Помогите удалить trojan Win32/Rootkit.Agent.ODG

[Corund]

Вчера Eset Smart Security 4.0.437.0 стал показывать Win32/Rootkit.Agent.ODG trojan unable to clean. В результате возникли проблемы с соединением с интернет. После рестарта связь с интернетом совсем пропала. OS Vista SP2.
DR.Web Cureit! удалил в safe mode SKYNETsypulqwt.dll в C:\Windows\System32 и SKYNETnyditfuaiu.tmp в C:\Windows\Temp, но вирус все равно остался
Помогите пожалуйста удалить этот вирус

[Rene-gad]

Ничего подозрительного в логах.
- Выполните скрипт

begin
SetAVZPMStatus(True);
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Сделайте повторные логи
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
+
лог GMER

[Corund]

Gmer показал, что вся система засорена деятельностью SKYNET

[thyrex]

Пофиксить в HiJack

 R3 - URLSearchHook: (no name) - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} - (no file)
O2 - BHO: (no name) - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} - (no file)
O3 - Toolbar: (no name) - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)

Сделать новый лог HiJack

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del service SKYNETovimtcvy
gmer.exe -del file "C:\Windows\system32\drivers\SKYNEThpxfbtsp.sys"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETovcxriil.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETwxecacnp.dat"
gmer.exe -del file "system32\SKYNETsypulqwt.dll"
gmer.exe -del file "system32\SKYNETstfnclhb.dat"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETovimtcvy"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETovimtcvy"
gmer.exe -reboot

И запустите cleanup.bat

Сделать новый лог gmer

[Corund]

Выдало ошибки при запуске cleanup.bat
An error 0x00000003 occured during the deletion of file "system32\SKYNETsypulqwt.dll"; The system cannot find the path specified.
An error 0x00000003 occured during the deletion of file "system32\SKYNETstfnclhb.dat"; The system cannot find the path specified.
Может быть запустить его в safe mode? Это Vista Premium.

[Corund]

SKYNET не удален

[Bratez]

Сделайте и запустите bat-ник с таким кодом:

gmer.exe -del file "C:\WINDOWS\system32\SKYNETsypulqwt.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETstfnclhb.dat"
gmer.exe -reboot

[Corund]

Опять та же сама ошибка, а в safe mode
An error 0x00000003 occured during the deletion of file "system32\SKYNETsypulqwt.dll": The specified module could not be found.
An error 0x00000003 occured during the deletion of file "system32\SKYNETstfnclhb.dat": The specified module could not be found.

[Wild Spirit]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNETovimtcvy
gmer.exe -del reg HKLM\SYSTEM\ControlSet002\Services\SKYNETovimtcvy
gmer.exe -del service SKYNETovimtcvy
gmer.exe -del file C:\WINDOWS\system32\drivers\SKYNEThpxfbtsp.sys
gmer.exe -del file C:\WINDOWS\system32\SKYNETmrrdsxqw.dat
gmer.exe -del file C:\WINDOWS\system32\SKYNEThoufxkfm.dat
gmer.exe -del file C:\WINDOWS\system32\SKYNEThmubxsop.dll
gmer.exe -del file C:\WINDOWS\system32\SKYNETspmrdppw.dll
gmer.exe -del file C:\Windows\System32\SKYNETdsplbngk.dat 
gmer.exe -del file C:\Windows\System32\SKYNETjoemxnwp.dat 
gmer.exe -del file C:\Windows\System32\SKYNETlog.dat 
gmer.exe -del file C:\Windows\System32\SKYNETsypulqwt.dll
gmer.exe -reboot

И запустите cleanup.bat

Сделайте новый лог GMER.

[Corund]

Сейчас не нашелся файл "C:\Windows\system32\SKYNEThoufxkfm.dat"

[Bratez]

Такое ощущение, что вы его заново подхватываете откуда-то.
Сейчас напишу очередную итерацию...

[Corund]

У меня тоже такое ощущение, что они даже плодяться и почему-то некоторые то пропадают, то появляются. Сеть на том компьюторе не работает, видимо заражена.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Windows\system32\drivers\SKYNEThpxfbtsp.sys','');
QuarantineFile('C:\Windows\system32\SKYNETaqxvedpi.dat','');
QuarantineFile('C:\Windows\system32\SKYNETisuicvyw.dat','');
QuarantineFile('C:\Windows\system32\SKYNETqrswhpim.dll','');
QuarantineFile('C:\Windows\system32\SKYNETxorrmeki.dll','');
QuarantineFile('C:\Windows\System32\SKYNETdcijqmrt.dll','');
QuarantineFile('C:\Windows\System32\SKYNETfrxclxfo.dat','');
QuarantineFile('C:\Windows\System32\SKYNETikndifxo.dll','');
QuarantineFile('C:\Windows\System32\SKYNETtbwvpveo.dll','');
QuarantineFile('C:\Windows\System32\SKYNETtwpeoceg.dll','');
DeleteFile('C:\Windows\system32\drivers\SKYNEThpxfbtsp.sys');
DeleteFile('C:\Windows\system32\SKYNETaqxvedpi.dat');
DeleteFile('C:\Windows\system32\SKYNETisuicvyw.dat');
DeleteFile('C:\Windows\system32\SKYNETqrswhpim.dll');
DeleteFile('C:\Windows\system32\SKYNETxorrmeki.dll');
DeleteFile('C:\Windows\System32\SKYNETdcijqmrt.dll');
DeleteFile('C:\Windows\System32\SKYNETfrxclxfo.dat');
DeleteFile('C:\Windows\System32\SKYNETikndifxo.dll');
DeleteFile('C:\Windows\System32\SKYNETtbwvpveo.dll');
DeleteFile('C:\Windows\System32\SKYNETtwpeoceg.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('SKYNETovimtcvy');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Сохраните следующий код в виде файла runme.bat и поместите в папку с gmer:

gmer.exe -del file "C:\Windows\system32\drivers\SKYNEThpxfbtsp.sys"
gmer.exe -del file "C:\Windows\system32\SKYNETaqxvedpi.dat"
gmer.exe -del file "C:\Windows\system32\SKYNETisuicvyw.dat"
gmer.exe -del file "C:\Windows\system32\SKYNETqrswhpim.dll"
gmer.exe -del file "C:\Windows\system32\SKYNETxorrmeki.dll"
gmer.exe -del file "C:\Windows\System32\SKYNETdcijqmrt.dll"
gmer.exe -del file "C:\Windows\System32\SKYNETfrxclxfo.dat"
gmer.exe -del file "C:\Windows\System32\SKYNETikndifxo.dll"
gmer.exe -del file "C:\Windows\System32\SKYNETtbwvpveo.dll"
gmer.exe -del file "C:\Windows\System32\SKYNETtwpeoceg.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETovimtcvy"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETovimtcvy"
gmer.exe -reboot

Запустите этот файл.
Компьютер перезагрузится.

Карантин AVZ пришлите согласно приложению 3 правил.
Сделайте новый лог gmer.

[Corund]

Большое спасибо.
Наконец удалился тройян. Его удалил AVZ. Gmer уже ничего, кроме 2-ух последних строк не находил.

Еще раз большое спасибо всем за помощь. Карантин выслан.
На компютере сразу после удаления вируса появилась связь с интернетом

[Bratez]

Да, теперь чисто.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения вредоносные программы в карантинах не обнаружены