BSOD и E:\WINDOWS\system32\drivers\ethhbnrq.sys

[Alex Bookman]

На этом компе в последнее время часто (через раз) стали появляться BSOD'ы:
IRQL_NOT_LESS_OR_EQUAL.

логи прилагаю, поскольку записался в студенты, посмотрел, что можно бы было сделать самому, в подозрительных E:\WINDOWS\system32\drivers\ethhbnrq.sys, т.е.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('E:\WINDOWS\system32\drivers\ethhbnrq.s ys');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_DeleteSvc('ICF');
BC_Activate;
RebootWindows(true);
end.

Может кто еще найдет. Спасибо за помощь заранее.

[polword]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Обязательно!!! Системное восстановление!!! как- посмотреть можно тут
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('E:\WINDOWS\system32\avwa.dll','');
 QuarantineFile('E:\WINDOWS\msauc.exe','');
 QuarantineFile('E:\WINDOWS\system32\drivers\docker19.sys','');
 DeleteService('docker19');
 QuarantineFile('E:\WINDOWS\system32\drivers\ethhbnrq.sys','');
 DeleteService('ethhbnrq');
 QuarantineFile('dwshd.sys','');
 DeleteFile('E:\WINDOWS\system32\drivers\ethhbnrq.sys');
 DeleteFile('E:\WINDOWS\system32\drivers\docker19.sys');
 DeleteFile('E:\WINDOWS\msauc.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','lsass driver');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 BC_DeleteSvc(' ');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- обновите базы AVZ
- Сделайте повторные логи в нормальном режиме по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip; virusinfo_syscheck.zip; hijackthis.log)

[Alex Bookman]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Обязательно!!! Системное восстановление!!! как- посмотреть можно тут
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('E:\WINDOWS\system32\avwa.dll','');
 QuarantineFile('E:\WINDOWS\msauc.exe','');
 QuarantineFile('E:\WINDOWS\system32\drivers\docker19.sys','');
 DeleteService('docker19');
 QuarantineFile('E:\WINDOWS\system32\drivers\ethhbnrq.sys','');
 DeleteService('ethhbnrq');
 QuarantineFile('dwshd.sys','');
 DeleteFile('E:\WINDOWS\system32\drivers\ethhbnrq.sys');
 DeleteFile('E:\WINDOWS\system32\drivers\docker19.sys');
 DeleteFile('E:\WINDOWS\msauc.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','lsass driver');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 BC_DeleteSvc(' ');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- обновите базы AVZ
- Сделайте повторные логи в нормальном режиме по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip; virusinfo_syscheck.zip; hijackthis.log)

Ну, конечно, мы потревожили этот вирус (или троян), что это, но вряд ли вылечили. При норм. загрузке (не в без.режиме), но включил кучу процессов regsrv32 + 3 шт окон cmd. Логи прилагаю.

[Alex Bookman]

Файл сохранён как 100506_141042_quarantine_4be295a2063d0.zip
Размер файла 2846
MD5 67f0af1ec5e3ad301089757c41b6f38d
это карантин.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{0C3F84FD-5EB1-469A-BD83-6961EFE3E77C}');
 QuarantineFile('E:\WINDOWS\system32\avwa.dll','');
 DeleteFile('E:\WINDOWS\system32\avwa.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новые логи

[Alex Bookman]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{0C3F84FD-5EB1-469A-BD83-6961EFE3E77C}');
 QuarantineFile('E:\WINDOWS\system32\avwa.dll','');
 DeleteFile('E:\WINDOWS\system32\avwa.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новые логи

логи прилагаю.

После удаления аввы странностей пока что, вроде бы, нет, хотя комп несколько подтормаживает, по стравнению с тем, что было до.

П.С. вопрос: когда прикладываешь файлы (управление вложениеями), там есть статусбар, который показывает сколько ты загрузил и сколько всего. Так вот, видимо, в сколько загрузил показана не сумма за один последний раз, а за все время. У меня скоро может подойти к лимиту. Что делать? Возможно, нужно удалить предыдущие файлы?

[thyrex]

Возможно, нужно удалить предыдущие файлы?

Да

Чисто

Установите Internet Explorer 8 (даже если им не пользуетесь)
Установите Adobe Acrobat 9.3 или удалите старый

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 10
• В ходе лечения вредоносные программы в карантинах не обнаружены