Заражен svchost.exe и ip6fw.sys

[SIZE=3][FONT=Times New Roman][SIZE=3]Здравствуйте.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]У меня стоит Nod. Он все время находит вирусы в папке c:\windows\system32\drivers\[/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman]У них постоянно разные имена. Файл ip6fw.sys при удалении сразу же восстанавливается. [/FONT][/SIZE]
[FONT=Times New Roman][SIZE=3]Программа Ad-Ware постоянно находит какие-то файлы несуществующие и пытается их удалить( audio.dll и video.dll).[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Программа avz находит что с:\windows\system32\drivers\ctl_w32.sys все время перехватывает какие-то функции а svchost.exe и iexplorere.exe имеют замаскированные процессы.[/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman]Причем все время идет обмен с сетью какими то данными. Если отключить svchost.exe (с маскированными процессами то обмен данными прекращается). Высылаю вам логи avz,hijack. [/FONT][/SIZE]
[/SIZE]

пофиксите ...
[code]
F2 - REG:system.ini: UserInit=userinit.exe,C:\WINDOWS\system32\ntos.exe,
O20 - Winlogon Notify: abc32reg - C:\Documents and Settings\All Users\Документы\Settings\a bc32.dll
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\abc32.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Hth85.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Fck46.sys','');
QuarantineFile('C:\DOCUME~1\xp\LOCALS~1\Temp\cportclm.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Chc85.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\runtime.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ctl_w32.sys','');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Chc85.sys');
BC_DeleteFile('C:\DOCUME~1\xp\LOCALS~1\Temp\cportclm.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Fck46.sys');
BC_DeleteFile('C:\WINDOWS\System32\Drivers\Hth85.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Upn02.sys');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\abc32.dll');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('Upn02');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('runtime');
BC_DeleteSvc('Hth85');
BC_DeleteSvc('Fck46');
BC_DeleteSvc('Chc85');
BC_DeleteSvc('cportclm');
BC_DeleteSvc('ip6fw');
BC_DeleteSvc('ctl_w32');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[FONT=Times New Roman][SIZE=3]Спасибо.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Вирус удален. Nod больше не находит вирусной активности. Подозрительной сетевой активности тоже не наблюдается. Но Я вам вышлю логи и архив из карантина avz , на всякий случай. [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]А как вы обнаружили его , и обезвредили. Есть какая-нибуть документация что бы самому можно было разобраться?[/SIZE][/FONT]

пофиксите ...
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O20 - Winlogon Notify: abc32reg - C:\Documents and Settings\All Users\Документы\Settings\a bc32.dll (file missing)
[/code]
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\abc32.dll');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
нужен третий лог .... virusinfo_syscure.zip
virus.zip - карантин к сообщению не присоединяют ... отсылают по ссылке над темой ...

[FONT=Times New Roman][SIZE=3]Извините за файл с карантином. Не разобрался. Выполнил все что написано. Присылаю логи. Мне все таки хочется разобраться как вы определяете что нужно удалять , и как писать скрипты. Есть ли какая-нибуть документация, учебник.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Спасибо [/SIZE][/FONT]

[url]http://z-oleg.com/secur/avz_doc/[/url]
выполните скрипт ...
[code]
begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Rrp76', 'Start');
RebootWindows(true);
end.
[/code]
затем еще один ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\Rrp76.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\Rrp76.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Rrp76');
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи....

Все сделал, но папка с карантином пустая. Нечего слать. Спасибо за адрес. Буду изучать.

Давайте попробуем выполнить вот такой скрипт:
[CODE]begin
SearchRootkit(false, true);
StopService('Qbl31');
SetServiceStart('Qbl31', 4);
DeleteService('Qbl31');
QuarantineFile('C:\WINDOWS\System32\drivers\Qbl31.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\Qbl31.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Qbl31.sys');
BC_DeleteSvc('Qbl31');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта посмотрите - попало ли чего в карантин и если попало, то пришлите по правилам, как это делали выше.

Ну и повторите логи после всего.