Помогите удалить BackDoor.Tdss.565

Printable View

27.05.2010, 00:21
NoMen

Помогите удалить BackDoor.Tdss.565

Avira Antivir Personal который является резидентным антивирусом нашел следующие вирусы
DR/PCK.TDSS.Z.1450
TR/PCK.TDSS.Z.5312
TR/Small.58783.B
и якобы удалил их...
Но Agnitum Outpost Free ругался на попытку запуска процесса svchost.exe из %WINDIR%\TEMP\tadb.tmp\ (последняя папка всегда разная)

Прочитал инструкцию... перезагрузился запустил Dr.Web CureIt!
пишет обезврежен BackDoor.Tdss.565 в svchost pid такойто(в памяти нашел)
Больше ничего не находит ни на диске C: ни на других дисках в папках System Volume Information, Recyled
но если его запустить повторно то опять его обезвредит

И теперь вот так постоянно только вот файрвол ругается только при наличии подключения к интернету а папки сами по себе создаются сети
Надеюсь на помощь...
27.05.2010, 00:52
Aleksandra

Попробуйте пролечиться этим CureIt [url]http://beta.drweb.com/files/?p=%2Fcureit&unreg=t[/url]
28.05.2010, 01:02
NoMen

[B]Aleksandra[/B], доктор веб отсюда [url]http://beta.drweb.com/files/?p=%2Fcureit&unreg=t[/url] несмотря на новую систему подавления не справился.
Сделал загрузочный DrWeb LiveCD долго боролся с глюками но все же запустил. Он нашел этот вирус в %WINDIR%\system32\drivers\pci.sys.
Обидно то что но на все основные папки в системе сделаны md5 по файлам и totalcmd не отличил его 8(

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

P.S. Я еще не уверен что это все поэтому до завтра прошу тему не закрывать 8)
28.05.2010, 01:11
Aleksandra

[QUOTE=NoMen;645037]Он нашел этот вирус в %WINDIR%\system32\drivers\pci.sys[/QUOTE]
Он пролечил этот драйвер?

[QUOTE=NoMen;645037]Обидно то что но на все основные папки в системе сделаны md5 по файлам и totalcmd не отличил его 8([/QUOTE]
И никогда не отличит...

[QUOTE=NoMen;645037]P.S. Я еще не уверен что это все поэтому до завтра прошу тему не закрывать 8)[/QUOTE]
Для этого сделайте такой лог [url]http://virusinfo.info/showthread.php?t=78057[/url] в режиме ordinary.
28.05.2010, 01:32
NoMen

Загрузил...
А почему не отличит? Он перехватывает обращение к файлу или же после загрузки на свое место записывает оригинальный файл?
28.05.2010, 01:44
NoMen

пролечил... но дату и md5 ему поменял...

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

и еще я забыл выгрузить драйвер расширенного мониторинга от avz :-[
28.05.2010, 02:00
Aleksandra

Dr.Web пролечил зараженный дров. В логах антируткита аномалий не увидела.

[QUOTE=NoMen;645051]А почему не отличит? Он перехватывает обращение к файлу[/QUOTE]
Угу.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=NoMen;645052]пролечил... но дату и md5 ему поменял...[/QUOTE]
Все правильно. Если это Вас смущает, то можете заменить пролеченный дров на оригинальный из дистрибутива.

[QUOTE=NoMen;645052]и еще я забыл выгрузить драйвер расширенного мониторинга от avz :-[[/QUOTE]

Для этого выполните скрипт в AVZ:

[CODE]begin
SetAVZPMStatus(false);
ExecuteStdScr(6);
RebootWindows(true);
end. [/CODE]
28.05.2010, 02:05
NoMen

Вроде плюсики здесь ставить некуда поэтому просто: Большое спасибо! 8)
PS Жаль что прямо обращения перехватывают... поумнели... раньше помню шаманили с внезапным вытыканием вилки из розетки %)
28.05.2010, 02:18
Aleksandra

[QUOTE=NoMen;645058]Вроде плюсики здесь ставить некуда поэтому просто: Большое спасибо! 8)[/QUOTE]
Не стоит благодарить. Я ничего сверхъестественного не сделала.

[B]p. s.[/B] Если надумаете заменить драйвер на оригинальный, то можете для себя сделать новый лог антируткита. Файл C:\WINDOWS\System32\Drivers\pci.sys пройдет по базе безопасных и будет отображаться в логе зеленым цветом.