Wigon.S

Здравствуйте!
Вот ссылка на предыдущую тему:
[URL]http://virusinfo.info/showthread.php?t=24089[/URL]

Теперь прилагаю файлы со второго инфицированного компа.

Заранее благодарен!

PS Программу АйсСворд пока скачать не пполуается, также как и закончить лечение на 1м компе, т.е. об эффективности метода судить немогу.

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]скачайте [/URL], C:\WINDOWS\System32\Drivers\Rwc84.sys - force delete
пофиксите ...
[code]
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\SYSTEM32\WinNt32.dll
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('Lrw73');
BC_DeleteSvc('Rwc84');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('Rwc84.sys','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rwc84.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

Новые логи:
(чтоб я сам не запутался, комп Антона)

В IсeSword сделайте вот этим файлам:WinNt32.dll,tcpsr.sys-Force Delete на запрос о перезагрузке ответьте положительно.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Sye16');
DeleteService('Rxd16');
DeleteService('tcpsr');
DeleteService('Din05');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Din05.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxd16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Sye16.sys');
DeleteFile('WinNt32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Sye16 ');
BC_DeleteSvc('Rxd16 ');
BC_DeleteSvc('tcpsr ');
BC_DeleteSvc('Din05 ');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи.

WinNt32.dll - Trojan-Downloader.Win32.Mutant.adh

новые логи

пофиксите ...
[code]
O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
[/code]
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_DeleteSvc('Wingm40');
BC_DeleteSvc('Wdi27');
BC_DeleteSvc('Uaf73');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Uaf73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wdi27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wingm40.sys');
DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
end.
[/code]
повторите логи ...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\winnt32.dll - [B]Trojan-Downloader.Win32.Mutant.adh[/B] (DrWEB: BackDoor.Bulknet.206)[/LIST][/LIST]