Руткиты...

Printable View

20.10.2009, 11:53
truexcolors

Руткиты...

Добрый день
Нареканий на машину не было,но решил проверить и понеслось авз поругался, решил сразу и гмером и он на рукиты поругался.
Посмотрите логи.
20.10.2009, 12:00
Макcим

Выгрузите защитное ПО.

Выполните скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
StopService('tcpsr');
StopService('dpti930');
DeleteService('tcpsr');
DeleteService('dpti930');
BC_QrFile('C:\WINDOWS\system32\itcadvapi.dll');
BC_DeleteFile('C:\WINDOWS\system32\itcadvapi.dll');
BC_DeleteFile('C:\WINDOWS\system32\drivers\plhiq.sys');
BC_Activate;
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(false);
end.[/CODE]Загрузите карантин согласно приложению №3 правил. Повторите логи.
20.10.2009, 13:08
truexcolors

логи
20.10.2009, 16:42
Макcим

А где карантин? Symantec пред выполнением скрипта выгружали?
20.10.2009, 17:55
truexcolors

блин карантин забыл, сейчас
антивирус выгружал

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

карантин пуст
20.10.2009, 19:02
Макcим

Скопируйте файл как написано [URL="http://virusinfo.info/showthread.php?t=17109"]здесь[/URL][CODE]C:\WINDOWS\system32\itcadvapi.dll[/CODE]
21.10.2009, 11:09
truexcolors

icesword не запускается, скачал два разных с разных источников и тоже самое...
21.10.2009, 14:22
Макcим

Вы пользуетесь КриптоПро?
21.10.2009, 16:25
truexcolors

есть криптосервис
21.10.2009, 17:22
Макcим

Его можно отключить или выгрузить?
21.10.2009, 18:03
truexcolors

сделал, но все равно initialize failed
21.10.2009, 18:09
Макcим

После отключения сделайте заново логи.
22.10.2009, 12:19
truexcolors

я ее пытался выгрузить, думал что получилось, но не все так просто оказалось...
именно отключить ее не представляется возможным
как я понял отсюда [url]http://virusinfo.info/showpost.php?p=241920&postcount=10[/url] что это все таки библиотека VipNet
23.10.2009, 16:36
Макcим

Все правильно, но в логах видны малварные драйвера которые почему-то не удалились. Вероятно потому, что работу AVZ блокирует эта программа.
26.10.2009, 11:23
truexcolors

подскажите что тогда можно сделать?
26.10.2009, 12:03
Макcим

Для начала сделайте свежий лог virusinfo_syscheck.zip, за время Вашего отсутствия могло многое измениться.
26.10.2009, 12:59
truexcolors

Вложений: 1

лог
26.10.2009, 14:09
Макcим

Выполните скрипт в [URL="http://virusinfo.info/showthread.php?t=40118"]Gmer[/URL][CODE]gmer.exe -killall
gmer.exe -del service tcpsr
gmer.exe -del service dpti930
gmer.exe -reboot[/CODE]Повторите virusinfo_syscheck.zip.
26.10.2009, 15:10
truexcolors

Вложений: 1

сделал, но ребутнуться смог только с моей помощью...
26.10.2009, 15:29
Макcим

Теперь всё нормально.
26.10.2009, 16:04
truexcolors

что было то?)
26.10.2009, 16:53
Макcим

Удалили какой-то мусор и всё. А "руткиты" это Ваше защитное ПО + VipNet.
26.10.2009, 17:02
truexcolors

ясно. спасибо.
не сталкивался с таким еще, буду знать.
26.10.2009, 18:33
Макcим

Главное не перегнуть палку со средствами защиты. Поверьте, если поставить несколько антивирусов, пару антируткитов, один Firewall и какой-нибудь HIPS в лучшем случае будет куча глюков, а в худшем система загнется.