Руткит

**Tryamster** · 10.01.2010, 18:15

Поймали во вирус, вороятно во вКонтакте. Первичные симптомы: блокировка тотал командера (запускается и тут же вылетает), пакета sysinternals suit(закрытие окна с папкой "sysinternals suit", удаление утилиты autoruns.exe), ошибки автозапуска программ, блокировка диспетчера задач, редактора реестра, отключение восстановления системы (даже закладка в свойствах системы исчезла), ограничение поликами безопасности запуска антивируса касперского... Запускал с LiveCD avira9, avz, drweb cureit - показали пару мелких,но не главных. В ручную просмотрел запускаемые службы в секции currentcontrolset, удалил подозрительные, очистил подозрительный ключ (regkey.zip). После перезагрузки машина стала более адекватной, но AVZ выдает большое количество перехватов, утилита kidokiller также видит перехват "scanning modules in explorer.exe...
Spliced function NtQueryInformationProcess fixed in ntdll.dll module of process with PID 1592" (PID 1592 - explorer.exe)
Подозреваю некий руткит, но поймать не могу. Подскажите совет мудрый пожалуйста

.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**AndreyKa** · 11.01.2010, 00:13

Ключи реестра кроме AppInit_DLLs зря удалили.

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:

Код:

begin
 SetAVZGuardStatus(True);
 DeleteFile(GetAVZDirectory+'log\virusinfo_cure.zip');
 ExecuteRepair(6);
ExecuteWizard('TSW', 2, 2, true);
SetAVZPMStatus(True);
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\atapi.sys','');
 DeleteService('tcpsr');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate; 
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.
Обновите базы AVZ.
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

Kaspersky Internet Security 6.0 - такого антивируса давно нет.