rootkit?

[victorazuev]

Добрый день!

Windows Server 2008 R2, сидит какая-то зараза.
Пробовал лечить DrWeb CureIt, TDSSKiller. Ничего не находят.
Как проявляется:
1) Блокирует файлы. Например antirootkit.avz, keylogger.avz, avz.exe. Ряд системных файлов: wscript.exe. Блокирует даже в safe mode. (невозможно получить доступ к файлам ни с администраторской учетной записи, ни под local system)
2) Не дает установить антивирус. (пробовал eset и microsoft security essentials)

Удалось запустить avz только с сетевого ресурса. При сканировании ничего не находит.

[Info_bot]

Уважаемый(ая) victorazuev, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Логи нужны из локальной сессии за компьютером. В правилах сбора логов используется иная утилита

[victorazuev]

Логи нужны из локальной сессии за компьютером. В правилах сбора логов используется иная утилита

Autologger - запустить не удается. Он распаковывает avz, и тот сразу блокируется.

[thyrex]

Попробуйте эту версию

[victorazuev]

Попробуйте эту версию

"Невозможно создать файл ...\avz.exe. Access is denied."

Зараза блокирует файлы с именами "rootkit.avz, keylogger.avz, avz.exe"

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[victorazuev]

Вложил логи FRST

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
Task: {41ACD773-C6B5-4678-86C5-7F9F388ACC18} - System32\Tasks\GoogleUpdateTask => C:\Program Files\Common Files\Microsoft Shared\Systema\svchost.exe  <==== ATTENTION
Task: {526FD53F-6322-40AC-B20F-AF0CCAAACB51} - System32\Tasks\GoogleUpdateTaskMashine => C:\Program Files\Common Files\Microsoft Shared\System\webisida.browser.exe  <==== ATTENTION
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\14777158.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\18086863.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\38855965.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\65182670.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\14777158.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\18086863.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\38855965.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\65182670.sys => ""="Driver"
Startup: C:\Users\AMDService\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Punto Switcher.lnk [2017-03-31]
ShortcutTarget: Punto Switcher.lnk -> C:\Users\Administrator\AppData\Roaming\Punto\lsass.exe (No File)

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Перезагрузку компьютера выполните вручную.

[victorazuev]

Сделал

- - - - -Добавлено - - - - -

Удалось собрать логи, запустив Autologer с сетевого диска.

[thyrex]

Выполните скрипт в AVZ

begin
ExecuteFile('schtasks.exe', '/delete /TN "Adobe Reader" /F', 0, 15000, true);
 DeleteFile('C:\Program Files\Common Files\Microsoft Shared\System\settings.exe','32');
ExecuteSysClean;
ExecuteRepair(9); 
end.

Перезагрузку компьютера выполните вручную.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[victorazuev]

Готово. (Пока все без изменений)

[victorazuev]

Похоже дело было в драйвере: FSPFltd.sys . Отключил его, перезагрузился. Блокировка части системных файлов и антивирусов прекратилась. Смог установить антивирус.
Так-же отключил все регламентные задания в task scheduler и вообще запретил запуск службы.
Борюсь с последствиями.

Спасибо за помощь!