Запуск драйвера INSTB32.SYS

Беспокоит странная активность некоторых программ.

Сначала обнаружил повторяющееся событие в логах каспера:

09.07.2010 8:46:37 Разрешено: Запуск драйвера Отсутствует Запуск драйвера C:\INSTB32.SYS Запуск драйвера
08.07.2010 0:01:29 Разрешено: Запуск драйвера Отсутствует Запуск драйвера C:\INSTB32.SYS Запуск драйвера
06.07.2010 23:22:49 Разрешено: Запуск драйвера Отсутствует Запуск драйвера C:\INSTB32.SYS Запуск драйвера
05.07.2010 18:22:09 Разрешено: Запуск драйвера Отсутствует Запуск драйвера C:\INSTB32.SYS Запуск драйвера
04.07.2010 11:14:05 Разрешено: Запуск драйвера Отсутствует Запуск драйвера C:\INSTB32.SYS Запуск драйвера
03.07.2010 3:42:24 Разрешено: Запуск драйвера Отсутствует Запуск драйвера C:\INSTB32.SYS Запуск драйвера
01.07.2010 20:17:19 Разрешено: Запуск драйвера Отсутствует Запуск драйвера C:\INSTB32.SYS Запуск драйвера
30.06.2010 9:38:46 Разрешено: Запуск драйвера Отсутствует Запуск драйвера C:\INSTB32.SYS Запуск драйвера
29.06.2010 1:14:15 Разрешено: Запуск драйвера Отсутствует Запуск драйвера C:\INSTB32.SYS Запуск драйвера

(никаких INSTB32.SYS в корне и вообще на дисках нет)

Связать запуск с каким-либо событием не могу. Путем анализа выяснил, что в запуске участвуют C:\WINDOWS\system32\instg32.exe и C:\WINDOWS\system32\instsrv.exe

Подозрение есть на руткит -

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\DOCUME~1\lers\LOCALS~1\Temp\iatmunin.sys','');
DeleteFile('C:\DOCUME~1\lers\LOCALS~1\Temp\iatmunin.sys');
DeleteService('iatmunin');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

Повторите логи + лог [URL="http://virusinfo.info/showthread.php?t=40118"]Гмер[/URL]

Сделано.

Гмер качнуть не могу:
[QUOTE]Вы попытались получить доступ к адресу [url]http://www.gmer.net/download.php[/url], который сейчас недоступен. Убедитесь bla bla bla[/QUOTE]

Качнул Гмер, но он аварийно закрывается...

Антивирус выгружали, закрывается во время проверки?

[QUOTE=Olejah;669046]Антивирус выгружали, закрывается во время проверки?[/QUOTE]
Да, антивирь выгружать пробовал. Гмер начинает сканирование, и через пару секунд вываливается.

Для Вас не сложно будет попробовать такой лог сделать? - [URL="http://virusinfo.info/showthread.php?t=78057"]http://virusinfo.info/showthread.php?t=78057[/URL]

[QUOTE=Olejah;669057]Для Вас не сложно будет попробовать такой лог сделать? - [URL="http://virusinfo.info/showthread.php?t=78057"]http://virusinfo.info/showthread.php?t=78057[/URL][/QUOTE]

Вот.

плиз хелп :(

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\System32\Drivers\sfsync02.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\a6yyimzh.SYS','');
BC_ImportAll;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine2.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

Сделайте ещё раз логи АВЗ, теперь с драйвером расширенного мониторинга, он будет включён после перезагрузки.

сделано

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]