Трояны и озу и в win32 не могу избавиться

[gennady1964]

18.04.2010 2:21:04 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Rustock троянская программа очистка невозможна TEST\USER
18.04.2010 2:11:15 Защита в режиме реального времени файл C:\WINDOWS\system32\drivers\synsenddrv.sys Win32/Rootkit.Agent.NIJ троянская программа очищен удалением - изолирован NT AUTHORITY\SYSTEM Событие произошло в новом файле, созданном следующим приложением: C:\WINDOWS\system32\svchost.exe.

[thyrex]

Пофиксите в HiJack

R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
F2 - REG:system.ini: Shell=Explorer.exe shell32.exe
O2 - BHO: XTTBPos00 Class - {055FD26D-3A88-4e15-963D-DC8493744B1D} - (no file)
O2 - BHO: &Google - {AA58ED58-01DD-4D91-8333-CF10577473F7} - (no file)

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\shell32.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
 DeleteService('synsend');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
 DeleteFile('C:\WINDOWS\system32\shell32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[gennady1964]

В озу пока вирус не обьявился, а в WIN32 проявляется, блокируется, отправлен в карантин.

[thyrex]

Новые логи где?

[gennady1964]

Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Rustock троянская программа очистка невозможна TEST\USER
Защита в режиме реального времени файл C:\WINDOWS\system32\drivers\synsenddrv.sys Win32/Rootkit.Agent.NIJ троянская программа очищен удалением - изолирован NT AUTHORITY\SYSTEM Событие произошло в новом файле, созданном следующим приложением: C:\WINDOWS\system32\svchost.exe.

[thyrex]

Это другой компьютер или из темы http://virusinfo.info/showthread.php?t=76448 ?

[gennady1964]

Тот же, только в прошлый раз я забыл обновить avz, может еще чего...

[thyrex]

Модераторы темы объединят. Не создавайте новых

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-7914427284-2753530613-754543435-9288\nissan.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
 DeleteService('synsend');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
 DeleteFile('C:\RECYCLER\S-1-5-21-7914427284-2753530613-754543435-9288\nissan.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('synsend');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[gennady1964]

вот логи

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('0000088F.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Проверьтесь http://support.kaspersky.ru/viruses/...?qid=208636926
Сделайте новый лог virusinfo_syscheck.zip

[gennady1964]

С TDSS не все понял...

[thyrex]

Запустите утилиту так: TDSSKiller.exe -l report.txt -v

report.txt прикрепите к своему сообщению.

Сделайте такой лог http://virusinfo.info/showpost.php?p=457118&postcount=1

[gennady1964]

смотри...

[thyrex]

Выполните скрипт в AVZ

begin
 QuarantineFile('C:\WINDOWS\system32\drivers\rzalg.sys','');
end.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Удалите в МВАМ

Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Fci (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\synsend (Rootkit.Agent) -> No action taken.
HKEY_CLASSES_ROOT\googletoolbar.google.1 (Trojan.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{fcbccb87-9224-4b8d-b117-f56d924beb18} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{fcbccb87-9224-4b8d-b117-f56d924beb18} (Trojan.BHO) -> No action taken.

Зараженные файлы:
C:\WINDOWS\system32\drivers\rzalg.sys (Backdoor.Rustock) -> No action taken.
C:\WINDOWS\system32\drivers\str.sys (Rootkit.Agent) -> No action taken.

[gennady1964]

Я не совсем понял... выполнил скрипт в avz , в папке qarantine хрень, в папке log нет ничего.

[thyrex]

Новых логов после скрипта для AVZ не должно было получиться.
В МВАМ удалили указанное? Если да, то делайте новый лог МВАМ + сообщите, решена ли проблема

[gennady1964]

Полное сканирование Malwarebytes выполнил и удалил рекомендованые , кроме одного... не выполнено..пишет невозможно...C:\WINDOWS\system32\drivers\rzalg.sys (Backdoor.Rustock) -> No action taken.

[thyrex]

Скачайте "OSAM" (Online Solutions Autorun Manager).
Лог работы утилиты заархивируйте и прикрепите к своему сообщению

[gennady1964]

Не знаю это то или нет...

[thyrex]

Странно. Сделайте лог новый МВАМ