Неубиваемый oekx.exe

[evggrig]

После вроде бы успешного лечения AVZ и DrWEB был удален файлик C:\Documents and Settings\Admin\Application Data\oekx.exe подменяющий собой диспетчер задач, а также куча файлов с цифровыми именами в темп папках.
Через несколько дней все это добро снова на месте. Прошу помощи в борьбе

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

R3 - URLSearchHook: (no name) -  - (no file)

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 TerminateProcessByName('c:\windows\cfdrive32.exe');
 QuarantineFile('C:\WINDOWS\system32\rserver30\raddrvv3.sys','');
 DeleteFile('C:\RECYCLER\S-1-5-21-4759905386-4967465475-809189922-4904\winmap.exe');
 QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\7ej4201b.sys','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\oekx.exe','');
 QuarantineFile('C:\WINDOWS\system32\38.exe','');
 QuarantineFile('C:\WINDOWS\system32\52.exe','');
 QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 DeleteFile('C:\WINDOWS\system32\52.exe');
 DeleteFile('C:\WINDOWS\system32\38.exe');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\oekx.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи

[evggrig]

Готово

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('C:\RECYCLER\S-1-5-21-4759905386-4967465475-809189922-4904\winmap.exe');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\oekx.exe');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Обновите базы АВЗ

- Повторите логи

[evggrig]

Насколько я понимаю raddrvv3.sys это хвост от убитого RADMIN? Можно ли его грохнуть? Что такое spoz.sys?

[olejah]

Можно ли его грохнуть?

Как пожелаете.

Что такое spoz.sys?

Драйвер программы-эмулятора дисков.

[evggrig]

Странно, но никакой программы-эмулятора дисков в системе нет.
В папке C:\WINDOWS\system32\ нет папки rserver30\raddrvv3.sys Выходит путь остался, а папки нету.
Как лупануть эти хвосты?

[olejah]

Как лупануть эти хвосты?

Вот так -

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteService('raddrvv3');
 DeleteFile('C:\WINDOWS\system32\rserver30\raddrvv3.sys');
 BC_DeleteSvc('raddrvv3');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Сделайте лог ComboFix

[evggrig]

Сори за паузу. Лог ComboFix в аттаче. Судя по логу oekx.exe никуда не делся

[evggrig]

Работа по моему запросу окончена?

[миднайт]

Выполните в AVZ скрипт из файла ScanVuln.txt и приложите к этой теме файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.
Что с проблемой?

[evggrig]

Пока проблем больше не вижу

[polword]

- Удалите ComboFix

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 12
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin\\application data\\oekx.exe - Packed.Win32.Krap.ig ( DrWEB: Trojan.Siggen2.11070, BitDefender: Trojan.Generic.KDV.83251, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )