i386si.sys; fips32cup.sys; ksi32sk; port... .sys

[taganyork]

nod32, потом symantec находили вот эту муть: i386si.sys; fips32cup.sys; ksi32sk; port... .sys
В трее появлялось много процессов svchost.exe. Машина начинала тормозить.

[PavelA]

Восстановление системы: включено ---СРОЧНО Отключить.

Профиксить:

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe beforemain

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('28ABC5C0-4FCB-11CF-AAX5-21CX1C635622');
 QuarantineFile('C:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\Drive13.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\systemntmi.sys','');
 DeleteService('systemntmi');
 QuarantineFile('C:\WINDOWS\system32\drivers\securentm.sys','');
 DeleteService('securentm');
 QuarantineFile('C:\WINDOWS\system32\drivers\port135sik.sys','');
 DeleteService('port135sik');
 QuarantineFile('C:\WINDOWS\system32\drivers\ati64si.sys','');
 DeleteService('ati64si');
 QuarantineFile('C:\WINDOWS\system32\drivers\amd64si.sys','');
 DeleteService('amd64si');
 QuarantineFile('C:\WINDOWS\system32\msinet.exe','');
 DeleteService('msupdate');
 QuarantineFile('C:\WINDOWS\system32\drivers\netsik.sys','');
 QuarantineFile('c:\windows\system32\drivers\svchost.exe','');
 TerminateProcessByName('c:\windows\system32\drivers\svchost.exe');
 DeleteFile('c:\windows\system32\drivers\svchost.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\netsik.sys');
 DeleteFile('C:\WINDOWS\system32\msinet.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\amd64si.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\ati64si.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\port135sik.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\securentm.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\systemntmi.sys');
 DeleteFile('C:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\Drive13.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через http://virusinfo.info/upload_virus.php?tid=48893

[taganyork]

все сделал

[Rene-gad]

Лог syscure старый загрузили, переделайте все логи после выполнение скрипта в соответствии с правилами.
Не добавляйте в архив с логами ничего, иначе получите бан...

[taganyork]

переделал.

[PavelA]

Все вылечено, в логах чисто.
Чтобы не заражаться в будущем, поставьте SP3

[taganyork]

Спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\drivers\netsik.sys - Trojan.Win32.Inject.adkq ( DrWEB: Trojan.DownLoad.38180, BitDefender: Trojan.Agent.AMZV )
  2. c:\windows\system32\drivers\svchost.exe - Trojan.Win32.FraudPack.pbq