Trojan.NtRootKit.312 в deflib.sys

При проверке DrWeb удаляет Trojan.NtRootKit.312 из файла DefLib.sys, затем находит снова.
Если что сделали не так, прошу извинить, так как объяснял все действия по аське не очень опытному пользователю.

Файл virusinfo_syscheck создать не получилось. При выполнении соответствующего скрипта комп перезагружается:?
Заранее спасибо

Прикреплять надо htm-файл. В xml разбираться трудно.

Сделайте лог вот такой: [url]http://virusinfo.info/showthread.php?t=10387[/url]

Вложил файл со старыми логами virusinfo_syscure.zip (с htm файлом)
файл avz_sysinfo с теми логами которые просили

Лог первый все равно не тот, опять xml-файл.

Выполнить скрипт в Safe Mode:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\??\E:\WINDOWS\system32\drivers\symavc32.sys','');
DeleteFile('E:\DOCUME~1\8548~1\LOCALS~1\Temp\winlogon.exe');
DeleteFile('\??\E:\WINDOWS\system32\drivers\symavc32.sys');
DeleteFile('e:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('e:\windows\system32\svchost.exe:ext.exe');
DeleteFile('E:\WINDOWS\system32\DefLib.sys');
BC_QrSvc('symavc32');
BC_Delete('symavc32');
BC_Delete('DefLib');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

загрузить карантин через ссылку вверху темы.

Как не тот? Проверил еще раз. В первом файле xml и htm, во втором только htm. Других у меня нет.

Если надо пришлю еще раз прямо сейчас
При проверке приведенного вами скрипта выдается ошибка: необъявленный идентификатор BC_Delete в позиции 11:10

Исправленный скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\??\E:\WINDOWS\system32\drivers\symavc32.sys','');
DeleteFile('E:\DOCUME~1\8548~1\LOCALS~1\Temp\winlogon.exe');
DeleteFile('\??\E:\WINDOWS\system32\drivers\symavc32.sys');
DeleteFile('e:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('e:\windows\system32\svchost.exe:ext.exe');
DeleteFile('E:\WINDOWS\system32\DefLib.sys');
BC_QrSvc('symavc32');
BC_DeleteSvc('symavc32');
BC_DeleteSvc('DefLib');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

И еще один вдогонку:
[code]
begin
BC_QrSvc('asc355O');
BC_DeleteSvc('asc355O');
BC_Activate;
RebootWindows(true);
end.[/code]
После этого шлите карантин и делайте новые логи.

Все сделали

пофиксите...
[code]
O20 - Winlogon Notify: botreg - E:\WINDOWS\
[/code]
выполните скрипт...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('\SystemRoot\system32\DRIVERS\tcpip.sys','');
QuarantineFile('E:\WINDOWS\system32\khooker.exe','');
QuarantineFile('E:\WINDOWS\system32\sistray.EXE','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...

Сделайте лог [url]http://virusinfo.info/showthread.php?t=10387[/url]

Вот лог, карантин отправил

E:\WINDOWS\system32\DRIVERS\tcpip.sys чистый ...
E:\WINDOWS\system32\sistray.EXE
выполните скрипт ...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('E:\WINDOWS\system32\DRIVERS\Gbu47.sys','');
QuarantineFile('Gbu47.sys','');
BC_QrSvc('Gbu47.sys');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....

Карантин отправил

выполните скрипт ...
[code]
begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Gbu47', 'Start');
RebootWindows(true);
end.
[/code]
еще один ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('E:\WINDOWS\system32\DRIVERS\Gbu47.sys');
BC_DeleteSvc('Gbu47');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
Сделайте лог [url]http://virusinfo.info/showthread.php?t=10387[/url]

Вот лог безопасного режима.

В вышеприведенном скрипте строку
DeleteFile('E:\WINDOWS\system32\DRIVERS\Gbu47.sys','');
исправил на
DeleteFile('E:\WINDOWS\system32\DRIVERS\Gbu47.sys');
Надеюсь не ошибся:)

сделайте логи по правилам ... что бы убедиться ,что все чисто ...

Новые логи

не вижу ничего подозрительного ...
что из этого используете.. ?
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Комп используется в организации. Я сам лично доступа к нему не имею, поэтому могу описать лишь приблизительно.
На данный момент вся сеть состоит из двух пользовательских компьютеров. Выход в инет с обоих через спутник и телефон.

Из указанных служб не думаю, что какая-то используется.
Доступ к локальным дискам и доступ анонимного пользователя наверное все-таки следует оставить.

тогда так...
выполните скрипт...
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.
[/code]

Сделали. Большое всем спасибо за оказанную помощь!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]