Помогите убить runtime2.sys (Trojan.Win32.Agent.jp)

И еще понять на что ругается Касперский в c:\windows\system32\svchost.exe - там какой-то Hidden Object

Кстати, кто бы объяснил, зачем нужны все эти логи? неужели для известного трояна нет станддартного алгоритма ликвидации, который работал бы на любой машине?

выполните скрипт....
[code]
begin
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_DeleteSvc('msupdate');
BC_Activate;
RebootWindows(true);
end.
[/code]
после перезагрузки еще один
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\comrep.dll','');
QuarantineFile('C:\DOCUME~1\serge\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\actcontroller.exe','');
QuarantineFile('C:\WINDOWS\win_kernel.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ewmjolnb.dat','');
QuarantineFile('ewmjolnb.dat','');
QuarantineFile('tablet s','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\actcontroller.exe');
DeleteFile('C:\DOCUME~1\serge\LOCALS~1\Temp\winlogon.exe');
DeleteFile('C:\WINDOWS\system32\comrep.dll');
BC_QrSvc('ewmjolnb');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
повторите логи ...

Карантин с полчаса как выслал

C:\Documents and Settings\serge\Local Settings\Temporary Internet Files\Content.IE5\7WE3BH5I\203[1].exe -TR/Crypt.XPACK.Gen - Trojan
C:\Documents and Settings\serge\Local Settings\Temporary Internet Files\Content.IE5\JP9R00GZ\msntsrv[1].exe Worm/Ntech.R
C:\Program Files\T-FLEX\T-FLEX CAD ST 10\Библиотеки\Служебные\Форматки\Форматка.exe -чистый
C:\Program Files\Windows Embedded\Installer\DISK1\SAMPLES\TUTORIAL\HELLOWORLD.EXE -чистый
C:\Program Files\TortoiseSVN\bin\tortoisesvn.dll -чистый
C:\Program Files\TortoiseSVN\bin\libapr.dll -чистый
C:\Program Files\TortoiseSVN\bin\libaprutil.dll -чистый
C:\Program Files\TortoiseSVN\bin\libdb42.dll-чистый
C:\Program Files\TortoiseSVN\bin\libapriconv.dll-чистый
C:\Program Files\TortoiseSVN\bin\intl.dll-чистый
C:\Program Files\TortoiseSVN\iconv\_tbl_simple.so-чистый
C:\Program Files\TortoiseSVN\iconv\windows-1251.so-чистый
C:\Program Files\TortoiseSVN\iconv\utf-8.so-чистый
C:\Program Files\Battery miser\McIdle.dll-чистый
C:\Program Files\On Screen Display\MgHookDll.dll-чистый

очистите временные интернет файлы ...
отключите антивирус ...
выполните скрипт....

[code]
begin
ClearQuarantine;
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\win_kernel.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ewmjolnb.dat','');
QuarantineFile('ewmjolnb.dat','');
QuarantineFile('tablet s','');
DeleteFile('C:\WINDOWS\system32\comrep.dll');
DelCLSID('6AC0B31E-3C43-4BB7-9010-6001534EB9B1');
BC_QrSvc('ewmjolnb');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...

Отослал. Логи еще раз собирать?

выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\drivers\ewmjolnb.dat');
BC_ImportDeletedList;
BC_DeleteSvc('ewmjolnb');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи....

Я в последнем far забыл закрыть. Это действительно критично - все закрывать? Надо переделывать? Это еще на полчаса

сделайте лог [url]http://virusinfo.info/showthread.php?t=10387[/url]

а что, в логах есть что-то подозрительное?

выполните скрипт....
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('\SystemRoot\System32\drivers\protect.sys','');
QuarantineFile('\??\C:\DOCUME~1\SERGE\LOCALS~1\TEMP\FTMP000K.1E0\PORTMSYS.SYS','');
QuarantineFile('\??\C:\Program Files\coLinux\linux.sys','');
DeleteFile('\SystemRoot\System32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\system32\comrep.dll');
DelCLSID('6AC0B31E-3C43-4BB7-9010-6001534EB9B1');
BC_DeleteSvc('protect');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
повторите логи...

в прошлый раз я, похоже, вместо карантина прислал infected

пофиксите...
[code]
O2 - BHO: (no name) - {7D593456-CE40-4F17-921B-8717A3BBB60E} - (no file)
[/code]
поищите win_kernel.exe припомощи AVZ-сервис-поск файлов на диске.... если найдется пришлите по правилам...

Обнаружил у себя любопытный файл - system32\w32drv3.exe - ничем не ловится, даже как подозрительный, но по дате создания и поведению похож на троян. Oтправляю. А win_kernel не найден.

C:\temp\q\system32\w32drv3.exe [B]Trojan-Dropper.Win32.Microjoin.fx[/B]
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\temp\q\system32\w32drv3.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
сделайте лог hijackthis.log ...

готово

пофиксите ...
[code]
O4 - HKLM\..\Run: [C:\WINDOWS\win_kernel.exe] C:\WINDOWS\win_kernel.exe
[/code]
сделайте лог hijackthis.log ...

вот он

больше не вижу ничего зловредного ...какие-то проблемы остались ?

Подозрительной активности вроде не видно, спасибо огромное. У меня ноут без дисков, и дистрибутива xp tablet нету, переставлять систему я бы удавился.

Пока лечили, комп перестал в спящий режим переходить. С чем это может быть связано, не знаете? Пишет "идет подготовка к переходу в спящий режим" и так и остается на ней. Бегунок уже не появляется. Но это уже не вирус, сам в конце концов разберусь

[URL="http://forum.oszone.net/showthread.php?page=all&t=40762"]тут[/URL] по этой теме есть ссылки ...