Невозможно избавиться от BackDoor.Bulknet.55

ждем реакции вирлаба .... на winlogon.exe ... по вирустотал он чист... но...
вот и есть ответ [B]он чистый[/B]....

А рекомендации по удалению этих ключей
O20 - Winlogon Notify: 1_32bean32_1reg - C:\WINDOWS\
O20 - Winlogon Notify: rpcc - C:\WINDOWS\
вы делали?

[QUOTE]Выделяю нажимаю Fix и ничего[/QUOTE]
Выделяю - это как? Надо галочку ставить ;)

Конечно ставил галочки

повторите лог Hijack ....

Пробовал фиксить и в Защищенном режиме. Эти две строчки остаются

странно ... давайте так...
выполните скрипт...
[code]
begin
DelWinlogonNotifyByKeyName('1_32bean32_1reg');
DelWinlogonNotifyByKeyName('rpcc');
end.
[/code]

[quote=OlegXON;129958]Пробовал фиксить и в Защищенном режиме. [/quote]если скрипт V_Bonda не сработает - попробуйте этим танком повоевать: [URL]http://virusinfo.info/showthread.php?p=129964[/URL]
ЭДИТ: И Java RE обязательно обновите, актуальная версия [B]1.6.0.02[/B]

Скрипт не помог. С программой не разобрался. Опять в корне диска С появился левый экзешник, надо было прислать, но я удалил. Экзешки всегда с разными именами

раз так, давайте заново логи ..... наверно что-то мы упускаем ....

Что-то нашлось

выполните скрипт ....
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил....

Выполнил скрипт
Закачал карантин

C:\WINDOWS\System32\DRIVERS\smtpdrv.sys Email-Worm.Win32.Agent.I
C:\WINDOWS\system32\ntos.exe Trojan-Spy.Win32.Bancos.afh
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи.....

Логи

в логах чисто ... попробуйте выполнить скрипт из поста 47 ....

Все равно не пофиксились две строкм 020

у вас есть установочный диск ? думаю стоит попробовать заменить winlogon ...

[B]OlegXON[/B], а мои рекомендации по поводу удаление данных строк вы выполняли?
[url]http://www.virusinfo.info/showpost.php?p=129550&postcount=33[/url]

Еще раз выполнил это в Сейф моде. Выслал карантин.

Что еще можно сделать

вот ...
[QUOTE=V_Bond;130015]у вас есть установочный диск ? думаю стоит попробовать заменить winlogon ...[/QUOTE]

Пробовал через Msconfig не получилось. Нашел какой-то на диске и пробовал скопировать - не получилось. Причем размеры одинаковые, что на винте, что на диске

нужно так .... [URL="http://support.microsoft.com/kb/307654/ru"]войти в консоль восстановления[/URL] там в командной строке набрать
copy d:\1386\winlogon.ex_ c:\windows\system32\winlogon.exe /y
[B]d:\[/B] вместо d буква вашего компакта .....(может быть другой )
потом перезагрузка ....

copy g:\I386\winlogon.ex_ c:\windows\system32\winlogon.exe /y
Процесс не может получить доступ к файлу, так как этот файл занят другим процессом.
Скопировано файлов: 0.

это в консоли восстановления так ?

Это в коммандной строке

ну так и будет... все верно ... нужно войти [B]в консоль восстановления[/B]

А понял. С установочного диска запуститься

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

А как запустить без диска, т.е. как переписать консоль на винт?

там в ссылке все расписано ... если будут вопросы поможем ... :)

Ок. Сделаю. Отпишусь

[size="1"][color="#666686"][B][I]Добавлено через 18 минут[/I][/B][/color][/size]

Winlogon скопировал. Если нужны логи - сделаю завтра

[size="1"][color="#666686"][B][I]Добавлено через 34 минуты[/I][/B][/color][/size]

На диске С появился левый экзешник. Может мне его прислать? Как это лучше сделать?

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[FONT=Arial][SIZE=1]Тип[/SIZE][/FONT][FONT=Arial][SIZE=1]Файла[/SIZE][/FONT][FONT=Arial][SIZE=1]: [/SIZE][/FONT][FONT=Arial][SIZE=1]Приложение Описание[/SIZE][/FONT][FONT=Arial][SIZE=1]: hzul
[/SIZE][/FONT][FONT=Arial][SIZE=1]Размещение[/SIZE][/FONT][FONT=Arial][SIZE=1]: ^^^^^^^^^^^ [/SIZE][/FONT][FONT=Arial][SIZE=1]Размер[/SIZE][/FONT][FONT=Arial][SIZE=1]: 94 [/SIZE][/FONT][FONT=Arial][SIZE=1]байт[/SIZE][/FONT][FONT=Arial][SIZE=1] (94 [/SIZE][/FONT][FONT=Arial][SIZE=1]байт[/SIZE][/FONT][FONT=Arial][SIZE=1])
[/SIZE][/FONT][FONT=Arial][SIZE=1]Н[/SIZE][/FONT][FONT=Arial][SIZE=1]а[/SIZE][/FONT][FONT=Arial][SIZE=1]диске[/SIZE][/FONT][FONT=Arial][SIZE=1]: 9,00 [/SIZE][/FONT][FONT=Arial][SIZE=1]КБ[/SIZE][/FONT][FONT=Arial][SIZE=1] (9192 [/SIZE][/FONT][FONT=Arial][SIZE=1]байт[/SIZE][/FONT][FONT=Arial][SIZE=1]]
[/SIZE][/FONT][FONT=Arial][SIZE=1]30 августа[/SIZE][/FONT][FONT=Arial][SIZE=1] 2007 [/SIZE][/FONT][FONT=Arial][SIZE=1]г[/SIZE][/FONT][FONT=Arial][SIZE=1]., 0:09:59 30 [/SIZE][/FONT][FONT=Arial][SIZE=1]августа[/SIZE][/FONT][FONT=Arial][SIZE=1] 2007 [/SIZE][/FONT][FONT=Arial][SIZE=1]г[/SIZE][/FONT][FONT=Arial][SIZE=1]., 0:10:00 30 [/SIZE][/FONT][FONT=Arial][SIZE=1]августа[/SIZE][/FONT][FONT=Arial][SIZE=1] 2007 [/SIZE][/FONT][FONT=Arial][SIZE=1]г[/SIZE][/FONT][FONT=Arial][SIZE=1].[/SIZE][/FONT]
[FONT=Arial][FONT=Verdana]А это если открыть его в текстовом редакторе[/FONT][/FONT]
[FONT=Arial]<!-- SHTML Wrapper - 500 Server Error -->
[an error occurred while processing this directive]

[/FONT]

Поместите его в zip архив,установите пароль "virus" и пришлите по ссылке
[url]http://virusinfo.info/showthread.php?t=1235[/url]

Отправил файл.
Проверял ДрВебом. Словил еще одного зверя
КВ18912794.exe C:\WIND0WS\system32 Trojan.Spambot.2400
Вечером сделаю логи

Новые логи. Посмотрите пожалуйста.

присланный файл чистый..... сейчас посмотрю логи ...

Отлично

Winlogon - заменился....
выполните скрипт ...
[code]
begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\tscupgrd.exe','');
DelWinlogonNotifyByKeyName('1_32bean32_1reg');
DelWinlogonNotifyByKeyName('rpcc');
BC_ImportQuarantineList
end.
[/code]
пришлите карантин согласно приложения 3 правил ....

[SIZE=2]Выполнен карантин файла C:\WINDOWS\system32\tscupgrd.exe
Скрипт выполнился, а карантина нет
[/SIZE]

лог хайджек повторите ...

Сделал