

[Гриша]

Такое ощущение что ничего и не делали ...

Отключились от сети и отключили антивирус...

Нашли вот этот файлик в IceSword:

C:\WINDOWS\System32\Drivers\Dlf37.sys

правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('tcpsr');
 DeleteService('Dlf37');       
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Dlf37.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('tcpsr ');
BC_DeleteSvc('Dlf37 ');    
BC_Activate;
RebootWindows(true);
end.

Повторите логи...

[N0ax]

Карантин:Файл сохранён как080706_220704_2008-07-07_487188580ee4b.zipРазмер файла51832MD50241736c11488f4b5801c4c693bae3f5


Этого файла Dlf37.sys нет, ни в IceSword ни при поиске в тотале!
Вот новые логи.

[PavelA]

В логах ничего плохого не увидел.
Все, что нужно, удалилось.