Win32/Protector.C virus в NDIS.sys

[mishgaus]

Здравсвуйте! NOD 32 обнаружил Win32/Protector.C virus в NDIS.sys.

[thyrex]

Пофиксить в HiJack

O4 - HKLM\..\Run: [reader_s] C:\WINDOWS\System32\reader_s.exe
O4 - HKCU\..\Run: [reader_s] C:\Documents and Settings\Иванов_М_А\reader_s.exe

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\chknt32.exe','');
QuarantineFile('C:\WINDOWS\System32\reader_s.exe','');
DeleteFile('C:\WINDOWS\System32\reader_s.exe');
 QuarantineFile('C:\Documents and Settings\Иванов_М_А\reader_s.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\NDIS.sys','');
 DeleteFile('C:\Documents and Settings\Иванов_М_А\reader_s.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','reader_s');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Файл C:\WINDOWS\system32\Drivers\NDIS.sys заменить по такой методике (но не из dllcache)

Сделайте новые логи

[mishgaus]

В консоли управления почему то ndis.sy_ не распаковывался...ошибку выдавал....но старый удалил...хотя не понял надо было это делать или нет?

в итоге востановил файл при помощи утилиты ndis.repair.utility

[thyrex]

chknt32.exe - Trojan-Spy.Win32.BZub.hhf

Пофиксить в HiJack

 O4 - HKCU\..\Policies\Explorer\Run: [Java Plug-in] C:\WINDOWS\system32\chknt32.exe
O4 - HKUS\S-1-5-21-1454471165-1897051121-1801674531-1003\..\Policies\Explorer\Run: [Java Plug-in] C:\WINDOWS\system32\chknt32.exe (User '?')

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\chknt32.exe','');
DeleteFile('C:\WINDOWS\system32\chknt32.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Java Plug-in');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[mishgaus]

Каратнин отправил.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('{82C885EE-6B87-4D51-9EF4-0CFE9FADA900}');
 QuarantineFile('C:\Documents and Settings\Иванов_М_А\Application Data\AdSubscribe\AdSubscribe.dll','');
 DeleteFile('C:\Documents and Settings\Иванов_М_А\Application Data\AdSubscribe\AdSubscribe.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[mishgaus]

Карантин отослал!

Логи сделал!

[thyrex]

Еще проблемы наблюдаются? В логах ничего плохого не увидел

[mishgaus]

Проблем вроде больше нет! Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\chknt32.exe - Trojan-Spy.Win32.BZub.hhf ( DrWEB: Trojan.PWS.Webmonier.178, BitDefender: Trojan.Crypt.IU, AVAST4: Win32:Fasec [Trj] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !