Схватил трояна - прошу помощи

[Nikleo]

Схватил трояна - прошу помощи.
Дикий трафик, загрузка проца -100%
Заранее благодарю

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\NIKLEO\Рабочий стол\.//..//drwvas.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\ati8lsxx.sys','');
 QuarantineFile('C:\WINDOWS\System32\rs32net.exe','');
 DeleteFile('C:\WINDOWS\System32\rs32net.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati8lsxx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati1ioxx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati1ovxx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati4saxx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati4ucxx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati6elxx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati6nuxx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati8nuxx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati8ubxx.sys');
 DeleteFile('C:\Documents and Settings\NIKLEO\Рабочий стол\.//..//drwvas.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=35889).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[Nikleo]

Новые логи
Трафик без изменений (огромный) - кто-то что-то рассылает

[Bratez]

Отключив интернет и антивирус, выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\Drivers\ati7krxx.sys');
BC_ImportDeletedList;
 BC_DeleteSvc('ati6qyxx');
 BC_DeleteSvc('ati7krxx');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Повторите лог syscheck (только п.2 раздела Диагностика).

[Nikleo]

Где-то еще живет.
После скрипта при перезагрузке запустился NOD32 и сразу поймал ati7krxx.sys из C:\WINDOWS\system32\Drivers\ati7krxx.sys'
(Востановление отключено)

[Bratez]

C:\WINDOWS\system32\Drivers\ati7krxx.sys
удаляем с помощью Ice Sword, как описано здесь:
http://virusinfo.info/showthread.php?t=17228

и не перезагружаясь сразу после этого выполняем скрипт из сообщ. #4.

Все это отключив интернет и антивирус.

Для контроля еще раз лог syscheck.

[Nikleo]

В Ice Sword файла C:\WINDOWS\system32\Drivers\ati7krxx.sys не обнаружил, зато убил под "горячую руку" ati1nxxx.sys и ati0***.sys
Пока, вроде, согласно NODовскому фаерволу, никто не лезет

[Bratez]

зато убил под "горячую руку" ati1nxxx.sys и ati0***.sys

И это правильно!

В логе порядок.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\rs32net.exe - Trojan.Win32.Agent.awkj (DrWEB: BackDoor.Bulknet.320)