Нужна помощь

[ig473]

Выполнил, загрузил.

[V_Bond]

boot_clr.log -прикрепите к сообщению....

[ig473]

Вот

[V_Bond]

выполните скрипт ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
 DeleteFile('C:\WINDOWS\system32\DefLib.sys');     
 BC_DeleteSvc('runtime');       
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите лог Sisinfo ...

[ig473]

Выполнил

[PavelA]

runtime убился, deflib остался.
Почистим:

begin
 ClearQuarantine;
 SetAVZGuardStatus(true);                                                    
 SysCleanAddFile('C:\WINDOWS\system32\DefLib.sys');          
 ExecuteSysClean;
end.

Поискать system32\DRIVERS\Ip6Fw.sys. Найдется, добавить в карантин и прислать.

[ig473]

Скрипт выполнил.

system32\DRIVERS\Ip6Fw.sys искал в AVZ через меню "Добавление в карантин по списку". В карантине пусто, в протоколе -"Карантин с использованием прямого чтения - ошибка". Это значит что все чисто, или я не правильно искал ?

[PavelA]

Да. Значит он чистый.

повторите лог Sisinfo ...

[ig473]

Сделал

[PavelA]

Повтори скрипт в Safe Mode. Что-то не хочет удаляться ссылка.

[ig473]

Выполнил, прикрепляю лог Sisinfo (или не надо, хотя уже поздно)

[PavelA]

Забудем о ней. Не удаляется и все.

Делай логи AVZ. Будем заканчивать тему.

[ig473]

Уже забыл.
Вот свежие логи

[PavelA]

http://127.0.0.1:8080/config.script - это знаете что такое.

Профиксить в HijackThis:

O4 - HKUS\S-1-5-19\..\Run: [LinkDel] linkdel.cmd (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [LinkDel] linkdel.cmd (User 'NETWORK SERVICE')

Не успели одно вылечить, уже второе живет.

Выполнить скрипт в Safe Mode:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('\WINDOWS\system32\ntoskrnl.exe','');
QuarantineFile('C:\qqd.sys','');
DeleteFile('C:\qqd.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Прислать после перезагрузки карантин.

[ig473]

Все сделал, а что такое http://127.0.0.1:8080/config.script -не знаю

[PavelA]

Это настройка Вашего IE.
Поищите config.script через AVZ. Может тогда узнаем что это такэ.
Карантин сейчас посмотрю.

Добавлено через 13 минут

C:\WINDOWS\system32\ntoskrnl.exe - Trojan-Downloader.Win32.Kset.b(по Касперскому)
C:\qqd.sys - Rootkit.Win32.Agent.ey

Надо заменять ntoskrnl.exe с дистрибутива на чистый.

Как это делать:
Пуск--выполнить--cmd
expand x:\i386\ntoskrnl.ex_ y:\windows\system32\ntoskrnl.exe
x - буква CD, y - буква диска с windows xp

[ig473]

А меня чето уже не читаются диски

[V_Bond]

можете взять тут

[ig473]

Спасибо за файл, но попытка по прежнему не удалась.
Выполнение заканчивается "не удается открыть конечный файл с:\windows\system32\ntoskrnl.exe"

[V_Bond]

1. Перегрузить ПК.
2. Во время загрузки держать нажатой кнопку F8 для входа в загрузочное меню Windows XP.
3. Выбрать режим командной строки (Command Prompt).
4. Снова нажать F8.
5. Войти в систему под именем Администратора.
6. выполнить замену как написал PavelA ... ( слегка скорректировав пути) ...