вирус Win32/Rootkit.Agent.ODG.

**Снегирев Роман** · 22.05.2009, 23:36

Добрый день! Вчера поймал вирус Win32/Rootkit.Agent.ODG. (был обнаружен триал-версией NOD32 antivirus 4, сидит в оперативке, очистка невозможна) Вобщем, примерно все как уже было описано здесь: http://esetnod32.ru/esetforum/viewtopic.php?f=19&t=791 , только у меня возникли проблемы при обращении к локальному диску, он у меня один (выскакивает сообщение "Windows не удалось найти “RECYCLER/S-8-0-25-100001076-100006941-2726.com. Проверьте, что имя было введено правильно и повторите попытку.")
Плюс к этому, время от времени происходят несанкционированные изменения в адресах DNS-сервера при подключении беспроводной сети, а после перезагрузки запускается мастер установки нового оборудования - в диспетчере устройств действительно появилось неизвестное устройство с кодом ROOT/LEGACY_UZM1NDK0/0000). Отключил восстановление системы и проверил через Malwarebytes' Anti-Malware, он подчистил что смог обнаружить, но NOD снова нашел гадину. Попробую достать логи Malwarebytes, они сейчас на неоткрывающемся локальном диске. Вобщем завал, помогите справится с проблемой!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Aleksandra** · 22.05.2009, 23:48

Прочитайте и выполните правила.

Добавлено через 1 минуту

Перед выполнением логов AVZ включите драйвер расширенного мониторинга AVZPM!

**Снегирев Роман** · 23.05.2009, 01:02

Нахожусь в процессе собирания всех необходимых логов, немного туплю (оно и понятно - первый блин комом

На всякий случай кидаю журнал Нодовского SysInspector-а, может пригодится?

**Aleksandra** · 23.05.2009, 01:05

Я жду логи по правилам.

**Снегирев Роман** · 23.05.2009, 01:07

я стараюсь, наверно скоро все отправлю

**Снегирев Роман** · 23.05.2009, 02:12

Отправляю логи AVZ и Hijackhis, вроде получилось.

**Aleksandra** · 23.05.2009, 02:33

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

Код:

begin
ClearQuarantine; 
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('\\?\globalroot\systemroot\system32\gxvxcgoigjepfysmdvilfrcwgvoowitncygde.dll','');
 QuarantineFile('\\?\globalroot\systemroot\system32\gxvxcwvpptqqoedpadjondsfasxarnpcqinnc.dll','');
 QuarantineFile('\systemroot\system32\drivers\gxvxcqgrkeunjndwtapjmyljmmxmiatklwurx.sys','');
 QuarantineFile('C:\Program Files\\Outlook Express\setup50.exe','');
 QuarantineFile('C:\autorun.inf','');
 DeleteFile('\\?\globalroot\systemroot\system32\gxvxcgoigjepfysmdvilfrcwgvoowitncygde.dll');
 DeleteFile('\\?\globalroot\systemroot\system32\gxvxcwvpptqqoedpadjondsfasxarnpcqinnc.dll');
 DeleteFile('\systemroot\system32\drivers\gxvxcqgrkeunjndwtapjmyljmmxmiatklwurx.sys');
 DeleteFile('C:\autorun.inf');
 DeleteFileMask('%tmp% ','*.* ',true );
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=46353

3. Повторите логи.

**Снегирев Роман** · 23.05.2009, 02:58

сейчас сделаю

Добавлено через 22 минуты

вроде помогло, сейчас повторю логи

**Снегирев Роман** · 23.05.2009, 03:40

Вот свежие логи:

**Aleksandra** · 23.05.2009, 03:58

Выполните эту инструкцию http://virusinfo.info/showthread.php?t=3519 и загрузите полученный карантин через форму http://virusinfo.info/index.php?page=uploadclean После его загрузки продублируйте имя и MD5 файла, который выдаст форма приема карантинов.

**Снегирев Роман** · 23.05.2009, 04:04

ок

Добавлено через 1 минуту

только я не знаю что такое MD5 - но наверно скоро узнаю

**Aleksandra** · 23.05.2009, 04:08

Загрузите и увидите ответ. Его продублируйте.

http://ru.wikipedia.org/wiki/MD5

**Снегирев Роман** · 23.05.2009, 04:34

Файл сохранён как:
090523_041822_virusinfo_files_D8KSKK2J_4a1740ce1cd ae.zip

Размер файла - 15466509

MD5 - 9f998ca15e6930f9d017960bdf626eea

Добавлено через 10 минут

Спасибо огромное за помощь, я люблю вас! Что-нибудь еще от меня нужно?

Добавлено через 47 секунд

ок