ip6fw.sys и smtpdrv.sys (Agent.NBT червь)

Здравствуйте!
На компе стоит Windows XP, антивирус - NOD 32 с последними базами.
При каждой загрузке системы, нод сообщает о двух вирусах -
c:\Windows\System32\drivers\ip6fw.sys
и
c:\Windows\System32\drivers\smtpdrv.sys (Agent.NBT червь)
а также о
c:\Document and Setting\...\Local Setting\Temp\418892.exe (цифры в названии могут быть и другие)
НОД каждый раз их удаляет, но при перезагрузке они возникают заново.
Выполгил инструкцию с этого сайта.
cureit.exe нашёл теже вирусы и удалил их. При перезагрузке вирусы вылезли снова.
Прикрепляю логи от avz4 и HiJackThis

[B]virusinfo_cure.zip [/B] -уберите из темы ...
профиксите...
[code]
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
[/code]
выполните скрипт..
[code]
begin
BC_QrFile('C:\WINDOWS\system32\topserver.bat');
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ... повторите логи..

[code]
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
[/code]
Я правильно понимаю - нужно убрать из ветки реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run строку, загружающюю C:\WINDOWS\Temp\startdrv.exe ? Проверил эту ветку, такой строки нет.

[QUOTE='Tsubasa;132721']Я правильно понимаю - нужно убрать из ветки реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run строку, загружающюю C:\WINDOWS\Temp\startdrv.exe ? Проверил эту ветку, такой строки нет.[/QUOTE]
[url]http://virusinfo.info/showthread.php?t=4491[/url]

Ок. Запустил HijackThis, но он тоже не нашёл startdrv.exe, хотя в первом логе startdrv.exe есть. Прилагаю свежий лог.
Запустил на avz указанный скрипт. Выдаёт ошибку "';' expected в позиции 2:12".

а так попробовать?
[code]begin
BC_QrFile('C:\WINDOWS\system32\topserver.bat');
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_Activate;
ExecuteRepair(12);
RebootWindows(true);
end.[/code]

Выполнил. После перезагрузки НОД молчит. Завтра всё протестирую ещё раз (сегодня уже времени нет), но кажется зараза изгнана. [b]Спасибо огромное![/b]

повторите логи, и будем знать точно....

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

да и карантин хотелось бы увидеть...

Сделал новые логи.
Карантин, к сожалению прислать не могу - НОД его удалил при сканировании.

пофиксите ...
[code]
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
[/code]
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\topserver.bat','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...

Пофиксил.
Выполнил скрипт. После перезагрузки просканировал.

Вот карантин.

[[color=#CC0000]moderated - карантин нужно присылать в соответствии с приложением 3 правил[/color]]

уберите карантин из темы....
в логах чисто ...

'C:\WINDOWS\system32\topserver.bat' - не страшная
Но карантин здесь совсем не нужен.

Прислал карантин так, как указано в правилах, но он кажется не прислался из-за неправильной ссылки на тему (я случайно дал ссылку не на тему, а на последний пост).
Второй раз загружать не стал, по причине, указанной в правилах.

В логах чисто.
Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL])"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить,[URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!

Удачи!