Printable View
Подскажите пожалуста, какой зверь родит вирус HackTool.RootKit. При загрузке Win_XP Symantec говорит что обнаружен этот вирус, он обезврежен, файл в директории C:\WINDOWS\system32\DefLib.sys - удален. При сканировании Symant ни чего не находится, cureit - тоже ни чего не находит. После перезагрузки Syma опять выдает тоже самое сообщение. Помогите плиз!
С уважением TEV.
На время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор. Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\makehm.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\VICHW11.SYS','');
QuarantineFile('d:\temp\winlogon.exe','');
DeleteFile('d:\temp\winlogon.exe');
BC_DeleteFile('d:\temp\winlogon.exe');
BC_DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
BC_DeleteSVC('protect');
BC_ImportQuarantineList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, карантин AVZ загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=15686[/url] , как написано в прил.3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url], и сделайте новые логи, начиная с п. 10 правил.
Спасибо за быстрый ответ. Файл Virus.zip выслал. Вот новые Logi.
d:\temp\winlogon.exe - [b]Trojan-Dropper.Win32.Mudrop.fz[/b] (по классификации Касперского)
Один из интересовавших файлов в карантин не попал.
Все-таки, наверное, так: пофиксите с помощью Hijackthis строки: [code]R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,C:\WINDOWS\system32\makehm.exe,
O2 - BHO: COM+ Service - {3C49DDAC-3DA4-4743-AF6C-5974FEAF875C} - (no file)[/code] Повторите логи, начиная с п. 10 правил. Попутно вопрос: программу Radmin сами ставили?
Да Radmina ставил сам в C:\Windows\System32. А где можно почитать что это за гадость [B]Trojan-Dropper.Win32.Mudrop.fz[/B]
[B]С уважением TEV.[/B]
В логах я ничего подозрительного не вижу. Какие-нибудь симптомы заражения остались? Что до зверя, то подробного описания его я не нашел, а, по классификации, дроппер - собственно и осуществляет попытку установки троянского по в систему (по-видимости, того файла, который постоянно находил ваш антивирус).
Добрый день!
Симптомы теже при загрузки Syma выдает C:\WINDOWS\system32\DefLib.sys Hacktool.Rootkit Clean virus from file, где-то сидит гад, я думал через winlogon в temp-ах в Documents and Settings, но там чисто...???
Поищите этот Deflib через AVZ, найдется - пришлите
Scan type: Auto-Protect Scan
Event: Threat Found!
Threat: Hacktool.Rootkit
File: C:\WINDOWS\system32\DefLib.sys
Location: C:\WINDOWS\system32
Computer: NEWTEH
User: Администратор
Action taken: Delete succeeded : Access denied
Date found: 27 декабря 2007 г. 19:27:00
Можно его через защищ. режим грохнуть.
[CODE]begin
Searchrootkit(true,true);
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]
boot_clr.log - приложить сюда.
Добрый день!
Мужики большое спасибо, Syma 27.12.07 похоже ругнулась последний раз, потому что я больше ни чего не делал.
С уважением TEV.
Скрипт всё-таки выполните для пущей уверенности. И давайте новые логи для контроля.
Добрый день!
Я, уже и сам пару раз проверял папку C:\Windows\System32 на наличие этого файла, все чисто. Вот выкладываю Log после последнего скрипта. Всем еще раз большое спасибо и с наступающим Новым Годом :santa:.
С уважением TEV.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\temp\\winlogon.exe - [B]Trojan-Dropper.Win32.Mudrop.fz[/B] (DrWEB: Trojan.Packed.573)[/LIST][/LIST]