Невідомий руткит кіс 2009 з загузочного диска його не бачить

Доброго вечора :rolleyes:
КІС 2009 постійно вибиває обнаружено IrpTableChanget
avz також показує перехоплення
svchost.exe по логам кіс
18.12.2008 2 мб загрузки
19.12.2008 4 мб загрузки (з IP гугла перед тим хотів установити хрома, але я відмінив загузку після того як на нього каспер почав бочитись. Проте загрузка продовжувалась поки IP не вніс в хост) але проблеми почались до цього
кіс 2009 з загузочного диска його не бачить
загузочий диск доктора веба якщо не рохувати 2 вірусів з мого архіва мовчанка
CureIt в безпечному режимі також
в файлi host
[url]http://go.microsoft.com[/url] перекидка на Localhost

Наперед дякую вам за допомогу

Выложите лог Gmer

Кіс постійно вибиває ( можливо не в тему )
21.12.2008 2:08:48 TCP от 222.177.8.81 на локальный порт 135 Отсутствует Обнаружено: Intrusion.Win.DCOM.exploit
21.12.2008 2:05:40 UDP от 61.153.180.10 на локальный порт 1434 Отсутствует Обнаружено: Intrusion.Win.MSSQL.worm.Helkern
лог робиться зараз скину при скануванні avz i Gmer вибиває цікаве повідомлення "C:\$Mft файл или каталог поврежден и не может бить прочитан запустите службу CHKDSK " а зверху повідомлення про програму типа AVZ.EXE чи Gmer.exe
таке уточнення (через редирект сайта майкросовта в хості) скачались якісь обновления до віндовса і вони вже встановились як їх відмінити (адже можливо це й не майкросовтівська а віруса) ситема постійно просить перезагрузки

[url]http://gmer.net/gmer.zip[/url]
[QUOTE]21.12.2008 2:08:48 TCP от 222.177.8.81 на локальный порт 135 Отсутствует Обнаружено: Intrusion.Win.DCOM.exploit
21.12.2008 2:05:40 UDP от 61.153.180.10 на локальный порт 1434 Отсутствует Обнаружено: Intrusion.Win.MSSQL.worm.Helkern[/QUOTE]
Intrusion.Win.MSSQL.worm.Helkern - не страшно ,если не стоит MSSQL
Intrusion.Win.DCOM.exploit - после лечения поставить все патчи на windows и это тоже будет не страшно, впрочм если блокирует, то тоже не страшно. Если мешает, отключите уведомление.

лог по адресі
/////
сюди чомусь не вставляєть
Лог я зробив правильно?

[COLOR="Red"]Выложите на нормальный, бесплатный обменник![/COLOR]

1. Выполните скрипт: [CODE]begin
ClearQuarantine;
SetAVZPMStatus(true );
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\Winta30.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
2. Хост сами правили?
3. Пофиксить [CODE] R3 - URLSearchHook: (no name) - - (no file)
[/CODE]
4. Карантин по правилам, после перезагрузки новые логи по правилам, начиная с пункта 2.

розібрався лог залив
Alex_Goodwin дякую іду викоувати скрипти host вже поправив сам
питання щодо обновлень віндовса не заю як з ними бути адже після перезагрузки вони втуплять в дію

карантину немає авз показує ошибку прямого чтения і перехоплення те ж саме що і в логах. Що робити може попробувати зробити загрузочний диск з авз і каспером та попробувати з нього?
перехоплення irp залишилося
тепер при новому скануванні авз вибиває внизу повідомлення не лиш на C:\$Mft а й на якись файл з антивірусних баз каспера повідомлення в панелі швидкого запуку (там де годинник)"C:\$Mft файл или каталог поврежден и не может бить прочитан запустите службу CHKDSK"

В карантин файл попал? Если нет, тогда попробуйте его Гмером скопировать или в безопасном режиме скриптом..

карантин пустий лише *.ini файли що в звичайному режимі що в безпечному результат один через Gmer файла не видно в любих режимах
після 3 спроби карантину в безпечому режимі зобив лог прошу
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
Ошибка обмена с драйвером [00000002] - [1]
1.4 Поиск маскировки процессов и драйверов
Поиск маскировки процессов и драйверов завершен
Драйвер успешно загружен
Ошибка обмена с драйвером [00000002] - [1]
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\System32\Drivers\Winta30.sys)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\System32\Drivers\Winta30.sys)
Карантин с использованием прямого чтения - ошибка
які ваші дальші рекомендації

[size="1"][color="#666686"][B][I]Добавлено через 1 час 2 минуты[/I][/B][/color][/size]

svchost.exe відкриті порти 135, 123, 1900,
(21.12.2008 2:08:48 TCP от 222.177.8.81 на локальный порт 135 Отсутствует Обнаружено: Intrusion.Win.DCOM.exploit)
може ця зараза Intrusion.Win.DCOM.exploit

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 46 минут[/I][/B][/color][/size]

з реєстру якщо удаляти через авз всі записи з winta30.sys після перезагрузки вони знову появляються

питання якщо переставити ось форматуючи лише системний розділ чи залишиться дана зараза

Допоможіть не знаю як з цею заразою боротись

[B]suord[/B], чуть выше написано - "Форум на русском языке".
Я к примеру, не понимаю, что вы пишите, и соответственно, помочь вам не смогу. И не я один.

Обновите базы АВЗ, повторите все логи.
[SIZE="1"]ПС: Якщо Ви маєте проблеми з російською мовою - в нас англійський розділ.[/SIZE]

И так, 1 - удалите даемонд тулз - мешает очень
2. Переименуйте sfcfiles.dll что в system32 и скопируйте туда sfcfiles.dll из dllcache. После ребутнитесь.

Здравствуйте!
Прошу еще раз помочь с проблемой
новие логи

Вы выполнили мои рекоммендации?
Повторите лог гмера.

Alex_Goodwin здрасти
логи готовлю на прошлиє внимания не обращать

при работе гмера постоянно появляется в трее гмера "C:\$Mft файл или каталог поврежден и не может бить прочитан запустите службу CHKDSK "
даемонд тулз удалил перезагрузился но в логах гмера она осталась
dll поминял
логи gmera и авз
сечас стало не возможним запустить на проверку каспера вроде работаєт но минут через 5 проверка останавливаєтся в логах єсть того что проверка запущена загрузочний диск зделать не возможно ошибка при копировании баз - ани повреждени

Выполните скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\DRIVERS\Winta30.sys');
BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\Winta30.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

виполнил
авз тоже?

по авз тоже что и било реузультата нет