Помогите удалить trojan Win32/Rootkit.Agent.ODG

Printable View

22.06.2009, 11:07
Corund

Вложений: 3

Помогите удалить trojan Win32/Rootkit.Agent.ODG

Вчера Eset Smart Security 4.0.437.0 стал показывать Win32/Rootkit.Agent.ODG trojan unable to clean. В результате возникли проблемы с соединением с интернет. После рестарта связь с интернетом совсем пропала. OS Vista SP2.
DR.Web Cureit! удалил в safe mode SKYNETsypulqwt.dll в C:\Windows\System32 и SKYNETnyditfuaiu.tmp в C:\Windows\Temp, но вирус все равно остался
Помогите пожалуйста удалить этот вирус
22.06.2009, 11:12
Rene-gad

Ничего подозрительного в логах.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
+
лог GMER[/b]
22.06.2009, 13:10
Corund

Вложений: 4

Gmer показал, что вся система засорена деятельностью SKYNET
22.06.2009, 13:46
thyrex

Пофиксить в HiJack
[code] R3 - URLSearchHook: (no name) - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} - (no file)
O2 - BHO: (no name) - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} - (no file)
O3 - Toolbar: (no name) - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
[/code]

Сделать новый лог HiJack

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[code]gmer.exe -del service SKYNETovimtcvy
gmer.exe -del file "C:\Windows\system32\drivers\SKYNEThpxfbtsp.sys"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETovcxriil.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETwxecacnp.dat"
gmer.exe -del file "system32\SKYNETsypulqwt.dll"
gmer.exe -del file "system32\SKYNETstfnclhb.dat"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETovimtcvy"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETovimtcvy"
gmer.exe -reboot[/code]И запустите cleanup.bat

Сделать новый лог gmer
22.06.2009, 15:04
Corund

Выдало ошибки при запуске cleanup.bat
An error 0x00000003 occured during the deletion of file "system32\SKYNETsypulqwt.dll"; The system cannot find the path specified.
An error 0x00000003 occured during the deletion of file "system32\SKYNETstfnclhb.dat"; The system cannot find the path specified.
Может быть запустить его в safe mode? Это Vista Premium.
22.06.2009, 16:05
Corund

Вложений: 2

SKYNET не удален
22.06.2009, 16:06
Bratez

Сделайте и запустите bat-ник с таким кодом:
[CODE]gmer.exe -del file "C:\WINDOWS\system32\SKYNETsypulqwt.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETstfnclhb.dat"
gmer.exe -reboot[/CODE]
22.06.2009, 16:34
Corund

Опять та же сама ошибка, а в safe mode
An error 0x00000003 occured during the deletion of file "system32\SKYNETsypulqwt.dll": The specified module could not be found.
An error 0x00000003 occured during the deletion of file "system32\SKYNETstfnclhb.dat": The specified module could not be found.
22.06.2009, 16:41
Wild Spirit

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[CODE]gmer.exe -del reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNETovimtcvy
gmer.exe -del reg HKLM\SYSTEM\ControlSet002\Services\SKYNETovimtcvy
gmer.exe -del service SKYNETovimtcvy
gmer.exe -del file C:\WINDOWS\system32\drivers\SKYNEThpxfbtsp.sys
gmer.exe -del file C:\WINDOWS\system32\SKYNETmrrdsxqw.dat
gmer.exe -del file C:\WINDOWS\system32\SKYNEThoufxkfm.dat
gmer.exe -del file C:\WINDOWS\system32\SKYNEThmubxsop.dll
gmer.exe -del file C:\WINDOWS\system32\SKYNETspmrdppw.dll
gmer.exe -del file C:\Windows\System32\SKYNETdsplbngk.dat
gmer.exe -del file C:\Windows\System32\SKYNETjoemxnwp.dat
gmer.exe -del file C:\Windows\System32\SKYNETlog.dat
gmer.exe -del file C:\Windows\System32\SKYNETsypulqwt.dll
gmer.exe -reboot[/CODE]

И запустите cleanup.bat

Сделайте новый лог GMER.
22.06.2009, 17:30
Corund

Вложений: 1

Сейчас не нашелся файл "C:\Windows\system32\SKYNEThoufxkfm.dat"
22.06.2009, 17:36
Bratez

Такое ощущение, что вы его заново подхватываете откуда-то.
Сейчас напишу очередную итерацию...
22.06.2009, 17:42
Corund

У меня тоже такое ощущение, что они даже плодяться и почему-то некоторые то пропадают, то появляются. Сеть на том компьюторе не работает, видимо заражена.
22.06.2009, 17:50
Bratez

Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Windows\system32\drivers\SKYNEThpxfbtsp.sys','');
QuarantineFile('C:\Windows\system32\SKYNETaqxvedpi.dat','');
QuarantineFile('C:\Windows\system32\SKYNETisuicvyw.dat','');
QuarantineFile('C:\Windows\system32\SKYNETqrswhpim.dll','');
QuarantineFile('C:\Windows\system32\SKYNETxorrmeki.dll','');
QuarantineFile('C:\Windows\System32\SKYNETdcijqmrt.dll','');
QuarantineFile('C:\Windows\System32\SKYNETfrxclxfo.dat','');
QuarantineFile('C:\Windows\System32\SKYNETikndifxo.dll','');
QuarantineFile('C:\Windows\System32\SKYNETtbwvpveo.dll','');
QuarantineFile('C:\Windows\System32\SKYNETtwpeoceg.dll','');
DeleteFile('C:\Windows\system32\drivers\SKYNEThpxfbtsp.sys');
DeleteFile('C:\Windows\system32\SKYNETaqxvedpi.dat');
DeleteFile('C:\Windows\system32\SKYNETisuicvyw.dat');
DeleteFile('C:\Windows\system32\SKYNETqrswhpim.dll');
DeleteFile('C:\Windows\system32\SKYNETxorrmeki.dll');
DeleteFile('C:\Windows\System32\SKYNETdcijqmrt.dll');
DeleteFile('C:\Windows\System32\SKYNETfrxclxfo.dat');
DeleteFile('C:\Windows\System32\SKYNETikndifxo.dll');
DeleteFile('C:\Windows\System32\SKYNETtbwvpveo.dll');
DeleteFile('C:\Windows\System32\SKYNETtwpeoceg.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('SKYNETovimtcvy');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.

Сохраните следующий код в виде файла runme.bat и поместите в папку с gmer:
[code]
gmer.exe -del file "C:\Windows\system32\drivers\SKYNEThpxfbtsp.sys"
gmer.exe -del file "C:\Windows\system32\SKYNETaqxvedpi.dat"
gmer.exe -del file "C:\Windows\system32\SKYNETisuicvyw.dat"
gmer.exe -del file "C:\Windows\system32\SKYNETqrswhpim.dll"
gmer.exe -del file "C:\Windows\system32\SKYNETxorrmeki.dll"
gmer.exe -del file "C:\Windows\System32\SKYNETdcijqmrt.dll"
gmer.exe -del file "C:\Windows\System32\SKYNETfrxclxfo.dat"
gmer.exe -del file "C:\Windows\System32\SKYNETikndifxo.dll"
gmer.exe -del file "C:\Windows\System32\SKYNETtbwvpveo.dll"
gmer.exe -del file "C:\Windows\System32\SKYNETtwpeoceg.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETovimtcvy"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETovimtcvy"
gmer.exe -reboot[/code]
Запустите этот файл.
Компьютер перезагрузится.

Карантин AVZ пришлите согласно приложению 3 правил.
Сделайте новый лог gmer.
22.06.2009, 18:48
Corund

Вложений: 1

Большое спасибо.
Наконец удалился тройян. Его удалил AVZ. Gmer уже ничего, кроме 2-ух последних строк не находил.

Еще раз большое спасибо всем за помощь. Карантин выслан.
На компютере сразу после удаления вируса появилась связь с интернетом
23.06.2009, 03:02
Bratez

Да, теперь чисто.
24.06.2009, 03:02
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]