помогите пчистить svchost

**micl** · 15.01.2009, 19:47

пробился через макафи и оутпост....а может это и есть оутпост

помогите выяснить

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Макcим** · 15.01.2009, 20:27

Выполните скрипт

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
 QuarantineFile('C:\WINDOWS\system32\digeste.dll','');
 QuarantineFile('C:\WINDOWS\system32\crypts.dll','');
 QuarantineFile('c:\windows\services.exe','');
 QuarantineFile('c:\windows\msauc.exe','');
 QuarantineFile('C:\WINDOWS\system32\fci.exe.exe:ext.exe:$DATA','');
 QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
 DeleteFile('c:\windows\msauc.exe');
 DeleteFile('c:\windows\services.exe');
 DeleteFile('C:\WINDOWS\system32\crypts.dll');
 DeleteFile('C:\WINDOWS\system32\digeste.dll');
 DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
 DeleteFile('C:\WINDOWS\system32\fci.exe.exe:ext.exe:$DATA');
 DeleteService('ati5elxx');
 DeleteService('ati5bixx');
 DeleteService('ati4hnxx');
 DeleteService('ati1wexx');
 DeleteService('ati0vcxx');
 BC_ImportALL;
 BC_DeleteSvc('ati5elxx');
 BC_DeleteSvc('ati5bixx');
 BC_DeleteSvc('ati4hnxx');
 BC_DeleteSvc('ati1wexx');
 BC_DeleteSvc('ati0vcxx');
 BC_Activate;
 ExecuteSysClean;
 ExecuteWizard('TSW', 1, 1, true);
 ExecuteWizard('BT', 1, 1, true);
 RebootWindows(true);
end.

Пуск - Выполнить:
Введите комадну: sfc /scannow
Windows будет проверять целостность защищённых файлов на вашем компе. Для восстановления может потребоваться установочный диск ОС.

Загрузите карантин согласно приложению №3 правил.

Повторите логи.

**micl** · 15.01.2009, 21:23

привода у меня нету чтобы файлы подымать

но и так работает

**Макcим** · 15.01.2009, 22:14

Слушайте внимательно. Скачайте файл http://www.filehoster.ru/files/cb1230. Распакуйте архив. В скрипте есть строчка

Код:

BC_CopyFile('путь к userinit.exe','C:\WINDOWS\system32\userinit.exe');

Вам необходимо заменить путь к userinit.exe путем к тому файлу что Вы извлекли из архива. Должно получить так

Код:

BC_CopyFile('C:\Мои файлы\userinit.exe','C:\WINDOWS\system32\userinit.exe');

Понятно? Только после этого выполняйте скрипт

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\System32\drivers\ati0krxx.sys','');
 QuarantineFile('c:\windows\system32\rs32net.exe','');
 DeleteFile('c:\windows\system32\rs32net.exe');
 DeleteFile('C:\WINDOWS\System32\drivers\ati0krxx.sys');
 BC_ImportALL;
 BC_CopyFile('путь к userinit.exe','C:\WINDOWS\system32\userinit.exe');
 BC_Activate;
 ExecuteSysClean;
 ExecuteWizard('TSW', 1, 1, true);
 ExecuteWizard('BT', 1, 1, true);
 RebootWindows(true);
end.

Загрузите карантин согласно приложению №3 правил. Повторите логи.