rootkit

[nooblo]

1. AVZ находит только файл sp??.sys (? - случайная буква). после удаления появляется новый. AVPTool ничего не нашёл.
2. Пока не запущу в AVZ стандартный скрипт на поиск руткита, не могу заходить на сайты Касперского, нод32, Dr. web, Virusinfo и.т.д.

[V_Bond]

sp??.sys - эмулятор дисков
C:\WINDOWS\system32\xcmvyul.dll - пришлите согласно приложения 2 правил
такой лог http://www.gmer.net/ сделайте

[nooblo]

"Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\xcmvyul.dll)
Карантин с использованием прямого чтения - ошибка"

Перед тем как тут спамить, я уже пробовал лечить GMER'ом. он нашёл процесс svchost.exe который я с его помощью и снёс.
Удалил виртуальные диски, но AVZ по-прежнему ругается на sp??.sys файлы.

[V_Bond]

повторяю ...

sp??.sys - эмулятор дисков

выполните скрипт

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\xcmvyul.dll');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите логи

[nooblo]

сегодня GMER опять нашёл svchost.exe. прилагаю его логи ДО выполнения скрипта.
остальные логи - после выполнения скрипта.
выслал 'C:\WINDOWS\system32\xcmvyul.dll' согласно правилам.

[Wild Spirit]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\appdrvrem01.exe','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин согласно приложения 3 правил по ссылке Прислать запрошенный карантин (http://virusinfo.info/upload_virus.php?tid=48146) вверху темы.

[thyrex]

Дополнительно к совету из предыдущего сообщения

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del service oogwog
gmer.exe -del file "C:\WINDOWS\system32\xcmvyul.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\oogwog"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\oogwog"
gmer.exe -reboot

И запустите cleanup.bat

Сделать новый лог gmer

[nooblo]

по GMER'у, вроде, всё чисто, но AVZ ругается.
карантин выслал, к названию "по умолчанию" добавил единичку.

[thyrex]

Не нахожу, к чему бы мог придраться AVZ
В логах чисто

Установите Internet Explorer 8

[nooblo]

Не нахожу, к чему бы мог придраться AVZ
В логах чисто

То есть строка из логов про "перехватчик не определен" - это ругань на алкоголь?

Установите Internet Explorer 8

А чем мозила плоха ? Или его установка затыкает дыры в системе ?

[V_Bond]

Или его установка затыкает дыры в системе ?

да , закрывает

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\xcmvyul.dll - Net-Worm.Win32.Kido.ih ( DrWEB: Win32.HLLW.Shadow.based, BitDefender: Worm.Generic.63145 )