Не получаеться удалить BackDoor.Bulknet.188

Printable View

22.05.2008, 16:54
44779

Вложений: 3

Не получаеться удалить BackDoor.Bulknet.188

Добрый день!!!
Не получаеться удалить Бэкдор, он постоянно появляеться под разными именами в C:\WINDOWS\system32\drivers >:(
Пробывал проверить Др.Вэбом в безопасном режиме, кучу Троянов и Бзкдоров удалил а вот этот не хочет. Запускал еще CureIT с CD-R, тоже не помогает. Помогите плиз чем сможете.
22.05.2008, 17:01
44779

SP3 установлю сюда тоже...
22.05.2008, 17:03
Bratez

[quote=44779;230241]SP3 установлю сюда тоже...[/quote]
Это потом, сначала лечение.
22.05.2008, 17:07
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Internet Explorer\PLUGINS\NewTemp.dll','');
QuarantineFile('WinNt32.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Yej16.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Vbg62.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Uaf73.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Msx73.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Jot51.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Hmr27.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Pua62.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Pua62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Hmr27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Jot51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Msx73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Uaf73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Vbg62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Yej16.sys');
DeleteFile('WinNt32.dll');
DeleteFile('C:\Program Files\Internet Explorer\PLUGINS\NewTemp.dll');
DelWinlogonNotifyByKeyName('WinNt32');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Yej16');
BC_DeleteSvc('Vbg62');
BC_DeleteSvc('Uaf73');
BC_DeleteSvc('Msx73');
BC_DeleteSvc('Jot51');
BC_DeleteSvc('Hmr27');
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('Pua62');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=23235[/url] ).

Сделайте новые логи.
22.05.2008, 17:38
44779

Вложений: 2

Файл сохранён как 080522_081647_virus_4835723fb1790.zip
Размер файла 18024
MD5 341189c2ec19f25026959bacb2457f73
22.05.2008, 18:01
PavelA

[url]http://www.wasm.ru/baixado.php?mode=tool&id=392[/url] - скачать.
Запустить, в окне, как в проводнике найти 'C:\WINDOWS\system32\WinNt32.dll',
C:\WINDOWS\system32\Drivers\Vch05.sys, нажать force delete, подтвердить Ок.
Затем повторить скрипт от kps
22.05.2008, 18:05
kps

Павел, видимо, имел ввиду [url=http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip]IceSword[/url].

Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл C:\WINDOWS\system32\Drivers\Vch05.sys и если есть - сначала скопируйте его куда хотите при помощи Copy to..., а потом удалите с помощью force delete (нажмите по нему правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").

Затем выполните [url=http://virusinfo.info/showthread.php?t=7239]скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\Drivers\Vch05.sys');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DelWinlogonNotifyByKeyName('WinNt32');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Vch05');
BC_DeleteSvc('tcpsr');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.
Сделайте новые логи.
22.05.2008, 18:16
44779

Запустить, в окне, как в проводнике найти 'C:\WINDOWS\system32\WinNt32.dll',
C:\WINDOWS\system32\Drivers\Vch05.sys, нажать force delete, подтвердить Ок.

А запускать это в какой програме, а то в RootkitUnhooker окна такого вроде бы нет.
22.05.2008, 18:18
Гриша

В IceSword
22.05.2008, 18:31
44779

Вложений: 2

а вот и логи...
22.05.2008, 18:35
kps

В логах кристально чисто. Какие-то проблемы остались ?
22.05.2008, 18:38
44779

и по "netstat" уже все чисто!!! :D
проблем вроде нет...
сейчас еще Вэбом пройдусь в безопасном режиме...

ОГРОМНОЕ СПАСИБО!!!
ОГРОМНОЕ СПАСИБО!!!
ОГРОМНОЕ СПАСИБО!!!
22.05.2008, 18:40
kps

Если Вы перед удалением скопировали C:\WINDOWS\system32\Drivers\Vch05.sys в IceSword, то хорошо бы его прислать нам в архиве с паролем virus сюда: [url]http://virusinfo.info/upload_virus.php?tid=23235[/url]

Нам интересно [url=http://virusinfo.info/showthread.php?t=19883]Ваше мнение[/url] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
22.05.2008, 18:41
PavelA

Извиняюсь за обшибочку.
22.05.2008, 18:44
44779

Если Вы перед удалением скопировали C:\WINDOWS\system32\Drivers\Vch05.sys в IceSword, то хорошо бы его прислать нам в архиве с паролем virus сюда: [URL]http://virusinfo.info/upload_virus.php?tid=23235[/URL]

К сожалению удалил :(
В следующий раз пришлю...
СПАСИБО!!!
22.02.2009, 05:25
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\winnt32.dll - [B]Trojan-Downloader.Win32.Mutant.yq[/B] (DrWEB: BackDoor.Bulknet.203)[/LIST][/LIST]