Trojan.NtRootKit.1653 в файле synsenddrv.sys

Здравствуйте!
На моем компьютере завелся такой паразит:

Trojan.NtRootKit.1653 (в файле synsenddrv.sys)

После полного сканирования компьютера при помощи Dr.Web этот паразит якобы удаляется. Но после перезагрузки опять появляется в файле synsenddrv.sys

А после подключения к сети Интернет начинает достаточно быстро "улетать" трафик. Блокируется доступ к наиболее популярным поисковикам (Гугл, Яндекс, Рамблер). Также на компьютере начинают появляться новые вирусы:

C:\WINDOWS\system32\drivers\ati7gvxx.sys - инфицирован BackDoor.Bulknet.240
C:\WINDOWS\system32\drivers\ati6gvxx.sys - инфицирован BackDoor.Bulknet.240

и еще в файлах вида "A0256308.sys" (по адресу C:\System Volume Information\restore-{886E...) может дублироваться сам Trojan.NtRootKit.1653

Все вновь появившиеся вирусы успешно лечатся при помощи того же Dr.Web, но Trojan.NtRootKit.1653 после перезагрузки снова и снова появляется в файле synsenddrv.sys

[URL="http://www.antirootkit.com/software/IceSword.htm"]скачайте[/URL] C:\WINDOWS\system32\Drivers\ati7gvxx.sys - force delete
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('0.exe','');
QuarantineFile('C:\WINDOWS\system32\cssrss.exe','');
DeleteService('ynzjlpghq');
DeleteService('tcpsr');
DeleteService('ati5qhxx');
DeleteService('ati7gvxx');
QuarantineFile('C:\WINDOWS\system32\Drivers\ati7gvxx.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\ati7gvxx.sys');
DeleteFile('C:\WINDOWS\System32\drivers\ati5qhxx.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('ynzjlpghq.sys');
DeleteFile('C:\WINDOWS\system32\cssrss.exe');
DeleteFile('0.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

[COLOR="SlateGray"]1) скачайте C:\WINDOWS\system32\Drivers\ati7gvxx.sys - force delete[/COLOR]
сделал
[COLOR="SlateGray"]2) выполните скрипт[/COLOR]
сделал (компьютер перезагрузился)
[COLOR="SlateGray"]3) пришлите карантин согласно приложения 3 правил[/COLOR]
Вот тут не совсем понял.
Путь:
"AVZ" --> "Файл" --> "Просмотр карантина"
а там нет никаких файлов. Нажал "Автодобавление" и все те файлы которые добавились заархивировал и отправил. Не знаю, правильно сделал или нет.

Повторные логи:

Касперский с Доктором это многовато. :(

В IceSword сделайте этому файлу Force Delete:

[CODE]C:\WINDOWS\system32\drivers\synsenddrv.sys[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('synsend');
QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\00000C4C.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\00000C4C.sys');
DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
BC_ImportALL;
ExecuteSysClean;
BC_QrSvc('synsend');
BC_DeleteSvc('synsend');
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.[/CODE]

Если что-нибудь попадет в карантин пришлите, повторите логи...

У меня еще и nod32 был установлен (не видел Trojan.NtRootKit.1653).
Ну а вообще-то я только Касперским на постоянной основе пользовался, но он не увидел "BackDoor.Bulknet.240", поэтому установил еще и Dr.Web (вспомнив эту ссылочку [url]http://www.antivirus.ru/AntiVirPS810.html[/url]).

Так что это временное решение. Надеюсь, что временное.

[B]Гриша[/B], выполнил Ваши указания.
На сей раз файлы в карантине появились (отправил).

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
DeleteService('synsend');
DeleteFile('C:\WINDOWS\system32\drivers\00000C85.sys');
DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('synsend');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...

Сделал.

Сделайте полную проверку AVPTool, затем новые логи...

В безопасном режиме?

Да...

Сделал полную проверку AVPTool (проверка шла примерно 4 часа)

Утилита нашла Trojan.NtRootKit.1653 в файле synsenddrv.sys и еще в 2-х каких-то файлах. Вылечить не удалось, поэтому все удалил. Перезагрузил систему.

Сделал необходимую проверку при помощи AVZ и HijackThis.

В конечном итоге Trojan.NtRootKit.1653 по прежнему появляется в synsenddrv.sys и трафик уходит "налево".

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SetAVZGuardStatus(True);
DeleteService('synsend');
DeleteFile('C:\WINDOWS\system32\drivers\00000C35.sys');
DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('synsend');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи AVZ...

Сделано.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[code]begin
SetAVZPMStatus(true);
RebootWindows(true);
end.[/code]Повторите логи.

[B]Aleksandra[/B], сделал.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('synsend');
DeleteService('ynzjlpghq');
QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
QuarantineFile('\??\C:\WINDOWS\system32\drivers\mbjnsehxuxu.sys','');
DeleteFile('\??\C:\WINDOWS\system32\drivers\mbjnsehxuxu.sys');
DeleteFile('C:\WINDOWS\system32\drivers\00000C03.sys');
DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('synsend');
BC_DeleteSvc('ynzjlpghq');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Если что-нибудь попадет в карантин пришлите и повторите логи...

Сделал. Файлы из карантина отправил.

В логах чисто...

Большое спасибо всем людям, которые поучаствовали в моей проблеме.

Ну и в особенности Вам, [B]Гриша[/B].

Также отблагодарил на WebMoney.

Остался единственный вопрос. Можно ли включить восстановление системы?

Можно :)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\mbjnsehxuxu.sys - [B]Trojan.Win32.Agent.aqlb[/B] (DrWEB: Trojan.Spambot.3548)[*] c:\\windows\\system32\\drivers\\synsenddrv.sys - [B]Rootkit.Win32.Small.bk[/B] (DrWEB: Trojan.NtRootKit.1653)[/LIST][/LIST]