BackDoor.Bulknet и Trojan.NtRootKit360.

При подключении к интернету SpIDer Guard (базовый антивирус - DrWeb 4.33) выдает: C:\Documents and Settings \Администратор \Local Settings \Temp \734185.exe - инфицирован BackDoor.Bullknet (название файла всегда разное от 6 до 8 цифр, приведено последнее), при попытке удаления выводится: C:\WINNT\system32\drivers\smtpdrv.sys - инфицирован Trojan.NtRootKit360. Не могу избавиться.

профиксите ....
[code]
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\9335~1\LOCALS~1\Temp\svchost.exe
O4 - HKCU\..\Run: [Recoveru systems] C:\DOCUME~1\9335~1\LOCALS~1\Temp\svchast.exe
O20 - Winlogon Notify: rpcc - C:\WINNT\system32\rpcc.dll (file missing)
[/code]
выполните скрипт....
[code]
begin
BC_QrFile('C:\WINNT\Temp\startdrv.exe');
BC_QrFile(':\DOCUME~1\9335~1\LOCALS~1\Temp\svchost.exe');
BC_QrFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\svchast.exe');
BC_QrFile('C:\WINNTY\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINNT\Temp\startdrv.exe');
BC_DeleteFile('C:\WINNT\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\svchast.exe');
BC_DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\svchost.exe');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил....
повторите логи.....

Надеюсь правильно понял, что в третьей строке скрипта пропущена скобка.
Карантин выслал. Логи надо сделать новые или нет?

1. Исправил.
2. Карантин по правилам, новые логи надо.

Не могу выслать новые логи, т.к не могу войти ("не авторизован").

Guard выдал Trojan в папке карантин.

Получилось.
Высылаю новые логи.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINNT\system32\drivers\runtime.sys');
DeleteFile('C:\WINNT\system32\drivers\runtime2.sys');
DeleteFile('C:\WINNT\Temp\startdrv.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Посмотрите это (из вашего лога):
[code]
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Служба удаленного управления реестром)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешены терминальные подключения к данному ПК
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
>> Безопасность: разрешен автоматический вход в систему
[/code]
Если что-то из указанного нужно - сообщите, остальное исправим.

Хотелось бы оставить разрешенным автозапуск программ с CDROM.

Выполните следующий скрипт:
[code]
begin
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','AutoAdminLogon', '0');
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fDenyTSConnections', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('Alerter', 4);
SetServiceStart('Messenger', 4);
SetServiceStart('TlntSvr', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
И сделайте логи еще раз для контроля.

Высылаю логи.

в логах чисто...

Я думаю окончательный этап наведения порядка в моем компе завершен.
Интернет работает нормально без задержек, Microsoft Outlook выполняет подключение к сети, Guard молчит.
Выражаю огромную благодарность всем тем, кто приложил руку к этому сложному делу. Попутного ветра!

Советую работать за компьютером под пользователем с ограниченными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!

Удачи!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]