Trojan.NtRootKit.9374

[Scholes_Chel]

Помогите справиться с вирусом. Касперский ничего не находит, Dr.Web CureIt находит вирус Trojan.RootKit.9374 в файле iuxmw.sys в каталоге C:\Windows\System32\Drivers и не может его вылечить (в безопасном режиме его удалось удалить, но при перезапуске система отказалась запускаться - пришлось прибегнуть к загрузке последней успешной конфигурации). Кроме того периодически происходят различные последствия как блокировка диспетчера задач или удаление загрузочных файлов.

[thyrex]

Скачайте "OSAM" (Online Solutions Autorun Manager). В меню драйверов правой кнопкой по iuxmw и выберите "Turn Run Off", потом подтвердите перезагрузку.

html-лог работы утилиты заархивируйте и прикрепите к своему сообщению

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\program files\internet explorer\wmpscfgs.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\iuxmw.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\iuxmw.sys');
 DeleteFile('c:\program files\internet explorer\wmpscfgs.exe');
DeleteFileMask('%windir%\Tasks', 'At*.job', true);
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('iuxmw');
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи + лог http://virusinfo.info/showpost.php?p=493610&postcount=1

[Scholes_Chel]

После создания логов в AVZ папка Карантин оказалась пустой, поэтому файл iuxmw.sys прислать не могу.

[thyrex]

1. У этой группы файлов вирус приписал к имени лишние пробелы перед расширением. Переименуйте файлы, убрав лишние пробелы

<pre>
c:\program files\Alcohol Soft\Alcohol 120\axcmd .exe
c:\program files\ASUS\EPU-4 Engine\fourengine .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr      .exe
c:\program files\Download Master\dmaster .exe
c:\windows\pchealth\helpctr\binaries\msconfig .exe
c:\windows\system32\ctfmon .exe
c:\windows\system32\nwiz .exe
c:\windows\system32\rundll32 .exe
</pre>

2. Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\documents and settings\All Users\mover.bat
c:\program files\22077203.dat
c:\program files\internet explorer\wmpscfgs.exe

Driver::

Folder::

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}]
"command"="c:\program files\common files\nero\lib\nmindexstoresvr.exe ASO-616B5711-6DAE-4795-A05F-39A1E5104020"
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
"command"="c:\program files\quicktime\qttask.exe -atboottime"
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe_Reader]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\joocooqui]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Run]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\syjoog]

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[Scholes_Chel]

c:\windows\pchealth\helpctr\binaries\msconfig .exe
c:\windows\system32\ctfmon .exe
c:\windows\system32\rundll32 .exe

такие файлы без пробелов уже существуют

[thyrex]

такие файлы без пробелов уже существуют

Размер этих файлов скажите

[Scholes_Chel]

msconfig .exe 167 КБ (171*008 байт)
msconfig.exe 167 КБ (171*008 байт)

ctfmon .exe 15,0 КБ (15*360 байт)
ctfmon.exe 15,0 КБ (15*360 байт)

rundll32 .exe 32,5 КБ (33*280 байт)
rundll32.exe 32,5 КБ (33*280 байт)

Добавлено через 1 час 24 минуты

размеры одинаковые.... просто удалить файлы с пробелами в названии?

[thyrex]

просто удалить файлы с пробелами в названии?

Да

[Scholes_Chel]

на этом все? в логах больше ничего?

[thyrex]

В остальном порядок.

Удалите ComboFix

Установите Acrobat Reader 9.3 или удалите старый

[Scholes_Chel]

Огромное спасибо!