Хелп Rootkit.Win32.Small.bk

После того, как KIS обноружил данный вирус в файле synsenddrv.sys, он предложил его удалить и перегрузить систему, но после перезегрузки выходит только синий экран, единственная возможность загрузки Windows, это безопасный режим без сетевых драйверов, во всех остальных случаях - синий экран. По этой причине, прикрепленные логи сделаны в безопасном режиме.
Есть ли возможность мне помоч, без переустаноки системы?

Заранее спасибо за ответ.

киса так и не увидел - у вас нод ....
выполните скрипт
[code]
begin
DeleteService('eltcvfcmotohnn');
DelBHO('{11111111-0000-0000-0000-000000000000}');
QuarantineFile('C:\Program Files\Internet Explorer\ie567.dll','');
DeleteFile('C:\Program Files\Internet Explorer\ie567.dll');
DeleteFile('C:\WINDOWS\system32\drivers\ytueknqebg.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

[quote=V_Bond;312247]киса так и не увидел - у вас нод ....
выполните скрипт
[code]
begin
DeleteService('eltcvfcmotohnn');
DelBHO('{11111111-0000-0000-0000-000000000000}');
QuarantineFile('C:\Program Files\Internet Explorer\ie567.dll','');
DeleteFile('C:\Program Files\Internet Explorer\ie567.dll');
DeleteFile('C:\WINDOWS\system32\drivers\ytueknqebg.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи[/quote]

после выполнения скрипта перегрузка и опять синий экран, логи и карантин опять в безопасном делать?

Больше вариантов нет, делайте...

нод деинсталируйте - должно полегчать ....

[quote=V_Bond;312266]нод деинсталируйте - должно полегчать ....[/quote]

Немогу ничего деинсталировать, выдает все время ошибку.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=V_Bond;312266]нод деинсталируйте - должно полегчать ....[/quote]

он у меня в службах и автозагрузке удален

Карантин закачал. У меня сейчас стоит KIS, до этого стоял НОД и Др.Вэб.

непойму почему, но джековский файл не хочет прикреплять

Очень жду ответа.
Кстати, Др.Вэб его детектил как Trojan.NtRootKit.1653

ie567.dll - Trojan-Clicker.Win32.BHO.bn - по Касперскому.

Добьем остатки НОДа:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\Startup.cpl','');
BC_DeleteSvc('eamon');
BC_DeleteSvc('EhttpSrv');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Попробовать нормальный режим. Если что-то в карантин попадет, то прислать.

Скрипт выполнил, при перезагрузке синий экран. Карантин выслал.

[quote=PavelA;312383]ie567.dll - Trojan-Clicker.Win32.BHO.bn - по Касперскому.[/quote]

Странно, у меня касперский на него не ругается

[size="1"][color="#666686"][B][I]Добавлено через 46 минут[/I][/B][/color][/size]

кстати, а почему джековский лог перестал аттачиться?

C:\WINDOWS\system32\Startup.cpl - чистый.
Про предыд файл это ЛК так ответило. Ответ актуален для новых баз.

[QUOTE]Детектирование файла будет добавлено в следующее обновление. [/QUOTE]

:)

Народ, а как дела с моим карантином и логами?
я все выслал

В этой директории что лежит:
C:\Documents and Settings\Администратор\Рабочий стол\Virus Removal Tool

Если это было AVPTool, то надо его деинсталлировать.

[quote=PavelA;312461]В этой директории что лежит:
C:\Documents and Settings\Администратор\Рабочий стол\Virus Removal Tool

Если это было AVPTool, то надо его деинсталлировать.[/quote]

Деинсталировал, что дальше делать?

???????

Можно попробовать сделать лог при помощи GetSysytemInfo. Такое ощущение, что что-то не видим.

[quote=PavelA;312509]Можно попробовать сделать лог при помощи GetSysytemInfo. Такое ощущение, что что-то не видим.[/quote]

Объясните подробнее как это сделать.

Заранее спасибо

[url]ftp://ftp.kaspersky.ru/utils/[/url] getsysteminfo/GetSystemInfo.exe скачать, запустить, Сохранить лог, затем его запаковать и прислать.

[quote=PavelA;312532][URL]ftp://ftp.kaspersky.ru/utils/[/URL] getsysteminfo/GetSystemInfo.exe скачать, запустить, Сохранить лог, затем его запаковать и прислать.[/quote]

вроде все сделал правильно, посмотрите пожалуйста, жду вашего ответа
Хочу напомнить, что синий экран выходит либо при нармальной загрузке, либо при безопасном режиме с сетью, остальные безопасные режимы работают нормально.

Заранее спасибо за быстрый и обстоятельный ответ

Хелп ми

нод и веб нужно деинсталировать ....
и не просто есть часть еще и запущена

[quote=V_Bond;312722]нод и веб нужно деинсталировать ....
и не просто есть часть еще и запущена[/quote]

посмотрите предыдущие посты, деинсталяция неработает, пытаемся убирать скриптами

Заранее спасибо за ответ

У Вас заведен только один пользователь?
Если скажем попытаться загрузиться используя Администратор, то тоже самое получится.

В логе ГСИ ничего криминального не увидел. :(

[quote=PavelA;312732]У Вас заведен только один пользователь?
Если скажем попытаться загрузиться используя Администратор, то тоже самое получится.

В логе ГСИ ничего криминального не увидел. :([/quote]

Да, только Администратор.
Сейчас пытаюсь ручками почистить реестр и попробую перезагрузиться.

[size="1"][color="#666686"][B][I]Добавлено через 19 минут[/I][/B][/color][/size]

Чистка реестра не помогла, все равно синий экран. Есть ли смысл попытаться загрузить последнюю удачную конфигурацию?

Попробуйте...

кстати, это нормально, что я в безопасном режиме не могу включить службу восстановления системы?

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Все напрасно, при попытке загрузки с последней удачной конфигурацией, тот же синий экран, с той же ошибкой.

Ребят, хелп ми, посоветуйте что нибудь

[size="1"][color="#666686"][B][I]Добавлено через 42 минуты[/I][/B][/color][/size]

Обнаружил в реестре в ветке Локал_Машин\Систем\КонтролСет1--2-3-4 и КуррентКонтролСет\...\LEGACY_SYNSEND - с кучей параметров, а самое главное, что регедит не дает мне их удалить, может в этом дело?????

Из Enum\Root вообще ничего нельзя удалить руками. И не надо, там система разбирается. Если хотите службу или драйвер тормознуть, смотрите в Services.

Загрузитесь в безопасный режим, зайдите сюда:
system32\drivers, найдите там файл ndistapi.sys и перенесите его в какой-нибудь каталог. Загружаетесь в обычном режиме, деинсталлируйте Касперского, возвратите файл ndistapi.sys. затем загружаете с kaspersky.ru последнюю версию Каспера и ставите.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\internet explorer\\ie567.dll - [B]Trojan-Clicker.Win32.BHO.bn[/B] (DrWEB: Trojan.Click.23497)[/LIST][/LIST]