Rootkit.Win32.Podnuha.ay - не знаю что делать!

Printable View

16.04.2008, 23:50
andruxa

Rootkit.Win32.Podnuha.ay - не знаю что делать!

Добрый день!
Система WinXP
Антивирус KAV 7.0.0.125
В файле C:\Windows\system32\dmusi.dll находит вирус Trojan:Rootkit.Win32.Podnuha.ay.
Файл не переносится, не удаляется, не изменяется, даже не архивируется.
Все время пишет: отказано в доступе. диск переполнен, защищен или занят другм приложением.

Заранее благодарен.
16.04.2008, 23:55
andruxa

Карантин AVZ пуст? сам файл не архивируется.
16.04.2008, 23:57
wise-wistful

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{2ABFDA93-62A3-4B6A-B0A8-14D2DC45043A}');
SetServiceStart('sabltlma', 4);
StopService('sabltlma');
QuarantineFile('C:\WINDOWS\system32\dmusi.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\squtyzqw.dat','');
DeleteFile('C:\WINDOWS\system32\Drivers\squtyzqw.dat');
DeleteFile('C:\WINDOWS\system32\dmusi.dll');
BC_ImportAll;
BC_DeleteSvc('sabltlma');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=21622[/url]

Повторите логи.
17.04.2008, 00:06
andruxa

Выполнил
В карантине 2 файла
c:\windows\system32\dmusi.dll
c:\windows\system32\drivers\squtyzqw.dat
Какой из них выслать, и если оба, то одним архивом или нет.
Спасибо.
17.04.2008, 00:08
V_Bond

Прислать карантин согласно приложения 3 правил (естественно одним архивом) ...
17.04.2008, 00:14
andruxa

Сделано
17.04.2008, 00:20
wise-wistful

Вы выслали файлы avz00001.ini и avz00002.ini, а файлы avz00001.dtа и avz00002.dtа есть? если да то нужны они тоже, загрузите их по ссылке вверху страницы. Ждём новых логов.
17.04.2008, 00:41
andruxa

Не дает доступа к архивации даже этих файлов.
Теперь касперский предлагает их удалить...
Что делать?
17.04.2008, 00:48
wise-wistful

Вообще-то касперского нужно было приостановить. Логи новые ждём. Где они?
17.04.2008, 00:51
andruxa

Сделано!
17.04.2008, 01:02
wise-wistful

Не удиветильно, что касперский их блокировал C:\WINDOWS\system32\dmusi.dll - [b]Rootkit.Win32.Podnuha.ay[/b], C:\WINDOWS\system32\Drivers\squtyzqw.dat - [b]Rootkit.Win32.Agent.aap[/b]
17.04.2008, 01:03
andruxa

Это излечимо?
17.04.2008, 01:05
wise-wistful

Я же Вас прошу уже какой раз сделать логи как вы делали впервый раз. Скриптом я пробовал их убить, теперь нужно посмотреть убиты или нет, но для этого нужны новые virusinfo_syscure.zip, virusinfo_syscheck.zip, hijackthis.log.
17.04.2008, 01:06
andruxa

Сорри сразу не понял...
17.04.2008, 02:03
andruxa

Вложений: 2

Сделано, но virusinfo_cure.zip весит 641 Kb и не загружается на сайт...
17.04.2008, 02:20
pig

virusinfo_cure ни разу не надо, это карантин. Надо virusinfo_[b]sys[/b]cure.
17.04.2008, 03:12
andruxa

Вложений: 1

2 pig
Спасибо ...
17.04.2008, 03:49
Bratez

В логах чисто.
Проблем больше нет?
17.04.2008, 17:22
andruxa

Файл исчез!
КАV больше не ругается...
По-моему все!

Всем ооогромное спасибо, удачной работы:)

PS
А что такое Подозрительные объекты в логах, например Перехватчик KernelMode
17.04.2008, 17:45
V_Bond

[QUOTE=andruxa;216913]
PS
А что такое Подозрительные объекты в логах, например Перехватчик KernelMode[/QUOTE]
в вашем случае это драйвер касперского ...
17.04.2008, 23:25
andruxa

Спасибо
17.04.2008, 23:27
wise-wistful

Нам интересно Ваше [url=http://virusinfo.info/showthread.php?t=19883]мнение[/url] о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.

Советуем прочитать [url="http://security-advisory.virusinfo.info/"]электронную книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Удачи и чистого Вам интернета :)
22.02.2009, 04:55
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\dmusi.dll - [B]Rootkit.Win32.Podnuha.ay[/B] (DrWEB: Trojan.DownLoader.56883)[*] c:\\windows\\system32\\drivers\\squtyzqw.dat - [B]Rootkit.Win32.Agent.aap[/B] (DrWEB: Trojan.NtRootKit.738)[/LIST][/LIST]