Постоянная вирусная активность

[ALP]

Постоянно появляются TMP-файлы во временной папке Windows, на рабочий стол проставляется картинка с якобы найденным вирусным ПО. NOD32 запускается через раз.

[PavelA]

Восстановление системы отключить!!

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA','');
 QuarantineFile('C:\System Volume Information\_restore{11120ED8-82BE-41FA-B7EF-305B87DE452B}\RP41\A0014096.exe:ext.exe:$DATA','');
 QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
 QuarantineFile('cnkucuj32.dll','');
 QuarantineFile('C:\WINDOWS\system32\blphcaukj0enac.scr','');
 QuarantineFile('C:\WINDOWS\system32\drivers\docker19.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\ati5fjxx.sys','');
 QuarantineFile('C:\WINDOWS\system32\msvcrt59.dll','');
 QuarantineFile('C:\WINDOWS\system32\cnkucuj32.dll','');
 DeleteFile('C:\WINDOWS\system32\cnkucuj32.dll');
 DeleteFile('C:\WINDOWS\system32\msvcrt59.dll');
 DeleteFile('C:\WINDOWS\system32\blphcaukj0enac.scr');
 DeleteFile('cnkucuj32.dll');
 DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
 DeleteFile('C:\System Volume Information\_restore{11120ED8-82BE-41FA-B7EF-305B87DE452B}\RP41\A0014096.exe:ext.exe:$DATA');
 DeleteFile('C:\System Volume Information\_restore{11120ED8-82BE-41FA-B7EF-305B87DE452B}\RP41\A0015095.exe:ext.exe:$DATA');
 DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA');
 DeleteFile('C:\System Volume Information\_restore{11120ED8-82BE-41FA-B7EF-305B87DE452B}\RP41\A0017102.exe:ext.exe:$DATA');
BC_DeleteSvc('ICF');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать новые логи.

Загрузить карантин через ссылку вверху темы.

[ALP]

Done
В процессе формирования логов hijackthis НОД словил еще один ТМП-файл.

[Гриша]

Скачать,,меню,File,появится аналог проводника,найти:

C:\WINDOWS\system32\Drivers\ati5fjxx.sys

правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\drivers\94bd4b8c.sys','');
 DeleteService('docker19');
 QuarantineFile('C:\WINDOWS\system32\drivers\docker19.sys','');
 DeleteService('ati5fjxx');
 DeleteFile('C:\WINDOWS\system32\Drivers\ati5fjxx.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\docker19.sys');
 DeleteFile('msvcrt59.dll');
 DeleteFile('C:\WINDOWS\System32\drivers\94bd4b8c.sys');
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('docker19');
BC_DeleteSvc('ati5fjxx');    
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[ALP]

Гриша
При раскрытии папки Windows посредсвом IceSword компьютер самопроизвольно перегружается. Безопасный режим - такая же реакция.
Что делать?

[Гриша]

Пробуйте скрипт...

[ALP]

Done

[PavelA]

Попробуйте вот этого через IceSword удалить:
'C:\WINDOWS\System32\drivers\94bd4b8c.sys'

[ALP]

Теперь папка Windows через IceSword прекрасно раскрылась. Файл 94bd4b8c.sys отсутсвует.

[PavelA]

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('94bd4b8c');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\94bd4b8c.sys');
BC_Activate;
RebootWindows(true);
end.

повторить логи с п.10