Руткит ушел, а след осатлся

[Grits]

Добрый день!
Боролся с Hacktool.Rootkit+Trojan.Pandex+Downloader(Symantec AV) благодаря инфе в темах форума. Кажется успешно. Нашел иубил Trojan-Dropper.Win32.Agent.ampy+Trojan-Downloader.Win32.Agent.bhis (AVPTool).
Но после этого для повторной проверки AVZ.ехе и HijackThis.exeпришлось переименовать в game.exeи game2.exe соотв (иначе не запускались). При сканировании в списке подозрительных остался SYMEVENT.SYS (как перехватчик KernelMode), в протоколе работы АВЗ - перехват ряда функций неизв.програмой, болит в автозапуске и ряд процесов -C:\Documents and Settings\ССС\.exe; ...ССС\ССС.exe.



Прошу,

помогите долечить машину, или я его, или он мой ноут.

[PavelA]

много убили, но и осталось достаточно.
профиксить:

O20 - Winlogon Notify: crypt - crypts.dll (file missing)

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
deleteservice('lanmanworkstationaspnet_state');
QuarantineFile('C:\WINDOWS\system32\appenda.exe','');
 QuarantineFile('C:\WINDOWS\system32\digiwet.dll','');
 QuarantineFile('crypts.dll','');
 QuarantineFile('C:\Documents and Settings\ССС\.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\netsik.sys','');
 DeleteService('netsik');
 QuarantineFile('C:\WINDOWS\system32\drivers\ati64si.sys','');
 QuarantineFile('c:\documents and settings\ССС\ССС.exe','');
 DeleteFile('C:\WINDOWS\system32\drivers\ati64si.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\netsik.sys');
 DeleteFile('C:\Documents and Settings\ССС\.exe');
 DeleteFile('crypts.dll');
 DeleteFile('C:\WINDOWS\system32\digiwet.dll');
 ExecuteRepair(9);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

сделать новые логи.
Загрузить карантин через http://virusinfo.info/upload_virus.php?tid=44265

[Grits]

Павел, большое спасибо за неотложку, уже стало легче дышать. Выполнил Ваши инструкции, в приложении даю новые логи. Посмотрите, по-возможности.

P.S. Не могу загружать логи и карантин прямо с сайта на моем ноуте, т.к. сбоит при загрузке, использую компьютер коллеги. Неужели трояны так поумнели?

[PavelA]

Если через флешку переносите, то все возможно.
А по сети может Кидо бегать.

Да, и еще: я бы файл hosts почистил. Из-за него может Инет тормозить.

Добавлено через 1 минуту

Профиксить:

O4 - HKCU\..\Run: [ССС] C:\Documents and Settings\ССС\ССС.exe /i

Вот это не убилось: 'C:\WINDOWS\system32\appenda.exe'. Подозреваю, что он основной зверь.

Добавлено через 5 минут

Для добивания:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
deleteservice('lanmanworkstationaspnet_state');
 DeleteFile(' C:\WINDOWS\system32\appenda.exe');
 DeleteFile('c:\documents and settings\ССС\ССС.exe');
ExecuteRepair(9);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);

end.

Повторить только логи.

Добавлено через 35 минут

Что было:
appenda.exe - Email-Worm.Win32.Joleee.nu
digiwet.dll - Trojan-Downloader.Win32.Injecter.crm
ССС.exe - Trojan.Win32.Agent2.ifp

по классификации ЛК

[Grits]

Заношу на сайт с другого компа через флешку, а в сети действительно Кидо - видел его в страстную пятницу у шефа на машине, когда на всякий случай решил прогнать ее через АВТ Касперского. Но он какой-то странный Кидо (в названии пойманого вируса есть ...win32.Kido.*-точно не помню, завтра посмотрю), - позволяет заходить на Symantek&Virusinfo, поэтому решил его не бояться. "Добрый" Кидо, наверное
Направляю ранее оговореные логи и низкий поклон за блестящее руководство борьбой со зверем. Можно узнать как его зовут?

[PavelA]

В логах чисто. Как зовутся зверьки написал выше.

[Grits]

Павел, огромное СПАСИБО за оказанную помощь, она была действительно скорой и компетентной. Во истину "респект и уважуха" таким профессионалам, как Вы.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\ссс\ссс.exe - Trojan.Win32.Agent2.ifp ( DrWEB: Trojan.DownLoad.33158 )
  2. c:\windows\system32\appenda.exe - Email-Worm.Win32.Joleee.nu ( DrWEB: BackDoor.IRC.Bot.114 )
  3. c:\windows\system32\digiwet.dll - Trojan-Downloader.Win32.Injecter.crm ( DrWEB: Trojan.Botnetlog.3 )