Проверка обработчиков IRP -> Nat38.sys

**Looking** · 02.12.2008, 18:53

Помогите. При попытке в AVZ выполнить пункт лечение и сбор инфрормации - чёрный экран и перезагрузка. Поэтому могу приложить только два файла.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Гриша** · 02.12.2008, 20:17

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
SetAVZGuardStatus(True);
 QuarantineFile('R:\ubhfp.pif','');
 QuarantineFile('R:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Nat38.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\Nat38.sys');
 DeleteFile('R:\autorun.inf');
 DeleteFile('R:\ubhfp.pif');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

**Looking** · 03.12.2008, 12:41

Карантин выслал, логи вложил. Монитор NOD32 так и ругается на

03.12.2008 12:34:29 AMON файл C:\chp\ubhfp.pif модифицированный Win32/Sality вирус изолирован - удален NT AUTHORITY\SYSTEM Событие во вновь созданном файле. Файл был перемещен в карантин. Вы можете закрыть это окно.

Постоянно появляется пока не поставишь пункт - не показывать, при этом пробовал ставить варианты действий удалять и очищать - всё равно после перезагрузки появляется.

**Гриша** · 03.12.2008, 14:26

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('R:\autorun.inf','');
 DeleteFile('R:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам, сделайте полную проверку CureIT и повторите логи...