Есть подозрение на троян

**movies** · 11.06.2008, 18:44

Время от времени появляется сообщение "Память не может быть..."
В windows/system32 болтается подозрительный winnt32.dll
NOD32 - молчит "как рыба об лед".
"Cure it" выловил троянчика в процессе лечения в безопасном режиме, но на этом и ограничился.

Если возможно - гляньте файлики.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 11.06.2008, 19:09

отключите восстановление системы ...
выполните скрипт ...

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('WinNt32.dll','');
  BC_DeleteSvc('Wch84');
 QuarantineFile('C:\WINDOWS\System32\drivers\Wch84.sys','');
  BC_DeleteSvc('Vql63');
 QuarantineFile('C:\WINDOWS\System32\drivers\Vql63.sys','');
  BC_DeleteSvc('Tqa41');
 QuarantineFile('C:\WINDOWS\System32\drivers\Tqa41.sys','');
  BC_DeleteSvc('tcpsr');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
  BC_DeleteSvc('Pku07');
 QuarantineFile('C:\WINDOWS\System32\drivers\Pku07.sys','');
  BC_DeleteSvc('Pim38');
 QuarantineFile('C:\WINDOWS\System32\drivers\Pim38.sys','');
  BC_DeleteSvc('Osl52');
 QuarantineFile('C:\WINDOWS\System32\drivers\Osl52.sys','');
  BC_DeleteSvc('Mrc38');
 QuarantineFile('C:\WINDOWS\System32\drivers\Mrc38.sys','');
  BC_DeleteSvc('Lur40');
 QuarantineFile('C:\WINDOWS\System32\drivers\Lur40.sys','');
  BC_DeleteSvc('Kmh73');
  BC_DeleteSvc('Juo38');
 QuarantineFile('C:\WINDOWS\System32\drivers\Juo38.sys','');
  BC_DeleteSvc('Gir06');
 QuarantineFile('C:\WINDOWS\System32\drivers\Gir06.sys','');
  BC_DeleteSvc('Fni16');
 QuarantineFile('C:\WINDOWS\System32\drivers\Fni16.sys','');
  BC_DeleteSvc('Ehd55');
 QuarantineFile('C:\WINDOWS\System32\drivers\Ehd55.sys','');
  BC_DeleteSvc('Boe51');
 QuarantineFile('C:\WINDOWS\System32\drivers\Boe51.sys','');
  BC_DeleteSvc('Aaw05');
 QuarantineFile('C:\WINDOWS\System32\drivers\Aaw05.sys','');
 DeleteFile('C:\WINDOWS\System32\drivers\Aaw05.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Boe51.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Ehd55.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Fni16.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Gir06.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Juo38.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Kmh73.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Lur40.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Mrc38.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Osl52.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Pim38.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Pku07.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Tqa41.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Vql63.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Wch84.sys');
 DeleteFile('WinNt32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

**movies** · 11.06.2008, 20:08

Свежие файлики...

**V_Bond** · 11.06.2008, 20:18

в логох ничего зловредного ....

**movies** · 11.06.2008, 20:21

Ну, тогда слава "вирусинфо"...

Можно включать восстановление системы?

**V_Bond** · 11.06.2008, 20:40

можно

Есть подозрение на троян (заявка № 24440)

Опции темы