-
Junior Member
- Вес репутации
- 52
Trojan.NtRootKit.9374
Помогите справиться с вирусом. Касперский ничего не находит, Dr.Web CureIt находит вирус Trojan.RootKit.9374 в файле iuxmw.sys в каталоге C:\Windows\System32\Drivers и не может его вылечить (в безопасном режиме его удалось удалить, но при перезапуске система отказалась запускаться - пришлось прибегнуть к загрузке последней успешной конфигурации). Кроме того периодически происходят различные последствия как блокировка диспетчера задач или удаление загрузочных файлов.
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
Скачайте "OSAM" (Online Solutions Autorun Manager). В меню драйверов правой кнопкой по iuxmw и выберите "Turn Run Off", потом подтвердите перезагрузку.
html-лог работы утилиты заархивируйте и прикрепите к своему сообщению
Выполните скрипт в AVZ
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\program files\internet explorer\wmpscfgs.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\iuxmw.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\iuxmw.sys');
DeleteFile('c:\program files\internet explorer\wmpscfgs.exe');
DeleteFileMask('%windir%\Tasks', 'At*.job', true);
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('iuxmw');
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.
Компьютер перезагрузится.
Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы
Сделайте новые логи + лог http://virusinfo.info/showpost.php?p=493610&postcount=1
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 52
После создания логов в AVZ папка Карантин оказалась пустой, поэтому файл iuxmw.sys прислать не могу.
-
1. У этой группы файлов вирус приписал к имени лишние пробелы перед расширением. Переименуйте файлы, убрав лишние пробелы
Код:
<pre>
c:\program files\Alcohol Soft\Alcohol 120\axcmd .exe
c:\program files\ASUS\EPU-4 Engine\fourengine .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr .exe
c:\program files\Download Master\dmaster .exe
c:\windows\pchealth\helpctr\binaries\msconfig .exe
c:\windows\system32\ctfmon .exe
c:\windows\system32\nwiz .exe
c:\windows\system32\rundll32 .exe
</pre>
2. Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
Код:
KillAll::
File::
c:\documents and settings\All Users\mover.bat
c:\program files\22077203.dat
c:\program files\internet explorer\wmpscfgs.exe
Driver::
Folder::
Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}]
"command"="c:\program files\common files\nero\lib\nmindexstoresvr.exe ASO-616B5711-6DAE-4795-A05F-39A1E5104020"
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
"command"="c:\program files\quicktime\qttask.exe -atboottime"
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe_Reader]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\joocooqui]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Run]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\syjoog]
FileLook::
DirLook::
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 52
c:\windows\pchealth\helpctr\binaries\msconfig .exe
c:\windows\system32\ctfmon .exe
c:\windows\system32\rundll32 .exe
такие файлы без пробелов уже существуют
-
Сообщение от
Scholes_Chel
такие файлы без пробелов уже существуют
Размер этих файлов скажите
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 52
msconfig .exe 167 КБ (171*008 байт)
msconfig.exe 167 КБ (171*008 байт)
ctfmon .exe 15,0 КБ (15*360 байт)
ctfmon.exe 15,0 КБ (15*360 байт)
rundll32 .exe 32,5 КБ (33*280 байт)
rundll32.exe 32,5 КБ (33*280 байт)
Добавлено через 1 час 24 минуты
размеры одинаковые.... просто удалить файлы с пробелами в названии?
Последний раз редактировалось Scholes_Chel; 22.07.2010 в 23:37.
Причина: Добавлено
-
Сообщение от
Scholes_Chel
просто удалить файлы с пробелами в названии?
Да
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 52
на этом все? в логах больше ничего?
-
В остальном порядок.
Удалите ComboFix
Установите Acrobat Reader 9.3 или удалите старый
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 52