Backdoor.BulkNet вешает Internet в локальной сети. Что делать?

[Arhimed08]

Словил пользователь в сети вирус Backdoor.BulkNet. Теперь если компьютер в сети Internet стопорится. Из сети то компьютер отключили, но это же не дело??? Что посоветуете???

[Muffler]

Выполните вот такой скрипт в AVZ.
AVZ -> Меню Файл -> Выполнить скрипт:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\runtime.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
 QuarantineFile('rsvp322.dll','');
 QuarantineFile('c:\windows\system32\finger.dll','');
 QuarantineFile('C:\PROGRA~1\YETISP~1\IEBUTT~1.DLL','');
 QuarantineFile('C:\WINDOWS\system32\win_5.dll','');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 Deletefile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
 DeleteFile('C:\WINDOWS\system32\win_5.dll');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_DeleteSvc('Ip6Fw');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(false);
end.

После выполнения скрипта, компьютер перезагрузится.
После перезагрузки, пришлите попавшие в карантин файлы согласно правилам. (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы).

Плюс сделайте все три лога по правилам.

[Arhimed08]

Скрипт запустил. Высылаю логи

[PavelA]

Шрифт не ставь крупный в сообщениях. Читать неудобно.

[Muffler]

Rootkit.Win32.Agent.dp, Trojan-Downloader.Win32.Agent.brk, Rootkit.Win32.Agent.ey - это то что мы удалили у вас в системе.

Осталось почистить следы...

Выполните вот такой скрипт в AVZ.
AVZ -> Меню Файл -> Выполнить скрипт:

begin
SearchRootkit(true, true);
ClearQuarantine;
SetAVZGuardStatus(true);
 QuarantineFile('c:\windows\system32\finger.dll','');
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportALL;
AutoFixSPI;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта, компьютер перезагрузится.
После перезагрузки, пришлите попавшие в карантин файлы согласно правилам. (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы).

После этого, сделать логи пп. 10-13 из правил.

[Arhimed08]

Всё вроде бы нормализовалось. smartdrv.exe исчез. На всякий случай высылаю Log файлы.

[drongo]

1.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O2 - BHO: (no name) - {36DBC179-A19F-48F2-B16A-6A3E19B42A87} - c:\windows\system32\finger.dll (file missing)
O23 - Service: Служба загрузки изображений (WIA) stisvcPlugPlay (stisvcPlugPlay) - Unknown owner - C:\WINDOWS\system32\activedsr.exe (file missing)

2.Отключить лишние сервисы :
O23 - Service: NetMeeting Remote Desktop Sharing (mnmsrvc) - Корпорация Майкрософт - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\WINDOWS\system32\sessmgr.exe

3.файрвол поставить, или хотя-бы виндовый включить.
4.Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": http://security-advisory.newmail.ru

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : http://virusinfo.info/showthread.php?t=3519
Мы будем Вам очень благодарны!

Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 21
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\recycler\\s-1-5-21-1993962763-1275210071-682003330-500\\dc2.exe - Trojan.Win32.Agent.auh (DrWEB: BackDoor.Bulknet.139)
  2. c:\\windows\\system32\\drivers\\ip6fw.sys - Rootkit.Win32.Agent.dp (DrWEB: Trojan.NtRootKit.319)
  3. c:\\windows\\system32\\drivers\\runtime2.sys - Rootkit.Win32.Agent.ey (DrWEB: Trojan.NtRootKit.321)