Руткит ?

Здравствуйте.
Началось все с отказа запуска Office 2007 (Word, Excel)
Запустить CureIt! и AVPTool не удалось.

Пытался "Блокировать работу Rootkit ..." AVZ зависает.

Уважаемый(ая) [B]Sem0709[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[b]Sem0709[/b], здравствуйте.
Это Вам знакомо? [CODE]C:\Windows\winstart.bat[/CODE]
1. [URL="http://virusinfo.info/showpost.php?p=88804&postcount=1"]Выполните скрипт в AVZ[/URL] ("Файл - Выполнить скрипт" или в англ.версии "File - Custom scripts"). Скопируйте текст кода и вставьте в окно, нажмите "Выполнить (Run)":
[CODE]begin
SearchRootkit(true, true);
ClearQuarantine;
QuarantineFile('C:\Windows\SysWOW64\nvinit.dll','');
QuarantineFile('C:\Windows\System32\relpost.exe','');
QuarantineFile('C:\Windows\system32\qmgr.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
2. После перезагрузки выполните такой скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
3. Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из корня папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы;

[QUOTE]Это Вам знакомо?
[CODE]C:\Windows\winstart.bat
[/CODE]
[/QUOTE]Нет. Но я проверял, батник пустой.


[QUOTE]1. Выполните скрипт в AVZ....
[/QUOTE]
Не выполняется - AVZ зависает.

[quote="Sem0709;852486"]Не выполняется - AVZ зависает.[/quote]
Строку [CODE][B]SearchRootkit(true, true);[/B][/CODE] удалите и попробуйте запустить.

Да, выполнился, НО, в папку карантин ничего не перемешается, сам AVZ пишет что-то про ошибку прямого чтения (это до перезагрузки). После перезагрузки выполняю второй скрипт, создается архив, почему-то winRAR пишет что он поврежден и весит он 1Кб.

Файл через форму сайта не загружается, пишет что файл уже был загружен...

[URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].

Пробовал, не устанавливается. Пишет что-то про доступ к папке "ProgramData".

MBAM в эту папку конфиги должен скопировать, а у него почему-то нет доступа, без них (конфигов) он не запускается. Права на учетке администратора, запускал от администратора - четно.

[quote="Sem0709;852527"]Пишет что-то про доступ к папке "ProgramData".[/quote]
А если правой кнопкой мыши и "запустить от имени администратора"?

Запускал.

Невозможно создать папку...
Ошибка 5: Отказано в доступе...

[URL="http://virusinfo.info/showthread.php?t=49691&p=809065&viewfull=1#post809065"]Сделайте лог RSIT[/URL]

[QUOTE]Сделайте лог RSIT[/QUOTE]

Вот:

[URL="http://support.kaspersky.ru/viruses/solutions?qid=208636926"]Сделайте лог TDSS[/URL]

[QUOTE]Сделайте лог TDSS[/QUOTE]

Вот:

- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].

[QUOTE=Techno;852754]- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].[/QUOTE]

Вот:

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]
KillAll::

File::
c:\windows\system32\E3DA.tmp
c:\windows\system32\F353.tmp
c:\windows\system32\8297.tmp
Driver::
MEMSWEEP2

Folder::

Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\MEMSWEEP2]

FileLook::

DirLook::
Reboot::
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://safezone.cc/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Что с проблемами?

Excel, Word не запускается.
MBAM по прежнему не устанавливается, ошибка та же.

Попытаться ещё раз блокировать Рудкит с помощью AVZ ?

Лог:

[quote="Sem0709;852778"]Попытаться ещё раз блокировать Рудкит с помощью AVZ ?[/quote]
Каким образом и что Вы блокируете с помощью АВЗ?

Наверное это я лишнее ляпнул :)

[QUOTE=Techno;852792]Каким образом и что Вы блокируете с помощью АВЗ?[/QUOTE]

Я имел ввиду опции:
- Блокировать работу Rootkit User-mode
- Блокировать работу Rootkit Kernel-mode

До написания первого поста, их использование приводило к зависанию AVZ.