startdrv.exe MulDrop.9300

Доброго времени суток! Заранее извиняюсь если дублирую тему, но в каждом случае могут быть свои нюансы.
Вкратце о проблеме:
Drweb постоянно ,блокирует один файл, затем обнаруживает С:\WINDOWS\Temp\startdrv.exe предлагает лечить, но не лечит, потом удалить, но в итоге, после перезагрузки все повторяется.
c:\windows\temp\startdrv.exe Drweb определяет как MulDrop.9300

1AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]
begin
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\runtime.sys');
BC_QrFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys');
BC_QrFile('C:\WINDOWS\system32\DRIVERS\spooldr.exe');
BC_QrFile('C:\WINDOWS\spooldr.exe');
BC_QrFile('C:\WINDOWS\system32\ctfmon.exe');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\runtime.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_Activate;
RebootWindows(true);
end.[/code]
2.Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=13111[/url]
3. в безопасном режиме : [url]http://virusinfo.info/showthread.php?t=10387[/url]

[size="1"][color="#666686"][B][I]Добавлено через 21 минуту[/I][/B][/color][/size]

Ждёмс ;)

[quote=drongo;141228]1AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
Done
2.Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=13111[/URL]
Done
3. в безопасном режиме : [URL]http://virusinfo.info/showthread.php?t=10387[/URL]
Done

[SIZE=1][COLOR=#666686][/COLOR][/SIZE]

вот эту парочку пришлите, можно по пункту 2 правил:
[code]
begin
QuarantineFile('C:\fwdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\CDAC15BA.SYS','');

end.[/code]

[B]C:\WINDOWS\Temp\startdrv.exe[/B]-Из автозагрузки надо убрать(можно даже в авз)

Выполнить:
[CODE]begin
Clearquarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\fwdrv.sys','');
BC_DeleteFile('C:\fwdrv.sys');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить если что-то попадет в карантин.

[QUOTE]Troj/Mailbot-CG
Признаки
При старте копирует себя в корневую директорию под именем fwdrv.sys; регистрирует этот файл как системный сервис с автоматическим запуском.

Создаёт запись о сервисе в разделе реестра:
HKLM\SYSTEM\CurrentControlSet\Services\fwdrv.sys

Псевдонимы: SpamTool.Win32.Agent.u, Spam-Xarvester.trojan, Spammer.Win32/Agent.U.

[/QUOTE]
Источник:[url]http://safe.cnews.ru/bugtrack/entry/index.shtml?malicious/2007/08/16/103492[/url]

[quote=drongo;141251]вот эту парочку пришлите, можно по пункту 2 правил:
[code]
begin
QuarantineFile('C:\fwdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\CDAC15BA.SYS','');

end.[/code]
Done, файлы выслал на п3 (на всяк случ)
[B]C:\WINDOWS\Temp\startdrv.exe[/B]-Из автозагрузки надо убрать(можно даже в авз)[/quote]
убрал в АВЗ

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[quote=PavelA;141255]Выполнить:
[code]begin
Clearquarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\fwdrv.sys','');
BC_DeleteFile('C:\fwdrv.sys');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code]
[/quote]
выполнил, в карантине вроду нулевые файлы

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Теперь попытаюсь заново посмотреть как ведет себя Drweb.. по результатам отпишусь...

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

проверил, система чистая, drweb вирус больше не обнаруживает.
Мужики, большое всем спасибо...!!!
Будете на Украине, заходите, с меня пиво...
:)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]