А вот такой репортик от Unhooker что бы значил?

RkUnhooker report generator v0.6
==============================================
Rootkit Unhooker kernel version: 3.31.150.420
==============================================
Windows Major Version: 5
Windows Minor Version: 1
Windows Build Number: 2600
==============================================
NtOpenProcess
Actual Address 0x8866EA60
Hooked by: Unknown module filename

NtOpenThread
Actual Address 0x8866EE80
Hooked by: Unknown module filename

NtSuspendProcess
Actual Address 0x8866F460
Hooked by: Unknown module filename

NtSuspendThread
Actual Address 0x8866F280
Hooked by: Unknown module filename

NtTerminateProcess
Actual Address 0x8866EC90
Hooked by: Unknown module filename

NtTerminateThread
Actual Address 0x8866F0B0
Hooked by: Unknown module filename

Во вложении - парочка репортов и пара странных файлов в архиве.

Анхукером ничего из репортов не убивается (вернее, убивается и загружается снова). Жить вроде бы не мешает, но время от времени верещит нод, удаляет со всех дисков какой-то вирус (во вложении hxtaqc.rar, вытащен из карантина) и появляется (опять же на всех ЛД) пустой файл без расширения - kht. Если его удалить - эпопея продолжается, если оставить нод не верещит, ничего не появляется.
Вот и не пойму, что с этим делать.

Для начала нужно выполнить вот эти правила: [URL="http://virusinfo.info/pravila.html"]Правила[/URL]. =)

PS. Потом может дойдет дело и до [I]RkU[/I], однако пока еще рано говорить о чем-то конкретном!
PPS. В присланном вами архиве находится червь [URL="http://www.symantec.com/security_response/writeup.jsp?docid=2008-102011-5014-99&tabid=1"]W32.Harakit[/URL] по классификации [I]Symantec[/I]'а.

ок, а sys файлы не смотрели? =)
На самом деле уже и до Hypersight Rootkit Detector дошло.

Кстати нод пишет, что это не Харакит а Win32/Packed.Autoit.Gen

Смотрели... =)

PS. Будьте проще - я думаю, дело вовсе не в руткитах. Выполните правила - хелперы посмотрят ваши файлы, потом будет более-менее ясно, где и что искать.

Вот :)
Будем проще.

Хочу добавить, что автораны высвеченные в отчете - пустые. После нашествия Kido. Я их сам отредактировал (ибо вылечить не мог) и выставил свойства "только чтение".

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{582DDAEC-6488-4A24-87B1-2EE2BBA47BE6}: NameServer = 85.255.112.167,85.255.112.72
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.167,85.255.112.72
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.167,85.255.112.72
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.167,85.255.112.72
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('F:\autorun.inf','');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('E:\autorun.inf');
DeleteFile('F:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL]
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Вот.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
[/CODE]

Больше ничего подозрительного не видно. Жалобы есть?

[QUOTE=Rene-gad;393971]

Больше ничего подозрительного не видно. Жалобы есть?[/QUOTE]

Дак собственно нафик мне suspicious процессы в памяти и систематическое появление екзешников Win32/Packed.Autoit.Gen (по версии нод32)?

Причем я переставил ОС не так давно (недели 3 назад). На отформатированный винт, первое что было поставлено после ОС - антивирус и обновлены базы. На других 2-х винтах, были прописанные мной, пустые автораны (рид-онли). Но проблема сама собой возобновилась. Вопрос ОТКУДА?

[size="1"][color="#666686"][B][I]Добавлено через 9 часов 3 минуты[/I][/B][/color][/size]

Господа, каков в итоге ваш вердикт?

[QUOTE=mikko;394026]Дак собственно нафик мне suspicious процессы в памяти и систематическое появление екзешников Win32/Packed.Autoit.Gen (по версии нод32)?

Причем я переставил ОС не так давно (недели 3 назад). На отформатированный винт, первое что было поставлено после ОС - антивирус и обновлены базы. На других 2-х винтах, были прописанные мной, пустые автораны (рид-онли). Но проблема сама собой возобновилась. Вопрос ОТКУДА?

[SIZE=1][COLOR=#666686][B][I]Добавлено через 9 часов 3 минуты[/I][/B][/COLOR][/SIZE]

Господа, каков в итоге ваш вердикт?[/QUOTE]
Ну, откуда NOD берет эти EXE - загадка ... если ПК входит в ЛВС, то можно предположить, что это результаты атаки четевого червяка. Следует проставить все заплатки безопасности, пароли на все учетные записи символов по 6-10, отключить удаленный реестр и админшары, выключить автозапуск. И когда появится очередной такой EXE, восстановить его из карантина NOD, сам нод выключить, файл восстановленный заархивировать и прислать по правилам. Будет семпл - можно предметно сказать, что это за зверь и как с ним воевать

[QUOTE=Зайцев Олег;394299]Ну, откуда NOD берет эти EXE - загадка ... если ПК входит в ЛВС, то можно предположить, что это результаты атаки четевого червяка. Следует проставить все заплатки безопасности, пароли на все учетные записи символов по 6-10, отключить удаленный реестр и админшары, выключить автозапуск. И когда появится очередной такой EXE, восстановить его из карантина NOD, сам нод выключить, файл восстановленный заархивировать и прислать по правилам. Будет семпл - можно предметно сказать, что это за зверь и как с ним воевать[/QUOTE]

Олег, спасибо!
Это ЛВС, все заплатки я скачал при установке Windows, а в карантине уже целый паноптикум. Один из EXE (в первом посте) - как раз из карантина. Могу добить и второй карантинный екзешник с другим именем.

Другой вопрос, как объяснить тот лог от [I]rku[/I]?

Уважаемые, не пропадайте! Давайте замочим таки невидану зверюшку.
:)

А что вас смущает, перехваты [I]NtOpenProcess[/I] ... [I]NtTerminateThread[/I] "неизвестным" модулем ядра? Они у вас как были в самом начале, так и остались до сих пор. Очень похоже на перехваты драйвера IceSword, но вполне возможно, что это может быть Hypersight Rootkit Detector или что-то подобное...

Ну вот что говорит hypersight:

Ну, сам факт попыток модификации CR0 еще не является криминалом, хотя и может являться косвенным признаком наличия чего-то нелигитимного в системе. Тем не менее, одного лога Hypersight'а совершенно недостаточно - у вас в системе много всякого софта, который может провоцировать поведение такого рода. Для начала деинсталлируйте весь "лишний" защитный софт типа IceSword, затем сделайте лог GMER'а - посмотрим, что будет там.

Вот?

Сделал лог как надо.

Ага, только Gmer у вас старенький и надо было сделать полный Scan.

Давайте сделаем так:
1) отключитесь от сети/Интернет;
2) удалите [U]весь[/U] защитный или похожий на него софт (nod32 в том числе), который вы когда-либо ставили - мне хочется видеть более-менее чистую систему;
3) сделайте лог AVZ (мне достаточно только syscheck);
4) установите RkU и сделайте в нем полный отчет (вкладка Report -> Scan). Если сканирование файлов занимает очень много времени, можно исключить из отчета позицию Files. Также я хотел бы получить дампы всех "подозрительных" областей памяти (тех областей, на которые есть ссылки в перехватах, но нет имен файлов). Неплохо бы также сделать Quick Report'ы тех закладок, в которых вы найдете перехваты;
5) удалите RkU, запустите последний Gmer ([URL="http://www.gmer.net/gmer.zip"]gmer.zip[/URL]) и сделайте в нем отчет;
6) пришлите все полученные файлы.

Вот.

Дампов памяти не сделал. Я, к сожалению, не совсем понимаю какие диапазоны выставлять в rku чтоб скопировать нужные области:(

А что же nod32 не деинсталлировали?
Драйвер IceSword живет в системе, его надо удалить через реестр или AVZ.
То же касается драйвера Hypersight.
И где дампы?

А не сильно ли, нод деинсталлить? Я всё же жить хочу ещё...

Кстати IceSword я не знаю как снести. Какие ключи реестра?

Не сильно - я вообще никогда не пользовался антивирусами или каким-либо защитным софтом, и ничего - жив пока! =)
Снести nod32 нужно только на время получения логов, после этого можно снова поставить.
Что касается IceSword: просто удалите файл C:\WINDOWS\System32\Drivers\IsDrv122.sys и перегрузите комп - этого будет вполне достаточно...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]