Малварь

[azz]

Гадость на компе знакомых, часть убил(в т.ч. очередной trojan downloader), часть осталась, особых признаков жизни не подает, сетевая активность на нуле.

apkf94w9.SYS - рандомное имя при кажой загрузке, на диске отстуствует, по ходу после загрузки удаляет себя.
Имя дряни с размером 98304 не определяет ни gmer, ни icesword.

в логах висит также Windy43.sys, но он не активен и на диске отсутствует, мб я его раньше убил.

.

[Rene-gad]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Temp\_uninstop.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Windy43.sys','');
 DeleteService('Windy43');
 DeleteService('WmiNOD32krn');
 DeleteService('WebClientNetDDE');
 DeleteService('RpcSsSCardSvr');
 DeleteService('RemoteAccessERSvc');
 DeleteService('NMIndexingServiceWmdmPmSN');
 DeleteService('NetDDEdsdmSamSs');
 DeleteService('lanmanserverseclogonLmHosts');
 DeleteService('lanmanserverseclogon');
 DeleteService('DhcpMDM');
 DeleteService('CiSvcWebClientNetDDE');
 DeleteFile('C:\WINDOWS\System32\drivers\Windy43.sys');
 DeleteFile('C:\Temp\_uninstop.exe');

BC_ImportAll;
ExecuteSysClean; 
 BC_DeleteSvc('Windy43');
 BC_DeleteSvc('WmiNOD32krn');
 BC_DeleteSvc('WebClientNetDDE');
 BC_DeleteSvc('RpcSsSCardSvr');
 BC_DeleteSvc('RemoteAccessERSvc');
 BC_DeleteSvc('NMIndexingServiceWmdmPmSN');
 BC_DeleteSvc('NetDDEdsdmSamSs');
 BC_DeleteSvc('lanmanserverseclogonLmHosts');
 BC_DeleteSvc('lanmanserverseclogon');
 BC_DeleteSvc('DhcpMDM');
 BC_DeleteSvc('CiSvcWebClientNetDDE');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.