synsenddrv.sys - инфицирован Trojan.NtRootKit.1653

Printable View

17.02.2010, 11:49
Andy.L

synsenddrv.sys - инфицирован Trojan.NtRootKit.1653

DrWeb постоянно выдает предупреждение
[QUOTE]C:\WINDOWS\system32\drivers\synsenddrv.sys - инфицирован Trojan.NtRootKit.1653[/QUOTE]
Через некоторое время, после попытки удалить (в диалоговом окне DrWeb), антивирус снова выдает это предупреждение.
Проверял в безопасном режиме, вирусов не найдено. При этом процесс System жрет большую часть ЦП, а если отключить сеть, то все вроде бы становится в порядке.
Подскажите, пожалуйста, как это излечить.
Спасибо.
17.02.2010, 12:00
polword

акройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\dwprot.sys','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

После перезагрузки:
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

вот это
[QUOTE]Windows XP SP2
Internet Explorer v7.00[/QUOTE]
- надо срочно обновлять

Необходимо поставить:
- SP2 обновить до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
- все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)

- Установить [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
17.02.2010, 12:01
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('eaisnnxyb.sys','');
DeleteService('eaisnnxyb');
QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
DeleteService('synsend');
QuarantineFile('C:\Documents and Settings\ONLYair\Application Data\Dropbox\bin\DropboxExt.13.dll','');
DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
DeleteFile('eaisnnxyb.sys');
BC_ImportAll;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
17.02.2010, 14:25
Andy.L

в карантин попали только вот эти файлы
[QUOTE]Src=C:\WINDOWS\system32\drivers\dwprot.sys
Src=C:\Documents and Settings\ONLYair\Application Data\Dropbox\bin\DropboxExt.13.dll[/QUOTE]
вот это DropboxExt.13.dll "хорошая" программа и ее перехватчики не несут вреда, вроде бы ...
на файлы
[QUOTE]eaisnnxyb.sys
C:\WINDOWS\system32\drivers\synsenddrv.sys[/QUOTE]
avz ругается
[QUOTE]Ошибка карантина файла, попытка прямого чтения (eaisnnxyb.sys)
Карантин с использованием прямого чтения - ошибка

Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\drivers\synsenddrv.sys)
Карантин с использованием прямого чтения - ошибка[/QUOTE]
после перезагрузки synsenddrv.sys снова появляется и при подключении к инету DrWeb ругается

повторять логи и отправлять карантин при этих ошибках?
17.02.2010, 14:28
Шапельский Александр

[QUOTE='Andy.L;587700']повторять логи и отправлять карантин при этих ошибках?[/QUOTE] Да
17.02.2010, 15:19
Andy.L

Вложений: 2

выполнил
17.02.2010, 15:39
Шапельский Александр

Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
DeleteService('synsend');
StopService('synsend');
SetServiceStart('synsend', 4);
QuarantineFile('eaisnnxyb.sys','');
DeleteService('eaisnnxyb');
StopService('eaisnnxyb');
SetServiceStart('eaisnnxyb', 4);
QuarantineFile('00000681.sys','');
DeleteFile('00000681.sys');
DeleteFile('eaisnnxyb.sys');
DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
ExecuteWizard('PRT', 2, 2, true);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Сделайте лог MBAM
17.02.2010, 15:58
Andy.L

сорри, а что такое лог MBAM?
17.02.2010, 16:16
Шапельский Александр

[QUOTE=Andy.L;587771]сорри, а что такое лог MBAM?[/QUOTE]
[URL="http://virusinfo.info/showthread.php?t=53070"]http://virusinfo.info/showthread.php?t=53070[/URL]
17.02.2010, 16:46
Andy.L

сделал
upd: забыл про MBAM ... сейчас сделаю
17.02.2010, 17:13
Andy.L

лог MBAM
17.02.2010, 17:31
Шапельский Александр

Удалите в MBAM
[CODE]Заражено ключей реестра:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\synsend (Trojan.Agent) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.

Заражено значений реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.

C:\WINDOWS\system32\drivers\str.sys (Rootkit.Agent) -> No action taken.[/CODE]
Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\ONLYair\Application Data\Dropbox\bin\DropboxExt.13.dll','');
QuarantineFile('eaisnnxyb.sys','');
SetServiceStart('eaisnnxyb', 4);
DeleteService('eaisnnxyb');
StopService('eaisnnxyb');
QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
StopService('synsend');
DeleteService('synsend');
SetServiceStart('synsend', 4);
DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
DeleteFile('eaisnnxyb.sys');
BC_DeleteFile('eaisnnxyb.sys');
DeleteFile('C:\Documents and Settings\ONLYair\Application Data\Dropbox\bin\DropboxExt.13.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Сделайте лог MBAM.
17.02.2010, 19:11
Andy.L

в MBAM удалил ... avz в карантин ничего не положил (там ошибки про "прямой доступ"), антивирус все также выдает предупреждение + комп стал ооочень долго перезагружаться, т.е.нажимаешь Перезагрузка и ждешь минут 5
17.02.2010, 20:10
Шапельский Александр

Сделайте лог MBAM и лог Gmer
18.02.2010, 20:10
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]