Printable View
При подсоединении к интернету сразу начинает уходить трафик. Файервол показывает, что начинаются обращения к разным ip с системных служб windows (services.exe, svchost.exe). Периодически от файервола появляются предупреждения о bn2.tmp, bn5.tmp файлах из директории Windows/Temp, требующих доступа к процессам. Удаление данных файлов ничего не дает, через какое-то время появляются снова. Могут только не оказывать активности.
Прошу помочь!
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\restore.sys','');
QuarantineFile('C:\WINDOWS\TEMP\BN9.tmp','');
QuarantineFile('C:\WINDOWS\system32\Drivers\NDIS.sys','');
DeleteFile('C:\WINDOWS\TEMP\BN9.tmp');
DeleteFile('C:\WINDOWS\system32\drivers\restore.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=43519[/url]).
закачал карантин.
Первый раз с ошибкой, я извиняюсь. Второй раз полностью согласно правилам.
'C:\WINDOWS\system32\Drivers\NDIS.sys' - Virus.Win32.Protector.a
Необходимо его заменить на чистый из дистрибутива.
использовал команду восстановления системных файлов
Sfc /Scannow
посмотрел, действительно файл NDIS.sys как будто бы изменился (свежая дата модификации), но через некоторое время опять трафик стал уходить по некоторым ip.
Судя по всему это троян Trojan.Neprodoor!inf
ПО его [URL="http://en.securitylab.ru/viruses/369324.php"]описанию, что я нашел[/URL] пытается соединяться как раз с теми адресами,, что там указаны
В описание есть интересная строчка
The infected driver file includes the functionality to protect the infected ndis.sys from being overwritten. It also presents a non-infected image of ndis.sys to applications that attempt to read the infected file.
что я так понимаю означает, что просто перезаписывание не поможет или нужно какое-то особое перезаписывание...
Сделайте полную проверку AVPTool...
AVPTool не помог. Решилось методом апгрейда системы методом перезаписывания файлов через апгрейд Windows (той же версии)
Всем спасибо за помошь!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]21[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\ndis.sys - [B]Virus.Win32.Protector.a[/B] ( DrWEB: Trojan.NtRootKit.2670, BitDefender: Trojan.Kobcka.HN )[/LIST][/LIST]