NOD32 v4 нашел два страшных зверя...

[Stasich]

... а имеено:
01.09.2009 10:05:05 Модуль сканирования файлов, исполняемых при запуске системы файл \\?\globalroot\systemroot\system32\ytasfwxcktrmkj. dll модифицированный Win32/Kryptik.AHG троянская программа очистка невозможна
01.09.2009 10:04:53 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Rootkit.Agent.ODG троянская программа очистка невозможна

проверял курейтом в обычном и безопасном режимах, ничего нет, сканер нода тоже ничего не видит.
Обратил внимание что появилась эта зараза 27 августа. в день когда eset добавили 1-ый троян в базу вирусов. Помогите пожалуйста, если раньше старался сам разгребать страшные вири, то этот случай уже не для моих мозгов.

[thyrex]

Отключите восстановление системы

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\ytasfwxcktrmkj.dll','');
 DeleteFile('C:\WINDOWS\System32\ytasfwxcktrmkj.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[PavelA]

AVZPM установите и перезагрузитесь перед тем, как делать новые логи.

[Stasich]

kryptik сдох, огромное спасибо. Но остался Rootkit.
Сделал все как просили.

[PavelA]

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\dllhost.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ytasfwhraenrnp.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\ytasfwhraenrnp.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Прислать карантин.
Сдеалать заново логи.

[Stasich]

Замкнутый круг какой-то))) Короче руткит тоже умер. но всплыл некий
HTML/Iframe.B.Gen вирус. Покоцал много html фаилов, с этим попробую сам разгрестись.
Огромнешее спасибо за помощь

[PavelA]

Еще надо реестр почистить. чутка подождать надо чтобы хитрый скрипт написать.

[Stasich]

ок, буду ждать

[thyrex]

Лог gmer сделайте

[Stasich]

Сделал

[thyrex]

Короче руткит тоже умер.

Это Вам показалось. Живее всех живых

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\ytasfwhraenrnp.sys','');
DeleteFile('c:\windows\system32\drivers\ytasfwhraenrnp.sys');
QuarantineFile('c:\windows\system32\ytasfwsvwhpsxt.dll','');
DeleteFile('c:\windows\system32\ytasfwsvwhpsxt.dll');
QuarantineFile('c:\windows\system32\ytasfwxcktrmkj.dll','');
DeleteFile('c:\windows\system32\ytasfwxcktrmkj.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сохраните текст ниже как cleanup.bat в ту же папку, где находится 0inumk71.exe (gmer)

0inumk71.exe -del service ytasfwywvrhvmr
0inumk71.exe -del file "c:\windows\system32\drivers\ytasfwhraenrnp.sys"
0inumk71.exe -del file "c:\windows\system32\ytasfwsvwhpsxt.dll"
0inumk71.exe -del file "c:\windows\system32\ytasfwpjjrjobl.dat"
0inumk71.exe -del file "c:\windows\system32\ytasfwxcktrmkj.dll"
0inumk71.exe -del file "c:\windows\system32\ytasfwnentftyq.dat"
0inumk71.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ytasfwywvrhvmr"
0inumk71.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\ytasfwywvrhvmr"
0inumk71.exe -reboot

И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

[Stasich]

Когда выполнялся батник, несколько раз ругнулся на отсутствие фаилов...
Готово.

[thyrex]

В логе чисто. Как ведет себя антивирус?

[Stasich]

С момента когда я написал о смерти руткита он больше ни на что не ругался кроме HTML/Iframe.B.Gen.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\drivers\ytasfwhraenrnp.sys - Trojan.Win32.TDSS.amde ( DrWEB: BackDoor.Tdss.342, BitDefender: Trojan.TDss.WJ, AVAST4: Win32:Alureon-CM [Rtk] )
  2. c:\windows\system32\ytasfwxcktrmkj.dll - Packed.Win32.TDSS.z ( DrWEB: BackDoor.Tdss.464, BitDefender: Trojan.Generic.2365414, AVAST4: Win32:Alureon-CU [Rtk] )