Trojan.Rntm.10 Помогите удалить!!!

[mixam]

DrWeb нашел Trojan.Rntm.10, непрекращается обмен пакетами по локальной сети.

[mixam]

логи

[Numb]

Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winwc27.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winsx84.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winmr74.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winmr51.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wingl84.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Windi73.sys','');
 QuarantineFile('c:\huadio.tmp','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Windi73.sys');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Windi73.sys');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Wingl84.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winmr51.sys');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Winmr51.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winmr74.sys');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Winmr74.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winsx84.sys');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Winsx84.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winwc27.sys');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Winwc27.sys');
 DeleteFile('c:\huadio.tmp');
 BC_DeleteFile('c:\huadio.tmp');
 DeleteService('autorun');
 BC_DeleteSvc('autorun');
 DeleteService('Winwc27');
 DeleteService('Winsx84');
 DeleteService('Winmr74');
 DeleteService('Winmr51');
 DeleteService('Wingl84');
 DeleteService('Windi73');
 BC_DeleteSvc('Winwc27');
 BC_DeleteSvc('Winsx84');
 BC_DeleteSvc('Winmr74');
 BC_DeleteSvc('Winmr51');
 BC_DeleteSvc('Wingl84');
 BC_DeleteSvc('Windi73');
BC_Importquarantinelist;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

После перезагрузки, карантин AVZ загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=30886 , как написано в прил. 2 правил, и повторите логи.

[mixam]

Карантин отправил. Ситуация не изменилась.

[V_Bond]

естественно , что отправка карантина не повлияла на ситуацию
повторите логи ...

[mixam]

лови

[V_Bond]

пофиксите

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe

больше в логах ничего подозрительного

[mixam]

непомогло, постоянно идет обмен по локальной сети

[V_Bond]

если у вас действительно нет расшареных ресурсов и обмена с локалкой не должно быть...
выполните скрипт

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.

[mixam]

Спасибо большое. Вроде работает.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 15
• В ходе лечения вредоносные программы в карантинах не обнаружены