qqd.sys убивает win 2003 за 3 секунды

На виндоус 2003 завёлся qqd.sys, вызывающий синий экран со ссылкой на него через 3 секунды.
По этой причине ни один из 3х логов в системе win 2003 сделать не удалось.
Но на всякий случай я поместил здесь логи сделанные в системе Win XP установленной на этом же компьютере.
Файлы
C:\WINDOWS\system32\simp_dll.dll
и
C:\qqd.sys
на компьютере присутствуют и при удалении появляются снова.

\WINDOWS\system32\ntoskrnl.exe при проверке касперским считается не заражённым.

Файл C:\WINDOWS\system32\svshost.dll на компьютере отсутствует.

[QUOTE=Fixer;128941]Н
Но на всякий случай я поместил здесь логи сделанные в системе Win XP установленной на этом же компьютере.
[/QUOTE]
это не поможет .... нужны логи 2003 ... Hiack тоже не выходит ? логи АVZ попробуйте в сафе моде ....

@Fixer
давайте так попробуем: BartPE у Вас есть? Если нет - сделайте по ссылке с McAfee-Plagin ом : [URL="http://www.nu2.nu/pebuilder/"]Bart's Preinstalled Environment (BartPE) bootable live windows CD/DVD[/URL] , убейте главного зверя, который блокирует запуск. После этого попробуйте сделать логи и дайте на них взглянуть.

Rene-gad

Я ничего не успеваю сделать в обычном режиме: система виснет (

Вот логи из сэйф моде:

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SetAVZGuardStatus(True);
QuarantineFile('C:\qqd.sys','');
QuarantineFile('c:\documents and settings\администратор\local settings\temp\~vis0000\fsg_4104.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll','');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll');
DeleteFile('c:\documents and settings\администратор\local settings\temp\~vis0000\fsg_4104.exe');
DeleteFile('C:\qqd.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11860[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)[/CODE]

Повторите логи,думаю уже получиться из нормального режима,если не выйдет, то сделайте дополнительный лог из безопасного режима, как сказано тут
[url]http://virusinfo.info/showthread.php?t=10387[/url]

[B]simp_dll.dll[/B] - хорошо умеет лечить касперский,можно как вариант деинсталировать нод32 и установить 30 дневную версию касперского,обновить базы и произвести проверку.
И ещё вопрос,вы делали полную проверку утилитой CureIt?

[quote=Fixer;128972]
Я ничего не успеваю сделать в обычном режиме: система виснет[/quote]да я понял ;) . Вы должны грузить систему с BartPE, т.е. положить CD в драйв и перегрузиться. Если и в этом случае не стартует - тогда проблема в железе.

Muzzle

Вроде бы всё работает.
CureIt не проверял, т.к. был взволнован 1й вирусной атакой на Windows используемой для работы.

Rene-gad

Ок, буду иметь в виду )

Логи надо сделать еще разок для проверки.

Ок. Похоже не прикрепились.

Профиксить в HijackThis:

O20 - Winlogon Notify: arm32reg - C:\WINDOWS\

Выполните такой скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\SYSTEM32\dimsntfy.dll','');
QuarantineFile('C:\Documents and Settings\Администратор\Рабочий стол\Anthill.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите новый карантин по правилам.

Логи пока не сделал, но есть вопрос: у меня 2003 работает как отдельный компьютер. Какой AVP нужно на него установить ([URL]http://www.kaspersky.ru/anti-virus_windows_server[/URL] ?) и есть ли его 30 дневная версия (для этого антивируса я найте её не нашёл)?

[QUOTE]Логи пока не сделал[/QUOTE]
Логи пока не надо, нужен карантин после скрипта.
Загружать через эту страницу:
[url]http://virusinfo.info/upload_virus.php?tid=11860[/url]

[quote=Fixer;129221]Логи пока не сделал, но есть вопрос: у меня 2003 работает как отдельный компьютер. Какой AVP нужно на него установить ([URL]http://www.kaspersky.ru/anti-virus_windows_server[/URL] ?) и есть ли его 30 дневная версия (для этого антивируса я найте её не нашёл)?[/quote]
а [B]simp_dll.dll [/B]то и не видать больше ;) убили мы гада,поэтому касперского можно уже не ставить,а триальные версии можно скачать тут [url]http://www.kaspersky.ru/trials_business[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\qqd.sys - [B]Rootkit.Win32.Agent.ey[/B] (DrWEB: Trojan.NtRootKit.354)[/LIST][/LIST]