Спасите компьютер от вирусов

Спасите компьютер от вирусов
На сервере найден вредоносный файл reader_s.exe, его удалить удалось, но комп не запускает большинство сервисов, в частности блокирована работа с локальной сетью

Закачал карантин
Файл сохранён как 090211_122039_virusinfo_cure_49929867a5c42.zip
Размер файла 134685
MD5 ab3bf6cb7667457aea2b33000528a20b

reader_sl.exe- это от Adobe Reader...

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\SystemRoot\System32\Drivers\RDPWD.SYS','');
QuarantineFile('C:\Documents and Settings\d.korchagin\driver.sys','');
DelBHO('{469C7F34-476F-43A4-A8EC-39FFB42D4EB9}');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\jgnlib.dll','');
DeleteFile('C:\Documents and Settings\All Users\Application Data\jgnlib.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
BC_QrSvc('botdrv');
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...

reader_s.exe без буквы L, при поиске по инету новый вирь типа trojan.win32.invader или как-то так
файл №1 в присланом выше карантине syscure.zip

SystemRoot\System32\Drivers\RDPWD.SYS - драйвер подписаный майкрософтом, видимо заражен

Делайте скрипт, затем новые логи...

Сделал

Файл сохранён как 090211_131025_virusinfo_cure_4992a41124a70.zip
Размер файла 337995
MD5 2549c9ceb9fc96e2389074f79dea0b5f

RDPWD.SYS-это нормальный файл..

Пришлите этот файл driver.sys согласно приложению 2 правил...

[quote=Гриша;347782]
Пришлите этот файл driver.sys согласно приложению 2 правил...[/quote]
Не могу прислать карантин, так как AVZ дает ошибку
при поиске файловыми менеджерами, этого файла нет
есть записи в реестре...

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('botdrv');
DeleteFile('C:\Documents and Settings\d.korchagin\driver.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('botdrv');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите пункт 2 диагностики...

мне очень не нравится такая подозрительная старока в логе
C:\Documents and Settings\d.korchagin\WINDOWS\system32\smss.exe Подозрение на RootKit

Насколько это нормально ?

Это нормально для серверной ОС, в логе чисто...

Что чисто это хорошо, но какая сволочь не зает зарускать сервис WorkStation...

Так проверьтесь [url]http://www.kaspersky.ru/support/wks6mp3/error?qid=208636215[/url]

KidoKiller ничего не нашел...

В system32\drivers посмотрите файл ndis.sys. Если такой окажется - пришлите согласно правилам. Если такого не будет - нужно будет восстановить его с диска установки ОС.

Файл отсутствует...
версия винды 5.2.3790 при подсовывании файла ndis.sys такой же версии, сервис workstation запускается до перезагрузки, после этого винда уходит в постоянный ребут
на форуме была ссылка на файл версии 5.1.2600 но эффект тот же...

При загрузке windows нажмите F8 и выберите "отключить автоматическую перезагрузку при отказе системы". Затем, как система упадет в BSOD будет создан минидамп (%SystemRoot%\Minidump) - его прикрепите к теме в архиве.
Также попробуйте загрузится с последней удачной конфигурации или в безопасном режиме. BSOD также наблюдается?

Спасибо уже всё решили, после накатывания поверх Win2003 с SP2 начали работать большая часть сервисов, но остались проблемы с NetLogon
после ресета TCP/IP и WinSocks проблемы ушли

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\all users\application data\jgnlib.dll - [B]Trojan-Ransom.Win32.Hexzone.agg[/B][*] c:\windows\services.exe - [B]Email-Worm.Win32.Joleee.gq[/B] (DrWEB: Trojan.Spambot.3531)[*] c:\windows\system32\reader_s.exe - [B]Trojan-Downloader.Win32.FraudLoad.dlv[/B] (DrWEB: Trojan.Packed.2352)[/LIST][/LIST]