Win32/Rootkit.Agent.ODG - продолжение истории

[dandaka]

Недавно вылечил свой компьютер от вируса (http://virusinfo.info/showthread.php?t=52344), как через пару дней он снова начал пищать сообщениями о заражении. Симптомы идентичны:

Operating memory - Win32/Rootkit.Agent.ODG trojan - unable to clean

Пока выполнял инструкцию данного форума, обнаружился ещё один вирус:

\\?\globalroot\systemroot\system32\kbiwkmduhxwbwe. dell
a variant of Win32/Kryptik.ZV trojan
unable to clean/delete

У меня 2 вопроса:
1. Как вылечиться?
2. Что сделать, чтобы избежать заражения в будущем? (Стоит NOD32 последняя версия + последние базы, Agnitum Outpost, автозапуск флэшек отключен)

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
ClearQuarantine;
SetAVZGuardStatus(True);
 QuarantineFile('\systemroot\system32\drivers\kbiwkmducdltap.sys','');
 QuarantineFile('\\?\globalroot\systemroot\system32\kbiwkmdkvvmlrn.dll','');
 DeleteFile('\\?\globalroot\systemroot\system32\kbiwkmdkvvmlrn.dll');
 DeleteFile('\systemroot\system32\drivers\kbiwkmducdltap.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=53347

3. Повторите лог virusinfo_syscheck.

4. Такой лог сделайте http://virusinfo.info/showthread.php?t=40118

[dandaka]

1. Отключил восстановление и антивирус
2. Выполнил скрипт
3. Приложил карантин
4. Выполнил скрипт "Сбора информации" (вы это имели в виду под virusinfo_syscheck?)
5. Выполнил сканирование с помощью GMER
6. Оба лога прикладываю

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\kbiwkmducdltap.sys','');
DeleteFile('c:\windows\system32\drivers\kbiwkmducdltap.sys');
QuarantineFile('c:\windows\system32\kbiwkmmyrjbppk.dll','');
DeleteFile('c:\windows\system32\kbiwkmmyrjbppk.dll');
QuarantineFile('c:\windows\system32\kbiwkmdkvvmlrn.dll','');
DeleteFile('c:\windows\system32\kbiwkmdkvvmlrn.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del service kbiwkmldgicqmj
gmer.exe -del file "c:\windows\system32\drivers\kbiwkmducdltap.sys"
gmer.exe -del file "c:\windows\system32\kbiwkmmyrjbppk.dll"
gmer.exe -del file "c:\windows\system32\kbiwkmlyvbonvv.dat"
gmer.exe -del file "c:\windows\system32\kbiwkmdkvvmlrn.dll"
gmer.exe -del file "c:\windows\system32\kbiwkmaswucxdk.dat"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kbiwkmldgicqmj"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\kbiwkmldgicqmj"
gmer.exe -reboot

И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

[dandaka]

Карантин отправил
Лог GMER прикладываю

[Aleksandra]

Ничего зловредного в логах нет. Что с проблемами?

[dandaka]

Проблема в том чтобы понять,
1. как произошло заражение?
2. как избежать заражения в будущем?

Из защитных средств у меня:
XP SP3 + все апдейты
NOD32 + все апдейты
Agnitum Outpost
отключенный автозапуск на флешках

[Aleksandra]

http://virusinfo.info/showthread.php?t=30339

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 11
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\drivers\kbiwkmducdltap.sys - Trojan.Win32.Tdss.aogy ( DrWEB: BackDoor.Tdss.403, AVAST4: Win32:Alureon-CO [Rtk] )
  2. c:\windows\system32\kbiwkmmyrjbppk.dll - Packed.Win32.TDSS.z ( AVAST4: Win32:Alureon-CO [Rtk] )
  3. \\?\globalroot\systemroot\system32\kbiwkmdkvvmlrn. dll - Packed.Win32.TDSS.z ( BitDefender: Trojan.Generic.2220751, AVAST4: Win32:Alureon-CW [Rtk] )