ntndis.exe & 3 экзешника на рабочем столе

Здравствуйте Уважаемые!

утром при включении компьютера выскочило сообщение об ошибке
"не найден файл по пути C:\windows\system32\driver\ntndis.exe "
и на рабочем столе появились три экзешника 1.exe, 2.exe, 3.exe
свежескачанный CureIt в них ничего не нашел, но они все равно потерты
сообщение об ошибке теперь при каждой загрузке windows,
остались ли еще какие следы вируса кроме записи в реестре о загрузке ntndis.exe
и наверное зря я потер 3 экзешника, выяснить что за зверь был теперь не удастся?

Спасибо

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('Explorer.exe C:\WINDOWS\system32\drivers\ntndis.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ntndis.exe','');
// BC_DeleteFile('C:\WINDOWS\system32\drivers\ntndis.exe');
ExecuteSysClean;
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
end.[/CODE]
После перезагрузки.
Прислать карантин согласно приложения 3 правил .

[QUOTE=PavelA;116039]
После перезагрузки.
Прислать карантин согласно приложения 3 правил .[/QUOTE]
в карантин все что там есть? или только то, что относится к ntndis
там еще 2 файла есть
при выполнении скрипта в AVZ были красные сточки, вроде он не мог получить доступ к ntndis
и в карантине размер ntndis'ов нулевой

[QUOTE=beh01der;116047]в карантин все что там есть? или только то, что относится к ntndis
там еще 2 файла есть
при выполнении скрипта в AVZ были красные сточки, вроде он не мог получить доступ к ntndis
и в карантине размер ntndis'ов нулевой[/QUOTE]
Ошибся я с написанием скрипта. Извиняйте :)
Присылайте то, что попало. Проверим на всякий случай.

Затем:
Загрузиться в Safe Mode ( F8 ).
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
ClearQuarantine();
QuarantineFile('Explorer.exe C:\WINDOWS\system32\drivers\ntndis.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ntndis.exe','');
// BC_DeleteFile('C:\WINDOWS\system32\drivers\ntndis.exe');
end.[/CODE]

Если ntndis.exe найдется в карантине, то прислать.

Можно попробовать поискать руками в AVZ. Если найдется, то прислать.

В логе HJ профиксить строчку, где ntndis.exe присутствует.

[QUOTE=PavelA;116055]Ошибся я с написанием скрипта. Извиняйте :)
Присылайте то, что попало. Проверим на всякий случай.
[/QUOTE]

Файл сохранён как 070615_114508_virus_467243843d044.zip
Размер файла 1335368
MD5 f174ece293a5ee92c08d4bfdd4876374

При выполнении второго скрипта в AVZ были строки:
Ошибка карантина файла "Explorer.exe C:\WINDOWS\system32\drivers\ntndis.exe", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла "Explorer.exe C:\WINDOWS\system32\drivers\ntndis.exe", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла "Explorer.exe C:\WINDOWS\system32\drivers\", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла "C:\WINDOWS\system32\drivers\ntndis.exe", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла "C:\WINDOWS\system32\drivers\ntndis.exe", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка

карантин пустой
пробовал найти ntndis.exe и просто ntndis из AVZ - не находит
они есть на компьютере?

HijackThis профиксил строку с ntndis, ошибри при старте windows теперь нет

То, что в карантине - чистые файлы. Надо искать [b]ntndis.exe[/b]

1. Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\ntndis.exe',);
DeleteFile('C:\WINDOWS\system32\drivers\ntndis.sys',);
DeleteFile('C:\WINDOWS\drivers\ntndis.sys',);
BC_DeleteFile('C:\WINDOWS\system32\drivers\ntndis.exe');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ntndis.sys');
BC_DeleteFile('C:\WINDOWS\drivers\ntndis.sys');
ExecuteSysClean;
BC_Activate;
end.[/code]

[QUOTE=Alex_Goodwin;116076]1. Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\ntndis.exe',);
DeleteFile('C:\WINDOWS\system32\drivers\ntndis.sys',);
DeleteFile('C:\WINDOWS\drivers\ntndis.sys',);
BC_DeleteFile('C:\WINDOWS\system32\drivers\ntndis.exe');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ntndis.sys');
BC_DeleteFile('C:\WINDOWS\drivers\ntndis.sys');
ExecuteSysClean;
BC_Activate;
end.[/code][/QUOTE]

сделал
нужно ли делать с помощью AVZ и HijackThis новые
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
и снова их прикреплять к сообщению, для проверки

Логи новые нужны.

[QUOTE=PavelA;116111]Логи новые нужны.[/QUOTE]
сделано

Установите в АВЗ драйвер мониторинга AVZPM и сделайте новые логи АВЗ.

[QUOTE=Alex_Goodwin;116124]Установите в АВЗ драйвер мониторинга AVZPM и сделайте новые логи АВЗ.[/QUOTE]
включаем драйвер мониторинга, перегружаемся, делаем логи,
потом можно удалить и выгрузить драйвер? я правильно понял?

в карантине те же два файла (которые уже есть в посланном перед этим virus.zip)
>Файл сохранён как 070615_114508_virus_467243843d044.zip
>Размер файла 1335368
>MD5 f174ece293a5ee92c08d4bfdd4876374
с подозрением на AdvWare.Win32.AutoSearch.b, ntndis там нет

Вроде все чисто, если будут какие-то подозрения, пишите в эту тему. Руткит похоже доктор снес. AVZPM можете удалять.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]