Win32/TrojanDownloader.VB.OXW в MBR 0

[seezamm]

Поймал Win32/TrojanDownloader.VB.OXW в MBR 0. Пришлось воспользоваться на свой страх и риск Combofix -ом. Вируса уже нет, а запреты в системе некоторые остались. Например я не могу убрать из автозагрузки некоторые элементы (например, ali.exe) т.к. у меня под администратором не хватает прав. Подскажите, что еще можно предпринять?

[thyrex]

Сделайте лог gmer

[seezamm]

Gmer действительно ругается, что ROOTKIT модифицирован .

[Bratez]

Выполните скрипт в AVZ:

Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer; 
KeyList : TStringList;
KeyName : string;                           
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
 begin
 KeyName := AName+'\'+KeyList[i];
 RegKeyResetSecurity(ARoot, KeyName);
 RegKeyResetSecurityEx(ARoot, KeyName);
 end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
 i : integer;
 KeyList : TStringList;
 KeyName : string;                           
begin
 Result := 0;
 if StopService(AServiceName) then Result := Result or 1;
 if DeleteService(AServiceName,  not(AIsSvcHosted)) then Result := Result or 2;
 KeyList := TStringList.Create;
 RegKeyEnumKey('HKLM','SYSTEM', KeyList);
 for i := 0 to KeyList.Count-1 do
  if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
   KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;                                     
   if RegKeyExistsEx('HKLM', KeyName) then begin
    Result := Result or 4;                  
    RegKeyResetSecurityEx('HKLM', KeyName);
    RegKeyDel('HKLM', KeyName);
    if RegKeyExistsEx('HKLM', KeyName) then               
     Result := Result or 8;                  
   end;
  end;                 
 if AIsSvcHosted then
  BC_DeleteSvcReg(AServiceName)
 else
  BC_DeleteSvc(AServiceName);
 KeyList.Free;
end;
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\gqgqq.dll','');
DeleteFile('C:\WINDOWS\System32\gqgqq.dll');
BC_ImportALL;
ExecuteSysClean;
BC_ServiceKill('qktqx');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=96241).

Сделайте новый лог gmer.

[seezamm]

Карантин отправил. Повторные лог GMER -а сделал.
С виду системе вроде бы гораздо лучше, но прав на изменение списка автозагрузки пока нет.

[Bratez]

Выполните скрипт в AVZ:

begin
ExecuteRepair(6);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true); 
end.

Компьютер перезагрузится.
Сделайте новые логи согласно п.2 и 3 раздела Диагностика.

[seezamm]

С правами пока те же проблемы.

[Bratez]

Удалите Combofix.

Пофиксите в HijackThis:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [qQ] C:\WINDOWS\ali.exe
O4 - HKLM\..\Run: [combofix] C:\ComboFix\CF14770.cfxxe /c C:\ComboFix\Combobatch.bat

Больше ничего плохого не видно.

[seezamm]

Данные ключи не удаляются в HijackThis. Т.е. он говорит, что успешно удалил. После чего делаешь повторное сканирование, а они все на месте.
Сombofix удалил.

[Bratez]

Смотрите разрешения на ключ Run в реестре.

[seezamm]

Ключ RUN в реестре нашел, но изменения также запрещены. Самое любопытное, что в реестре напрочь отсутствует ключ SOFTWARE\Microsoft\Windows\CurrentVersion\policies \.
Может попытаться отредактировать реестр используя загрузку с другого носителя?

[Bratez]

Ключ RUN в реестре нашел, но изменения также запрещены.

А изменить разрешения не пробовали?

[seezamm]

Спасибо, это похоже были последние грабли. Действительно разрешения на эту ветку отсутствовали. Автозагрузку почистил.
СПАСИБО!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены