RootKit в пространстве ядра.

[morze]

После проверки с помощью AVZ и последующего лечения, не смог убить руткит.
Такую штуку нашел на 2х компьютерах.


Вот логи от первого.

ЗЫ: Не подскажете как находить и лечить такие вещи?

[Bratez]

Какой такой руткит, klif.sys что ли?
Не видно ничего, кроме следов парочки ранее убиенных тараканов.
На всякий случай даю скрипт по полной схеме:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\blphcprbj0ecbc.scr','');
 QuarantineFile('C:\WINDOWS\system32\ovwscn.sys','');
 QuarantineFile('C:\WINDOWS\system32\ovrscn.sys','');
 QuarantineFile('C:\Documents and Settings\Администратор.CORPORATE_GRAY.000\ie_updates3r.exe','');
 DeleteFile('C:\Documents and Settings\Администратор.CORPORATE_GRAY.000\ie_updates3r.exe');
 DeleteFile('C:\WINDOWS\system32\ovrscn.sys');
 DeleteFile('C:\WINDOWS\system32\ovwscn.sys');
 DeleteFile('C:\WINDOWS\system32\blphcprbj0ecbc.scr');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил, если будет не пуст
(загружать тут: http://virusinfo.info/upload_virus.php?tid=26375).
Сделайте новые логи, начиная с п.10 правил.

P.S. Это для первого. Второй вынесен в отдельную тему: http://virusinfo.info/showthread.php?t=26379.

[morze]

Нет.
Не klif.sys

AVZ выдавал кто действия руткита нейтрализованы.
Посмотрел Сервис - Просмотр модулей ядра и увидел там небезопасные dump_atapi.sys и dump_WMILIB.sys/
На форуме встречал жалобы, что это руткиты, вот и спросил.

Повторные логи.
Карантин выслал.

[Bratez]

Все чисто.

[morze]

Пиво с меня!!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены