Невозможно вылечить NTRootKit.1070

WinXP, DrWeb
Запускали лечение в safemode - было найдено и вылечено/удалено 77 разновидностей вириев.
После лечения не грузится нормально рабочий стол (только через диспетчер задач)
Теперь Сканер, cureIT, AVZ в режиме лечения подвешивают комп
(синий экран STOP 0x00000007E и проч. бла,бла,бла...) и в safemode тоже

DrWeb Spider Guard после каждой перезагрузки вылечивает Trojan.NtRootKit.1070 в C:\WINXP\System32\drivers\tcpsr.sys
и иногда какие-то даунлоадеры и т.п.

как я сказал скрипт лечения в AVZ не выполняется, так что кладу 2 лога:

Отключите антивирус!

В обычном режиме скачайте [url=http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip]IceSword[/url].
Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файлы
C:\WINXP\system32\Drivers\Kpt72.sys
Brly83.sys
и если есть - удалите с помощью force delete (нажмите по ним правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").

Затем [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
SetAVZGuardStatus(True);
QuarantineFile('swin32.dll','');
QuarantineFile('WinNt32.dll','');
QuarantineFile('C:\WINXP\system32\userinit.exe','');
QuarantineFile('C:\WINXP\system32\drivers\spools.exe','');
QuarantineFile('C:\WINXP\herjek.exe','');
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe','');
QuarantineFile('C:\WINXP\system32\drivers\nkv2.sys','');
QuarantineFile('C:\WINXP\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINXP\System32\Drivers\Qvb26.sys','');
QuarantineFile('C:\WINXP\System32\Drivers\Qva26.sys','');
QuarantineFile('C:\WINXP\System32\Drivers\Dim37.sys','');
QuarantineFile('C:\WINXP\System32\Drivers\Dhl26.sys','');
QuarantineFile('C:\WINXP\System32\Drivers\Kpt72.sys','');
QuarantineFile('C:\WINXP\Offline Web Pages\svchost.exe','');
QuarantineFile('C:\WINXP\system32\Drivers\Kpt72.sys','');
QuarantineFile('Brly83.sys','');
QuarantineFile('C:\WINXP\System32\Drivers\Brly83.sys','');
QuarantineFile('C:\WINXP\system32\swin32.dll','');
QuarantineFile('C:\WINXP\system32\WinNt32.dll','');
QuarantineFile('C:\Documents and Settings\User\Application Data\ie_updates3r.exe','');
DeleteFile('C:\Documents and Settings\User\Application Data\ie_updates3r.exe');
DeleteFile('C:\WINXP\system32\WinNt32.dll');
DeleteFile('C:\WINXP\system32\swin32.dll');
DeleteFile('Brly83.sys');
DeleteFile('C:\WINXP\system32\Drivers\Brly83.sys');
DeleteFile('C:\WINXP\system32\Drivers\Kpt72.sys');
DeleteFile('C:\WINXP\Offline Web Pages\svchost.exe');
DeleteFile('C:\WINXP\System32\Drivers\Kpt72.sys');
DeleteFile('C:\WINXP\System32\Drivers\Dhl26.sys');
DeleteFile('C:\WINXP\System32\Drivers\Dim37.sys');
DeleteFile('C:\WINXP\System32\Drivers\Qva26.sys');
DeleteFile('C:\WINXP\System32\Drivers\Qvb26.sys');
DeleteFile('C:\WINXP\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINXP\system32\drivers\nkv2.sys');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
DeleteFile('C:\WINXP\herjek.exe');
DeleteFile('C:\WINXP\system32\drivers\spools.exe');
DeleteFile('WinNt32.dll');
DeleteFile('swin32.dll');
DelBHO('{FFFFFFFF-85A3-452b-B7A8-759AD9B42162}');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Kpt72');
BC_DeleteSvc('System Scheduler');
BC_DeleteSvc('Google Online Services');
BC_DeleteSvc('Dim37');
BC_DeleteSvc('Dhl26');
BC_DeleteSvc('Qvb26');
BC_DeleteSvc('Qva26');
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('USB2_04');
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(16);
ExecuteRepair(1);
ExecuteRepair(5);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=22801[/url] ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".

Сделайте новые логи. Все 3.

если что.:
Антивирус не выгружаю, просто "отключаю мониторинг"
так что в процессах он есть

Кстати еще: drweb spider guard находит и удаляет постоянно в закачанном интернет контенте Adware.BHO

в IceSword сделал
карантин выслал
скрипт запустил
запустил мастер - в нем ничего серьезного не было, только автозапуск и таймаут на завершение приложений.

пока есть 2 лога
долго делается скрипт лечения AVZ, как закончит выложу еще 1 лог

[QUOTE=KoNst;226595]долго делается скрипт лечения AVZ, как закончит выложу еще 1 лог[/QUOTE]Скрипт лечения выполняется согласно правилам [B]ДО[/B] скрипта сбора информации и лога Хайджека 8)

ОК, дождусь и сделаю как надо.

Достаточно сейчас virusinfo_syscure.zip
Карантин сейчас посмотрю.

Лог

Много свежака поймали. Уже стало почти чисто у Вас.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('Brly83.sys');
DeleteFile('C:\WINXP\System32\Drivers\Brly83.sys');
DeleteFile('C:\WINXP\system32\WinData.cab');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Brly83');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

[url=http://virusinfo.info/showthread.php?t=4491]Пофиксите в HijackThis[/url]:
[code]O20 - Winlogon Notify: WinNt32 - C:\WINXP\[/code]

Вам это знакомо?
[code]O17 - HKLM\System\CCS\Services\Tcpip\..\{0F250D4F-239C-45E1-9B95-64F515FD8256}: NameServer = 85.255.116.115,85.255.112.129
O17 - HKLM\System\CCS\Services\Tcpip\..\{F66191DB-55BB-49D7-AF70-B98385E2A13A}: NameServer = 85.255.116.115,85.255.112.129
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.115 85.255.112.129
O17 - HKLM\System\CS1\Services\Tcpip\..\{0F250D4F-239C-45E1-9B95-64F515FD8256}: NameServer = 85.255.116.115,85.255.112.129
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.115 85.255.112.129
O17 - HKLM\System\CS2\Services\Tcpip\..\{0F250D4F-239C-45E1-9B95-64F515FD8256}: NameServer = 85.255.116.115,85.255.112.129
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.115 85.255.112.129[/code]
Если незнакомо, то тоже пофиксите в HijackThis.

Очистите временные папки и кеш браузера.

Зайдите в AVZ - Сервис - Системные утилиты - SFC проверка системных файлов.
Понадобится установочный диск Windows.

Сделайте новый лог virusinfo_syscure.zip и новый лог hijackthis.log

все сделал, вот логи
к сожалению диска с дистрибутивом WinXP не прихватил, сделаю но не сегодня...

Сканер DrWeb не подвешивает комп и вирусов больше н находит.

Отключите восстановление системы, как написано в правилах (забыли раньше сделать ? ). Потом снова включите. Нужно очистить то, что там хранится.

Проверку системных файлов прогоняли? Меня интересует userinit.exe. Подождем ответ вирлаба по поводу Вашего карантина.

herjek.exe_ - [B]Email-Worm.Win32.Zhelatin.yu[/B]
ie_updates3r.exe_ - [B]Trojan-Downloader.Win32.Winlagons.gy[/B]
nkv2.sys - [B]Rootkit.Win32.Agent.agf[/B]
swin32.dll - [B]Trojan-Downloader.Win32.BHO.gt[/B]
WinNt32.dll - [B]Trojan-Downloader.Win32.Mutant.vt[/B]
Qva26.sys - [B]Trojan-Downloader.Win32.Mutant.wl[/B]

userinit.exe_

Файл поврежден.

Восстановление Windows отключал, но не включал обратно.
AVZ требует только CD для восстановления
Есть возможность в AVZ вручную выбрать путь к дистрибутиву?

Кстати, судя по сообщению пользователя "ГРИША" вирусы обнаружены в карантине - дальше как быть - очистить карантин?

Карантин можете очистить. Это сообщение о том, что у Вас было. Перечисленные зловреды уже удалены (только в карантине остались в виде *.dta файлов). userinit.exe поврежден - советую заменить на чистый.
По поводу восстановления - в логах было написано, что оно включено.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]50[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\user\\application data\\ie_updates3r.exe - [B]Trojan-Downloader.Win32.Winlagons.gy[/B] (DrWEB: Trojan.DownLoader.based)[*] c:\\winxp\\herjek.exe - [B]Email-Worm.Win32.Zhelatin.zt[/B] (DrWEB: Trojan.Spambot.3251)[*] c:\\winxp\\system32\\drivers\\dim37.sys - [B]Trojan-Downloader.Win32.Mutant.wl[/B][*] c:\\winxp\\system32\\drivers\\nkv2.sys - [B]Rootkit.Win32.Agent.agf[/B] (DrWEB: Trojan.NtRootKit.994)[*] c:\\winxp\\system32\\drivers\\qva26.sys - [B]Trojan-Downloader.Win32.Mutant.wl[/B][*] c:\\winxp\\system32\\swin32.dll - [B]Trojan-Downloader.Win32.BHO.gt[/B] (DrWEB: Trojan.DownLoader.60039)[*] c:\\winxp\\system32\\winnt32.dll - [B]Trojan-Downloader.Win32.Mutant.vt[/B] (DrWEB: Trojan.DownLoader.59773)[/LIST][/LIST]