Printable View
Из-за драйверов кернелмода не удаётся уничтожить.
Постоянно в автозапуск для винлогона добавляется DLL winctrl32.dll
В списке устройств для работы постоянно появляется WinIp27.sys, удалить ветку реестра с ним не представляется возможным -- при удалении создаётся заново
При попытке добавить права для удаления тут же сбрасываются
если переименовать ветку реестра появляется новая заново.
В safe mode драйвер так же грузится, в связи с чем так же не представляется возможным его уничтожить.
[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте[/URL] находите
C:\WINDOWS\system32\Drivers\Oah25.sys - force delete
C:\WINDOWS\system32\Drivers\Winip27.sys - force delete
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('mickey32');
BC_DeleteSvc('Winip27');
BC_DeleteSvc('WmiApSrvMessenger');
BC_DeleteSvc('WmiApSrvdmadminVSS');
BC_DeleteSvc('SamSsAudioSrv');
BC_DeleteSvc('msupdateFastUserSwitchingCompatibility');
BC_DeleteSvc('LmHostsThemes');
BC_DeleteSvc('LmHostsHTTPFilter');
BC_DeleteSvc('lanmanworkstationWmi');
BC_DeleteSvc('lanmanworkstationSwPrv');
BC_DeleteSvc('ImapiServicehpqcxs08');
BC_DeleteSvc('HTTPFilterNVSvc');
BC_DeleteSvc('dmadminVSS');
BC_DeleteSvc('BITSTlntSvr');
QuarantineFile('srv.exe','');
BC_DeleteSvc('AudioSrvstisvc');
QuarantineFile('C:\WINDOWS\system32\drivers\mickey32.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Winip27.sys','');
QuarantineFile('Oah25.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('Oah25.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Winip27.sys');
DeleteFile('C:\WINDOWS\system32\drivers\mickey32.sys');
DeleteFile('srv.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Winip27.sys');
DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
AutoFixSPI;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
удалил, выполнил. приложены новые логи.
в результате сдохла работа сети на машине.
netstat перестал показывать что бы то нибыло, все адерса пустые
обновление dhcp получает только основной IP, гейтвей и DNS не ставятся.
карантин загружен:
Файл сохранён как 080808_013158_virus_489be85e2183b.zip
Размер файла 138762
MD5 8f7604363d5ef7602848861a8e942512
пофиксите ...
[code]
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
[/code]
больше ничего зловредного ...
настройки сети придется ввести заново ... авз их сбросил на умолчания...
(ну уж если не выйдет , чего не может быть ... вы не отключили восстановление системы во время лечения (там копии зловредов) , можно откатиться и выполнить лечение заново убрав из скрипта AutoFixSPI; и не забыть потом отключить восстановление)
сеть вылечилась полным ребилдом SPI.
СПАСИБО! :) IceSword жжот.
Ну и загаженная же машинка :( nod32 пропустил всё это, блин.
на 3 гига спама накапало, 3 килорубля на траффик.
mickey32.sys - Rootkit.Win32.Qandr.fz,
WinCtrl32.dll - Trojan-Downloader.Win32.Mutant.avk
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\mickey32.sys - [B]Rootkit.Win32.Qandr.fz[/B] (DrWEB: Trojan.Sentinel.111)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.avk[/B] (DrWEB: BackDoor.Bulknet.206)[/LIST][/LIST]