Printable View
При проверке AVZ в safe mode получаю:
C:\WINDOWS\system32\drivers\_sv_.sy >>>>> Rootkit.Win32.Agent.br успешно удален.
Однако при повторном лечении все повторяется.
Symantec однозначно определяет:
Event: Threat Found!
Threat: Hacktool.Rootkit
File: C:\WINDOWS\system32\drivers\_sv_.sy
Location: C:\WINDOWS\system32\drivers
Однако и он ничего сделать не может. Ребут ничего не дает. Восстановление дисков отключено.
Замучился, помогите пожалуйста!
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\sysconf.exe','');
QuarantineFile('C:\WINDOWS\system32\_sv_.exe','');
QuarantineFile('c:\windows\vm_sti.exe','');
QuarantineFile('c:\windows\vm303_sti.exe','');
DeleteFile('C:\WINDOWS\system32\_sv_.exe');
DeleteFile('C:\WINDOWS\system32\sysconf.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sysconf.exe
O23 - Service: Remote Administration Services (_sv_) - Unknown owner - C:\WINDOWS\system32\_sv_.exe[/CODE]
Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите". Повторите логи.
@ Maxim
Для удаления сервиса вставь команду:
BC_DelSvc('_sv_');
Фикс в HJ не срабатывает, если сервис запущен.
[QUOTE]Для удаления сервиса вставь команду:
BC_DelSvc('_sv_');[/QUOTE]В логах AVZ он значится только в автозапуске.
@Maxim См. лог Хиджака. Там этот файл в сервисах.
AVZ Ругается на команду BC_DelSvc('_sv_');
HJ:
F2 - не видит такого
O23 - Service: Remote Administration Services (_sv_) - Unknown owner - C:\WINDOWS\system32\_sv_.exe [B](file missing)[/B]
@Nicadim Извини, что запутали. Мое письмо для Maxim.
Скрипт Maxima выполнили? Карантин закачали? Если да, то новые логи AVZ в студию.
Для получения новых логов надо заново выполнить стандартные скрипты "...Для раздела Помогите" или достаточно скрипта Maxima ?
Извините за непродвинутость :(
Сначала выполнить скрипт Максима, затем загрузить получившийся карантин, а потом выполнить станд. скрипты из "Правил"
[quote=PavelA;113425]Сначала выполнить скрипт Максима, затем загрузить получившийся карантин, а потом выполнить станд. скрипты из "Правил"[/quote]
Готово
[QUOTE]AVZ Ругается на команду BC_DelSvc('_sv_');[/QUOTE]
Потому что правильно BC_[B]Delete[/B]Svc :)
Файл _sv_.exe удален, а ключ службы в реестре остался.
Выполните скрипт:
[code]begin
BC_DeleteSvc('_sv_');
BC_Activate;
RebootWindows(true);
end.[/code]
Что с _sv_.sy - все еще появляется?
sysconf.exe - убит и не доехал до карантина.
_sv_.exe - чистый, причем существующий. Сервис удалять не будем.
[COLOR="Red"]Зря его убили[/COLOR]
Надо поискать _sv_.sy через AVZ. В логах его видно не было.
[quote=PavelA;113441]sysconf.exe - убит и не доехал до карантина.
_sv_.exe - чистый, причем существующий. Сервис удалять не будем.
Надо поискать _sv_.sy через AVZ. В логах его видно не было.[/quote]
Единственное слегка похожее на искомое C:\WINDOWS\Prefetch\_SV_.EXE-11CAAFD6.pf.
Не знаю что это. Выгружаю на всякий случай.
[quote=Bratez;113440]Потому что правильно BC_[B]Delete[/B]Svc :)
Файл _sv_.exe удален, а ключ службы в реестре остался.
Выполните скрипт:
[code]begin
BC_DeleteSvc('_sv_');
BC_Activate;
RebootWindows(true);
end.[/code]
Что с _sv_.sy - все еще появляется?[/quote]
ОК. Выполнил.
_sv_.sy щас пощупаю всякими антивирусами.
СПАСИБИЩЕ, братцы, кажется грохнули!
[quote=PavelA;113441]_sv_.exe - чистый, причем существующий. Сервис удалять не будем.
[COLOR=red]Зря его убили[/COLOR]
[/quote]
Таки не зря! Теперь уже детектится как [B]Backdoor.Win32.Agent.ago[/B]
Интуиция, Ватсон![B] ;)[/B]
Сделайте ещё раз логи для контроля.
[quote=MaXim;113573]Сделайте ещё раз логи для контроля.[/quote]
Кстати, а что там за перехватчик такой может быть, который неопределен?
[QUOTE]Перепровериться не лишнее :) [/QUOTE]
И то правда! Так и болтается в реестре ключ автозапуска
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run, _sv_
Сделайте в AVZ - Сервис - поиск данных в реестре,
поищите по образцу [B]_sv_[/B] и удалите.
[quote=Bratez;113857]...поищите по образцу [B]_sv_[/B] и удалите.[/quote]
Удалить все или с параметром run?
Да, неслабо он наследил! Все удаляйте.
Потом перезагрузитесь и проверьте их отсутствие, мало ли что.
[QUOTE=Bratez;113569]Таки не зря! Теперь уже детектится как [B]Backdoor.Win32.Agent.ago[/B]
Интуиция, Ватсон![B] ;)[/B][/QUOTE]
За время выходных ситуация изменилась.
[quote=Bratez;113861]Да, неслабо он наследил! Все удаляйте.
Потом перезагрузитесь и проверьте их отсутствие, мало ли что.[/quote]
ОК. Чисто.
[quote=Nicadim;113445]Единственное слегка похожее на искомое C:\WINDOWS\Prefetch\_SV_.EXE-11CAAFD6.pf.
Не знаю что это. Выгружаю на всякий случай.[/quote]
А это что за дрянь была такая?
[quote=PavelA;113863]За время выходных ситуация изменилась.[/quote]
Да уж, интересно!
[QUOTE]C:\WINDOWS\Prefetch\_SV_.EXE-11CAAFD6.pf[/QUOTE]Данные для ускоренного запуска, не опасно, но тоже можно удалить.
Спасибо еще раз!!!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\_sv_.exe - [B]Backdoor.Win32.Agent.ago[/B] (DrWEB: BackDoor.Cfg)[/LIST][/LIST]