Hacktool Rootkit

[FEV1974]

Семантик обнаруживает Hacktool Rootkit, удаляет его, а после загрузки он опять появляется!
Доктор Веб ничего не нашел.
Помогите

[Гриша]

http://virusinfo.info/showthread.php?t=1235

[FEV1974]

Логи

[Rene-gad]

Где Симантек обнаруживает руткит? В логах ничего плохого не видно.

[FEV1974]

С:\Windows\system32\drivers\synsenddrv.sys

[Rene-gad]

Спасибо и извините - проморгал...

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('synsend');
 DeleteService('synsend');
 QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('synsend');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[FEV1974]

новые логи

отправил карантин

[Rene-gad]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('xcugnvwtgcz');
 QuarantineFile('C:\WINDOWS\system32\drivers\kwzboorkkm.sys','');
 QuarantineFile('00000B9A.sys','');
 DeleteService('xcugnvwtgcz');
 DeleteService('Bonjour Service');
 DeleteFile('C:\WINDOWS\system32\drivers\kwzboorkkm.sys');
 DeleteFile('00000B9A.sys');
 DeleteFile('%programfiles%\bonjour\mdnsresponder.exe');
 DeleteFile('%programfiles%\bonjour\mdnsNSP.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('xcugnvwtgcz');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[FEV1974]

Отправил карантин
Теперь логи

[Rene-gad]

- Выполните скрипт

begin
ClearQuarantine;
end.

Скачайте IceSword , поищите и скопируйте файлы:

C:\WINDOWS\system32\drivers\synsenddrv.sys

Скопированные с помощью IceSword файлы сохраните в карантине ..avz\quarantine\<<YYYY-MM-DD>>
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('synsend');
 DeleteService('synsend');
 QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
 DeleteService('Bonjour Service');
 DeleteFile('C:\Program Files\Bonjour\mDNSResponder.exe');
 DeleteFile('C:\Program Files\Bonjour\mdnsNSP.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('synsend');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[FEV1974]

Не запускается IceSword
пишет: Initialize failed

[Rene-gad]

Не запускается IceSword
пишет: Initialize failed

Попробуйте запустить в безопасном режиме.

[FEV1974]

Ice Sword запустился в безопасном режиме, но ничего не обнаружил.
Высылаю карантин, новые логи.

[Rene-gad]

Ice Sword запустился в безопасном режиме, но ничего не обнаружил.

А он и не должен был - Вы должны были поискать с его помощью. По крайней мере сейчас в логах ничего подозрительного.
Сервис Пак 3 (возможно потербуется повторная активация)+ИЕ7 нужно поставить.

[FEV1974]

Извините, я неправильно написал:
я поискал с помощью IceSword и ничего не нашел

Добавлено через 1 минуту

Насчет Сервис пак 3 и ИЕ7 - это рекомендация?

[Rene-gad]

Насчет Сервис пак 3 и ИЕ7 - это рекомендация?

... притом - настоятельная

[FEV1974]

Спасибо!
С новым годом!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 18
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\kwzboorkkm.sys - Trojan.Win32.Pakes.mcu (DrWEB: Trojan.Spambot.354