"Оперативная память - Win32/Rootkit.Agent.ODG троянская программа - очистка невозможна"

Printable View

17.08.2009, 11:24
malish_jo

Вложений: 3

"Оперативная память - Win32/Rootkit.Agent.ODG троянская программа - очистка невозможна"

Добрый день ! Очередной раз таже проблема, антивирус NOD32 4.версия
Самостоятельное написание скриптов результата не дали :(
17.08.2009, 12:24
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\zkitymcfe.sys','');
DeleteService('bsleiuxaju');
QuarantineFile('C:\WINDOWS\System32\zpx2.exe','');
DeleteService('winsecguard');
QuarantineFile('C:\WINDOWS\system32\WinHelp32.exe','');
DeleteService('WinHelp32');
QuarantineFile('C:\WINDOWS\system32\i\J001.exe','');
DeleteService('vrgv');
QuarantineFile('C:\WINDOWS\vtdfhgbfv.exe','');
DeleteService('tdgfv');
QuarantineFile('C:\WINDOWS\system32\i\I001.exe','');
DeleteService('sfrr');
QuarantineFile('C:\WINDOWS\system32\8RD4WGPPU9\C002.exe','');
DeleteService('sfr');
QuarantineFile('C:\WINDOWS\system32\i\E001.exe','');
DeleteService('server this');
QuarantineFile('C:\WINDOWS\system32\i\J002.exe','');
DeleteService('rgt');
QuarantineFile('C:\WINDOWS\cdas.exe','');
DeleteService('dcafd');
QuarantineFile('C:\WINDOWS\dasfd.exe','');
DeleteService('dasf');
QuarantineFile('C:\WINDOWS\clfdle.exe','');
DeleteService('cldos');
QuarantineFile('C:\WINDOWS\clfile.exe','');
QuarantineFile('C:\WINDOWS\vfhyjh.exe','');
DeleteService('gjunj');
DeleteService('fdos');
QuarantineFile('C:\WINDOWS\Fonts\BBBA9E09.EXE','');
DeleteService('F5F2580F');
QuarantineFile('c:\windows\system32\mstcpweb.dll','');
DeleteFile('c:\windows\system32\mstcpweb.dll');
DeleteFile('C:\WINDOWS\Fonts\BBBA9E09.EXE');
DeleteFile('C:\WINDOWS\vfhyjh.exe');
DeleteFile('C:\WINDOWS\clfile.exe');
DeleteFile('C:\WINDOWS\clfdle.exe');
DeleteFile('C:\WINDOWS\dasfd.exe');
DeleteFile('C:\WINDOWS\cdas.exe');
DeleteFile('C:\WINDOWS\system32\i\J002.exe');
DeleteFile('C:\WINDOWS\system32\i\E001.exe');
DeleteFile('C:\WINDOWS\system32\8RD4WGPPU9\C002.exe');
DeleteFile('C:\WINDOWS\system32\i\I001.exe');
DeleteFile('C:\WINDOWS\vtdfhgbfv.exe');
DeleteFile('C:\WINDOWS\system32\i\J001.exe');
DeleteFile('C:\WINDOWS\system32\WinHelp32.exe');
DeleteFile('C:\WINDOWS\System32\zpx2.exe');
DeleteFile('C:\WINDOWS\System32\drivers\zkitymcfe.sys');
DeleteFile('digeste.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
18.08.2009, 10:19
malish_jo

Вложений: 3

Выполнил скрипт, снова сделал логи

ненужные службы и процессы удалилсь, но нод всеравно ругается :(
18.08.2009, 10:21
light59

конечно ругается.
Выполните скритп
[CODE]begin
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]
Сделайте пункт 2 диагностики.
Сделайте [URL="http://virusinfo.info/showthread.php?t=40118"]лог gmer[/URL]
18.08.2009, 11:46
malish_jo

Вложений: 2

высылаю лог пункта 2 и gmer

высылаю лог пункта 2 и gmer
18.08.2009, 12:07
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\vsfocewbspqrnl.sys','');
DeleteFile('c:\windows\system32\drivers\vsfocewbspqrnl.sys');
QuarantineFile('c:\windows\system32\vsfocecbxxtkpm.dll','');
DeleteFile('c:\windows\system32\vsfocecbxxtkpm.dll');
QuarantineFile('c:\windows\system32\vsfocedmtkyfva.dll','');
DeleteFile('c:\windows\system32\vsfocedmtkyfva.dll');
SetServiceStart('PCIDump', 4);
DeleteService('PCIDump');
QuarantineFile('C:\WINDOWS\system32\Drivers\PCIDump.sys','');
QuarantineFile('C:\Program Files\Common Files\Svc.exe','');
DeleteService('WcsSrv');
QuarantineFile('c:\windows\system32\adapweb.dll','');
DeleteFile('C:\Program Files\Common Files\Svc.exe');
DeleteFile('c:\windows\system32\adapweb.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\PCIDump.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[CODE]gmer.exe -del service vsfocelwxwbrpu
gmer.exe -del file "c:\windows\system32\drivers\vsfocewbspqrnl.sys"
gmer.exe -del file "c:\windows\system32\vsfocecbxxtkpm.dll"
gmer.exe -del file "c:\windows\system32\vsfoceukksiqch.dat"
gmer.exe -del file "c:\windows\system32\vsfocedmtkyfva.dll"
gmer.exe -del file "c:\windows\system32\vsfocehyswxnvh.dat"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\vsfocelwxwbrpu"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\vsfocelwxwbrpu"
gmer.exe -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится

Сделать новые логи + новый лог gmer
18.08.2009, 18:21
malish_jo

Вложений: 3

Выполнил скрипты

Выполнил скрипты AVZшный нормально прошел, а выдал ошибку во 2,3,5 строках, не нашел таких файлов.
В карантине ничего нет.
18.08.2009, 18:33
malish_jo

результат

по работе: машина сталагораздо шустрее и визуально работает как положено, НОД молчит теперь, но смущают два процесса: cisvc.exe(Content Index service) и cidaemon.exe(Indexing Services filter daemon)
Что это за процеесы ?
Спасибо большое за вашу помощь,!!!!!!!
18.08.2009, 20:11
thyrex

Эти файлы относятся к Службе индексирования

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\WinSxS\zpx2.exe','');
DeleteFile('C:\WINDOWS\WinSxS\zpx2.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи (лог gmer не нужен)
19.08.2009, 10:35
malish_jo

Вложений: 3

жизнь налаживается

выполнил скриптик, получил карантинчик, и вроде как все чисто :D
19.08.2009, 12:49
Rene-gad

В логах ничего подозрительного. Жалобы есть?

- Прочитайте [URL="http://virusinfo.info/showthread.php?t=30339"]Как не стать завсегдатаем раздела Помогите?[/URL]
[QUOTE]MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
- Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
Перед установкой Сервис Пака необходимо выгрузить [B][COLOR="Red"]все защитные приложения[/COLOR][/B] (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)[/QUOTE]
- Установите IE 8

И объясните себе и нам: зачем пользоваться старым крякнутым антивирусом, когда можно установить новый бесплатный? :)
19.08.2009, 13:36
malish_jo

Спасибо Огромное!!!!

Спасибо большое за помощь!!
Уже купил новый нод 4, жалоб нет все отлично:D
Поставил 3 пак, учту все ваши пожелания .
СПАСИБО!!!!
20.08.2009, 13:36
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\mstcpweb.dll - [B]Trojan.Win32.Agent.ctfa[/B] ( DrWEB: Trojan.Packed.650, BitDefender: Trojan.Packed.Libix.Gen.1, NOD32: Win32/TrojanDownloader.Agent.NTM trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]