symantec не лечит hacktool.rootkit

Никак не удается извести на Windows Server 2003 hacktool.rootkit.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\documents and settings\Администратор\Администратор.exe');
StopService('systemntmi');
StopService('securentm');
StopService('port135sik');
StopService('nicsk32');
StopService('i386si');
StopService('fips32cup');
StopService('ati64si');
StopService('amd64si');
StopService('acpi32');
QuarantineFile('C:\WINDOWS\system32\drivers\systemntmi.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\securentm.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\port135sik.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\nicsk32.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ksi32sk.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\i386si.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\fips32cup.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ati64si.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\amd64si.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\acpi32.sys','');
QuarantineFile('C:\WINDOWS\system32\mmmcsdos.dll','');
QuarantineFile('c:\documents and settings\Администратор\Администратор.exe','');
DeleteService('systemntmi');
DeleteService('securentm');
DeleteService('port135sik');
DeleteService('nicsk32');
DeleteService('i386si');
DeleteService('fips32cup');
DeleteService('ati64si');
DeleteService('amd64si');
DeleteService('acpi32');
DeleteFile('C:\WINDOWS\system32\drivers\systemntmi.sys');
DeleteFile('C:\WINDOWS\system32\drivers\securentm.sys');
DeleteFile('C:\WINDOWS\system32\drivers\port135sik.sys');
DeleteFile('C:\WINDOWS\system32\drivers\nicsk32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ksi32sk.sys');
DeleteFile('C:\WINDOWS\system32\drivers\i386si.sys');
DeleteFile('C:\WINDOWS\system32\drivers\fips32cup.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ati64si.sys');
DeleteFile('C:\WINDOWS\system32\drivers\amd64si.sys');
DeleteFile('C:\WINDOWS\system32\drivers\acpi32.sys');
DeleteFile('C:\Program Files\AskTBar\bar\1.bin\ASKTBAR.DLL');
DeleteFile('c:\documents and settings\Администратор\Администратор.exe');
DelBHO('{FE063DB1-4EC0-403e-8DD8-394C54984B2C}');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('systemntmi');
BC_DeleteSvc('securentm');
BC_DeleteSvc('port135sik');
BC_DeleteSvc('nicsk32');
BC_DeleteSvc('i386si');
BC_DeleteSvc('fips32cup');
BC_DeleteSvc('ati64si');
BC_DeleteSvc('amd64si');
BC_DeleteSvc('acpi32');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Совсем забыл, что рабочая система установлена на диск D:\ а область сканирования при первом сканировании указал только C:\ :(

Сейчас данные уже по 2-м дискам.

[QUOTE=DeadMachine;383506]Совсем забыл, что рабочая система установлена на диск D:\ [/QUOTE]Так вот и АВЗ нужно запускать именно в этой системе.

Запускал в ней.
Подумал, может и диски еще надо было указать.

[QUOTE=DeadMachine;383509]Запускал в ней. [/QUOTE]Все процессы и службы в логах запущены с диска C:\

Действительно с C:\. Я ошибался на счет диска с установленной системой.

Symantec больше не находит зловреда.

Большое спасибо за помощь!

mmmcsdos.dll пришлите согласно приложению 2 правил...

Закачал.
Сформированное имя файла: 090406_142351_virus_49d9d837b9eeb.zip

Посмотри есть ли этот файл в этой директории:

[CODE]C:\WINDOWS\system32\[/CODE]

есть такой

Запакуйте его с паролем "virus" и пришлите...

Сейчас уже не находим.
Удаленно оператору говорю, что делать (транслирую :)).
Говорит, раньше был, а сейчас уже нет.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Symantec уже ничего не находит зловредного.
Спасибо всем за помощь!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]27[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\администратор\администратор.exe - [B]Trojan.Win32.Agent.byzg[/B][/LIST][/LIST]