Извиняюсь, но у меня тоже Непонятный трафик

19/02/2008 робот моего провайдера меня отключил за вирус.
В это время за компом сидела младшая сестра. Работал Agnitum Outpost Firewall Pro ver. 3.51.748.6419.
После продолжительных разбирательств и проверок KAV 6.0.2.614 с последними базами выяснилось, что при подключении к сети через пару минут начинает быстро уходить трафик, в обе стороны, но от меня раза в 2-3 больше. Проверки Касперским с базами от 24.02.2008 ничего не дала. Поставил NOD32 Ver. 2.50.16 с базами ver. 2909 также ничего не дала. Firewall трафик не видит. RootkitRevealer говорит про файлы C:\WINDOWS\system32\drivers\Loq51.sys и C:\WINDOWS\system32\drivers\symavc32.sys от 19.02.2008 соответственно.
Проводник и ТоталКоммандир эти файлы не видят. Посмотрел в Инете это вроде Rootkit.Win32.Agent. Но я думаю здесь еще что-то.
Большинство закрытых служб, закрыты после инфицирования.
OC Windows XP SP2
Логи прилагаются, также отчет RootkitRevealer.
Большая просьба уточнить, что удаляем и закрываем в скрипте. А то удалим что-нибудь нужное.
Заранее благодарен.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\System32\Drivers\Loq51.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\Loq51.sys');
BC_ImportAll;
BC_DeleteSvc('Loq51');
BC_Activate;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(17);
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=18940[/url]

2.Повторить лог virusinfo_syscheck

Карантин вроде выслал. Лог прилогаю. В карантине файлы *Games* наверное после установки Lingvo остались, давно, наверное, вроде не мешали. Еще с сегодняшнего утра комп стал при загрузке, когда KAV включаетяс немного подтормаживать.

[b]Rootkit.Win32.Agent.px[/b] C:\WINDOWS\System32\Drivers\Loq51.sys

Сейчас гляну логи

[size="1"][color="#666686"][B][I]Добавлено через 55 секунд[/I][/B][/color][/size]

Проблемы остались?

А в логах RootkitRevealer, что за symavc32.sys тоже от 19.02.2008

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Сейчас попробую в Инет выйти, отпишу.

В логах symavc32 видно не было... поищите через AVZ: Сервис - Поиск файлов на диске

С Инетом на первый взгляд все в норме, трафик пропал. symavc32.sys AVZ в поиске нашел там где и RootkitRevealer (адрес в начале темы), если надо то файл из карантина могу сейчас выслать.

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи ...

Ок. Щас сделаем, я его после поиска в карантин AVZ поместил . А что в нем сидит?

[size="1"][color="#666686"][B][I]Добавлено через 54 минуты[/I][/B][/color][/size]

Выполнил 2-ой скрипт. Symavc32.sys AVZ уже не нашел.
RootkitRevealer показывает только какие-то строки в реестре от 19.02.2008 Что с ними делать? Новые логи кидаю.

В symavc32? Руткит :)

Логи не закачались, повтор.
Если надо, закину symavc32.sys из карантина?

в логах ничего подозрительного ...

В реестре строчки от 19 февр. можно оставлять?

Если не разбираетесь в реестре, лучше его не трогайте... лишнего зацепите

Хорошо.
Всем большое спасибо за помощь!

Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!

Удачи!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\loq51.sys - [B]Rootkit.Win32.Agent.px[/B] (DrWEB: Trojan.Sentinel)[/LIST][/LIST]