Невозможно избавиться от BackDoor.Bulknet.55

Windows XP SP2
DrWeb 4.33
Outpost Firewall

Первый раз в Защищенном режиме сканер DrWeb нашел:
с: \windows\system32\dr ivers\ip6fw.sys
инфицирован Trojan.NtRootKit.319
с: \windows\system32\drivers\runtime.sys
инфицирован BackDoor.Bulknet
с: \windows\temp\startdrv.exe
инфицирован BackDoor.Bulknet.55

В последуюшие разы находит
с: \windows\system32\drivers\runtime.sys
инфицирован BackDoor.Bulknet
с: \windows\temp\startdrv.exe
инфицирован BackDoor.Bulknet.55

В реальном режиме Guard находит вирусы еще и в Темпе
C:\TEMP\192046.exe - инфицирован BackDoor.Bulknet

Делал все как в Правилах.
Пункты 8 и 10 невозможно выполнить в Реальном режиме - AVZ висит.
В Защищенном режиме создан в лог после 8 пункта, который не открывается Архиватором и помещены какие-то файлы в карантин.
10 пункт - лог не создан. Оба пункта в Защищенном режиме заканчиваются внезапной перегрузкой Винды, без предупреждения.
Отработали полностью только пункты 11-13

Если надо пришлю то, что в карантине.

Я знаю Вы такие Вирусы уже лечили, помогите пожалуйста и мне.
Заранее спасибо.

P.s. Все это делаю впервые, если что-то не так делаю - подскажите

[B]OlegXON[/B], уберите карантин из темы .... попробуйте выполнить лог как сказано здесь [url]http://virusinfo.info/showthread.php?t=10387[/url]

Сейчас сделаю.
[I]уберите карантин из темы[/I] - Это какие файлы?

virusinfo_cure.zip ... это карантин ...

Вкладывать файлы получается, убрать пока нет.

1. [I]AVZ/Файл/Стандартные скрипты - отметить #1 - Выполнить.[/I] Этот пункт сработал.
2. [I]Файл/Исследование системы - переключить "Только активные службы и драйверы" на "Все службы и драйверы" -Пуск/Сохранить протокол.[/I] Примерно на 20% проверки, комп рекзко перегрузился и файл протокола создан не был

давайте попробуем так ...
выполните скрипт ...
[code]
begin
QuarantineFile('C:\WINDOWS\system32\flcss.exe','');
QuarantineFile('C:\WINDOWS\system32\ausfjg.dll','');
QuarantineFile('C:\WINDOWS\system32\exporth.exe','');
QuarantineFile('C:\WINDOWS\system32\fci.exe','');
QuarantineFile('C:\WINDOWS\system32\mssrv32.exe','');
BC_ImportQuarantineList;
BC_Activate;
end.
[/code]
пришлите карантин согласно приложения 3 правил ....

Сделал в Реальном режиме - не все файлы попали. Может в защищенном? И как увидеть, что файлы дошли? Нажимал в шапке -Прислать файлы

из того что попало в карантин ....
C:\WINDOWS\system32\ausfjg.dll [B]Backdoor.Win32.Agent.adr Backdoor.Win32.Agent.adr[/B]
C:\WINDOWS\system32\exporth.exe [B]Backdoor.Win32.IRCBot.abc[/B]
C:\WINDOWS\system32\flcss.exe
AVG 7.5.0.484 2007.08.22 [B]Generic3.PMK[/B]
NOD32v2 2475 2007.08.22 [B]probably unknown NewHeur_PE virus[/B]
Prevx1 V2 2007.08.22 [B]Generic.Malware[/B]

Как мне быть?

давайте попробуем вслепую ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\flcss.exe');
DeleteFile('C:\WINDOWS\system32\ausfjg.dll');
DeleteFile('C:\WINDOWS\system32\exporth.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
Deletefile('C:\WINDOWS\system32\drivers\ip6fw.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
BC_DeleteSvc('msupdate');
DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
если скрипт не зависнет повторите логи ....

Висит в Реальном. Может Защищенный?

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Может сделать как в этом посте?
[URL]http://virusinfo.info/showthread.php?p=129000#post129000[/URL]
У меня такие же файлы с вирусами
[B]startdrv.exe и runtime2.sys[/B]

попробуйте в сафе моде ... .

Я хотел сразу попробовать, но в правилах написано не пользоваться чужими скриптами. Обычно я соблюдаю правила, если делаю что-то впервые

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

А в каком режиме лучше. В Защищенном?

да нет ,этот чужой нельзя....

А в каком режиме лучше. В Защищенном?

скрипт из поста 10 пробуйте запустить в защищенном ... если не получится мы его немного изменим....

ТОгда жду еще советов

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=V_Bond;129144]скрипт из поста 10 пробуйте запустить в защищенном ... если не получится мы его немного изменим....[/quote]

Сейчас попробую. А 10 пост это какой?

выполняйте такой
[code]
begin
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\flcss.exe');
DeleteFile('C:\WINDOWS\system32\ausfjg.dll');
DeleteFile('C:\WINDOWS\system32\exporth.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
Deletefile('C:\WINDOWS\system32\drivers\ip6fw.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
BC_DeleteSvc('msupdate');
DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

Ок. Попробуюв Сейфмоде

[size="1"][color="#666686"][B][I]Добавлено через 51 минуту[/I][/B][/color][/size]

Спасибо большое. Скрипт сработал. Пока все нормально. Ни в Сейф ни Реале ДрВеб вирусов не находит
Еще раз спасибо

логи сделайте все по правилам ... посмотрим может еще кто остался....

Закачал логи

Закачивать логи не нужно,их нужно прикрепить к вашему сообщению ;)

Вложил

профиксите
[code]
O2 - BHO: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - (no file)
O2 - BHO: NOW!Imaging - {9AA2F14F-E956-44B8-8694-A5B615CDF341} - (no file)
O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - (no file)
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O20 - Winlogon Notify: 1_32bean32_1reg - C:\WINDOWS\
O20 - Winlogon Notify: rpcc - C:\WINDOWS\
O23 - Service: ASP.NET State Service aspnet_stateseclogon (aspnet_stateseclogon) - Unknown owner - C:\WINDOWS\system32\exporth.exe (file missing)
O23 - Service: FCI - Unknown owner - C:\WINDOWS\system32\fci.exe (file missing)
[/code]
выполните скрипт
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('%systemroot%\system32\tscupgrd.exe','');
QuarantineFile('\SystemRoot\system32\DRIVERS\tcpip.sys','');
QuarantineFile('c:\windows\system32\winlogon.exe','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....

Спасибо. Но к компу попаду только в субботу вечером, тогда все сделаю и отпишусь. Надеюсь хуже не будет, т.к. дома остается жена, комп и интернет(и не дай бог новые вирусы). Еще раз спасибо.

Закачал карантин.
Эта строчка не пофиксилась
O20 - Winlogon Notify: rpcc - C:\WINDOWS\

[quote=OlegXON;129487]Закачал карантин.[/quote]куда? Сервер после переезда еще не совсем в порядке :).
[QUOTE] Эта строчка не пофиксилась
O20 - Winlogon Notify: rpcc - C:\WINDOWS\[/quote]
Только эта? Хайджек-Лог повторите плз.

А как содержимое карантина отправить?

@OlegXON
у меня такое ощущение, что Вы за эти 2 дня еще кучу всякой дряни наловили :embarasse. Придется начинать сначала - [B]все[/B] логи в студию, плиз.

Новые логи

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\WINDOWS\system32\xuser.exe','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать прошлый и новый карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11883[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: 1_32bean32_1reg - C:\WINDOWS\
O20 - Winlogon Notify: rpcc - C:\WINDOWS\
[/CODE]

O20 - Winlogon Notify: 1_32bean32_1reg - C:\WINDOWS\
O20 - Winlogon Notify: rpcc - C:\WINDOWS\
Не пофиксилось

вот 1 рекомендация по поводу 1_32bean32_1reg [url]http://www.z-oleg.com/secur/virlist/vir1153.php[/url]

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\system32\rpcc.dll','');
DeleteFile('C:\Windows\system32\rpcc.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
если файл попадёт в карантин то прислать его согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11883[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: rpcc - C:\WINDOWS\[/CODE]

Ничего.
Выделяю нажимаю Fix и ничего

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

А карантин закачался?

Выполните рекомендации,данные выше,последний карантин который вы загрузили [B]Вс Авг 26 23:56:51 File size 1307637[/B] и он скорей всего чистый,нужен ещё карантин который появился сегодня.

Хорошо сегодня вечером сделаю. Закачивал оба карантина и вчерашний и сегодняшний. Просто имя файла одно, наверное надо было переименовать один из них. А то я сначала послал сегодняшний, а потом вчерашний.

[size="1"][color="#666686"][B][I]Добавлено через 9 часов 21 минуту[/I][/B][/color][/size]

Закачал сегодняшний карантин

c:\WINDOWS\system32\xuser.exe Trojan-Spy.Win32.Webmoner.do
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\WINDOWS\system32\xuser.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
смените пароли к кошелькам ...
повторите логи ...

Скрипт выполнил
Пароли сменил
Новые логи

c:\windows\system32\winlogon.exe-слегка патченный по моему 21 августа 2007 года .Прислать на исследования ;)
Я бы заменил на оригинальный ;)
hosts почистить надо ;)

hosts почистил
winlogon.exe выслал

[size="1"][color="#666686"][B][I]Добавлено через 1 час 5 минут[/I][/B][/color][/size]

Что-то еще сделать?