Подозрение на руткит, недоступны элементы панели управления

Printable View

16.02.2009, 11:01
BorodaMC

Вложений: 2

Подозрение на руткит, недоступны элементы панели управления

Приветствую и прошу помощи.

Система Windows Vista

Симптомы:
Первоначально вирус обнаружил себя в том, что после короткого времени работы (5-10 минут) бесследно вылетали броузер (Avant Browser) и Word, без сообщения о каких-либо ошибках.

Прогнал NODом в обычном режиме - обнаружил wJQs.exe - вычистил. Но проблема осталась. Плюс к тому, обнаружил, что недоступны элементы панели управления (в ней вообще пусто при обычной загрузке), также недоступны свойства компьютера, сети и, соответственно, нет возможности отключить восстановление системы.

Так же при обычной загрузке антивирус AVG находит в папке C:\Windows\System32\Drivers файл с названием вида a2345h23.sys (начинается всегда на "а", число-буквенная комбинация, расширение .sys) с подозрением на руткит. Удаляется только при перезагрузке. Но на его месте появляется другой с другим именем.

В безопасном режиме прогонял CureIt'ом - ничего, прогнал он-лайновым F-Secure - нашел вирус A.exe в папке Avant Browser'а.

Поскольку на данный момент на той машине нет интернета, прилагаю только 2 файла.
16.02.2009, 11:57
PavelA

a2345h23.sys скорее всего от Даемона.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Первое что надо: определиться с а/вирусом. Я увидел АВГ, Симантек, Нод.
Это много, но бесполезно.
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('msansspc.dll','');
DeleteFile('msansspc.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Прислать карантин.
16.02.2009, 12:32
BorodaMC

Что бесполезно - уже вижу(

Скрипт выполнил, но папка с карантином за сегодняшнее число - пуста
16.02.2009, 12:59
PavelA

Лог АВЗ один повторите.
16.02.2009, 13:19
BorodaMC

Нужен avz_log.txt или еще раз запустить скрипт сбора информации?
16.02.2009, 13:20
PavelA

Скрипт сбора запустите.
16.02.2009, 13:35
BorodaMC

Вложений: 1

Прогнал скрипт сбора.
Архив прикрепляю.
16.02.2009, 17:17
light59

в AVZ
[code]
Begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]
Сообщите, что с проблемами.
Оставить только один АВ, остальные деинсталлируйте.
16.02.2009, 18:40
BorodaMC

Прибил Symantec и NOD, оставил AVG.

Скрипт выполнил, но по прежнему недоступны элементы панели управления, свойства (по правому клику) сети и "компьютера", в папке "пользователи" - недоступна папка "Default User", а также в папке текущего пользователя - "Application Data", "Cookies", "Главное меню" и т.п.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

В папке текущего пользователя наблюдаю следущие файлы:

ntuser.dat{203b15f4-b59a-11dd-b704-00a0d170200e}.TM.blf
ntuser.dat{203b15f4-b59a-11dd-b704-00a0d170200e}.TMContainer00000000000000000001.regtrans-ms
ntuser.dat{203b15f4-b59a-11dd-b704-00a0d170200e}.TMContainer00000000000000000002.regtrans-ms

Безопасны или можно прибить?