неопознанный руткит

**vetrolom** · 08.07.2009, 15:27

помогите пожалуйста идентифицировать и удалить

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**PavelA** · 08.07.2009, 15:37

Выполнить скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetAVZPMStatus(True);
 QuarantineFile('c:\F\UCK\FK.exe','');
 QuarantineFile('C:\NEXT\FILES\NEXT.exe','');
 QuarantineFile('C:\RESTORE\k-1-3542-4232123213-7676767-8888886\JUZZ.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\sys32.exe','');
 QuarantineFile('C:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\system.exe','');
 QuarantineFile('C:\WINDOWS\system32\soundmix.exe','');
 QuarantineFile('C:\WINDOWS\system32\8DBFD1\47DE2F.EXE','');
 QuarantineFile('C:\WINDOWS\system32\ntsim.sys','');
 DeleteFile('C:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\system.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\sys32.exe');
 DeleteFile('C:\RESTORE\k-1-3542-4232123213-7676767-8888886\JUZZ.exe');
 DeleteFile('C:\NEXT\FILES\NEXT.exe');
 DeleteFile('c:\F\UCK\FK.exe');
DelCLSID('67XOR2B0-3GMC-89VV-JIJ1-32KL2R3423321');
DelCLSID('67KLN5J0-4OPM-33WE-AAX5-24KC2A3453431');
DelCLSID('67KLN5J0-4OPM-00WE-AAX5-77EF1D187562');
DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');
DelCLSID('28ABC5C0-4FCB-11CF-AAX5-21CX1C643131');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
Новые логи сделать.
Карантин прислать по красной ссылке.

**vetrolom** · 09.07.2009, 11:03

вот

**PavelA** · 09.07.2009, 11:12

профиксить:

Код:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,EXPLORER.EXE
O4 - HKLM\..\Run: [47DE2F] C:\WINDOWS\system32\8DBFD1\47DE2F.EXE
O4 - HKLM\..\Run: [XP-FC2FC257] C:\WINDOWS\system32\XP-FC2FC257.EXE
O4 - Startup: 47DE2F.lnk = C:\WINDOWS\system32\8DBFD1\47DE2F.EXE
O4 - Startup: ЎЎЎЎЎЎ.lnk = C:\WINDOWS\system32\XP-FC2FC257.EXE

повторить лог Хиджака.
Проблемы остались?