Printable View
Добрый вечер!
У меня система приблизительно через пол часа работы сваливается с синим экраном. Ошибка DRIVER_IRQL_NOT_LESS_OR_EQUAL 0х000000D1 с руганью на runtime.sys (adress F7B816E7 base at F7B81000).
Др. веб находит system32/drivers/ip6fw.sys зараженным BackDoor.Bulknet
После удаления и перезагрузки файл появляется снова.
Что нужно сделать в моем случае?
Спасибо!
Прилагаемые файлы.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\system32\drivers\runtime2.sys');
BC_QrFile('C:\WINDOWS\System32\drivers\runtime.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите". Повторите логи.
Выслать только
startdrv.exe
runtime2.sys
runtime.sys
или все что есть в карантине?
И еще я выполнил второй скрипт который был в теме, но которого уже нет
Второй скрипт убрал за ненадобностью. Присылайте все что есть в карантине по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url].
Закачался архив?
[quote]Закачался архив?[/quote]Да, только я не могу понять почему он такой большой :?
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe[/CODE]
Проблема решена?
P.S.: У Вас установлен антивирус & файрвол? По логам не скажешь...
Скинул все что было.
Установлен др.веб с последними обновлениями. Фаервол - AtGuard. Виндосовский отключен и остановлен.
Профиксил. Перегрузился. На проверке папки вируса не обнаруживает. Сейчас буду работать и смотреть за системой, упадет или нет.
Спасибо!
[code]
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe[/code]
Пофиксить - это здорово, а файлик-то не удалили!
Выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
И еще io.sys какой-то в логах болтается, пришлите пожалуйста согласно приложению 2 правил:
[B]C:\WINDOWS\system32\drivers\io.sys[/B]
[quote]Пофиксить - это здорово, а файлик-то не удалили![/quote]Удалили, просто запись в реестре осталась.
Если startdrv.exe попал в карантин, то он был чистый...
avz00003.dta - [b]Rootkit.Win32.Agent.dp[/b]
bcqr00002.dat - [b]Rootkit.Win32.Agent.ey[/b] (По Kaspersky)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\ip6fw.sys - [B]Rootkit.Win32.Agent.dp[/B] (DrWEB: Trojan.NtRootKit.319)[*] c:\\windows\\temp\\startdrv.exe - [B]Rootkit.Win32.Agent.ey[/B] (DrWEB: BackDoor.Bulknet)[/LIST][/LIST]