Hacktool.Rootkit tcpsr.sys

Hacktool.Rootkit
C:\WINDOWS\system32\drivers\tcpsr.sys

Доброе утро, помогите плиз.
Симантек определяет вирус, но после перегруза, он появляется снова. Нод32 так же не помог.

[url]http://virusinfo.info/showthread.php?t=1235[/url]

хм...вкладывал вложение..

[QUOTE=Пенни;227780]хм...вкладывал вложение..[/QUOTE]Если у Вас проблема с закачкой логов - закачайте их на любой файлообменник и дайте тут ссылку.

[QUOTE=Пенни;227780]хм...вкладывал вложение..[/QUOTE]

посмотрите там [url]http://virusinfo.info/profile.php?do=editattachments[/url]
если есть, удалите, попробуйте ещё раз.
если так и не получиться загрузите туда - [url]http://virusinfo.ifolder.ru/[/url]

спасибо. удалил, залил заново.

жду советов :>

Отключите антивирус и интернет!

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Документы\Settings\arm32.dll (file missing)
O20 - Winlogon Notify: LogCrypt - LogCrypt.dll (file missing)
O20 - Winlogon Notify: ovrscn - ovrscn.dll (file missing)
O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\SYSTEM32\WinNt32.dll
O20 - Winlogon Notify: yvbb01 - yvbb01.dll (file missing)
O20 - Winlogon Notify: yvpp01 - yvpp01.dll (file missing)[/CODE]

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачать[/URL],меню,File,появится аналог проводника,найти:WinNt32.dlll(если будет такой WinNt32.dl_ его тоже удалите),Gmr51.sys,tcpsr.sys,правая кнопка мыши Force Delete.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('yvpp01.dll','');
QuarantineFile('yvbb01.dll','');
QuarantineFile('ovrscn.dll','');
QuarantineFile('LogCrypt.dll','');
QuarantineFile('WinNt32.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\tcpsr.sys',' ');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Rxd73.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Oty73.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Gmr51.sys','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
DeleteService('Gmr51');
DeleteService('Oty73');
DeleteService('Rxd73');
DeleteService('smtpdrv');
DeleteService('tcpsr ', );
DeleteService('runtime2');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Gmr51.sys');
DeleteFile('C:\WINDOWS\system32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Oty73.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxd73.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll');
DeleteFile('WinNt32.dll');
DeleteFile('LogCrypt.dll');
DeleteFile('ovrscn.dll');
DeleteFile('yvbb01.dll');
DeleteFile('yvpp01.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc ('Gmr51');
BC_DeleteSvc ('Oty73');
BC_DeleteSvc ('Rxd73');
BC_DeleteSvc ('smtpdrv');
BC_DeleteSvc ('tcpsr ', );
BC_DeleteSvc('runtime2');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=22941[/url]

Повторите логи.

Пофиксил, Карантин постал. Логи прилагаю :)

вот это C:\WINDOWS\system32\yvbb01.sys найдите и скопируйте по правилам- прислать.

[quote=drongo;227818]вот это C:\WINDOWS\system32\yvbb01.sys найдите и скопируйте по правилам- прислать.[/quote]


простите, а как? если файла уже нет...

[quote=Пенни;227833]простите, а как? если файла уже нет...он ведь был ФорсДелитом убран.[/quote]

жалко, больше так не делайте не прислав нам копию.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Почистить следы:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\yvbb01.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('yvbb01');
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.
[/code]

[quote=drongo;227834]жалко, больше так не делайте не прислав нам копию.[/quote]
а копии чего и когда надо было присылать ?..вроде после первых логов файлы прислать не просили, а после, как я понимаю, они потёрлись в процессе исправлений.

Повторите все логи...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\rxd73.sys - [B]Trojan-Downloader.Win32.Mutant.aim[/B][/LIST][/LIST]