Замучал руткит (вроде Win32 Podnuha-bj)

[pitt]

Вот уже пару недель не могу справится с заразой. Началось с пожерания трафика. Применял антивирус (Аваст), возможно частично помогло, но при пререзагрузке воссаздаются файлы вируса. Вобщем докопаться не могу.

[Синауридзе Александр]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DelBHO('{86324241-0A1E-4F40-8933-173371640752}');
 QuarantineFile('C:\WINDOWS\system32\ipxrtmg.dll','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\qkzmtugo.dat','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\For36.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 QuarantineFile('C:\WINDOWS\system32\niwwowkr.exe','');
 DeleteFile('C:\WINDOWS\system32\ipxrtmg.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\qkzmtugo.dat');
 DeleteFile('C:\WINDOWS\System32\Drivers\For36.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wincm60.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Windl36.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winhl47.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winkn47.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winnv47.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winpw60.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winpx26.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winqy36.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winra03.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winsb58.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wintf60.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winvf25.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winwg50.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winxd58.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winxe82.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winxg25.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winxg82.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Xeh03.sys');
 DeleteFile('C:\WINDOWS\system32\niwwowkr.exe');
 DelWinlogonNotifyByKeyName('WinCtrl32');
 DelWinlogonNotifyByKeyName('lstream');
 BC_ImportAll;
 ExecuteRepair(1);
 ExecuteRepair(13);
 ExecuteSysClean;
 BC_DeleteSvc('For36');
 BC_DeleteSvc('tcpsr');
 BC_DeleteSvc('Xeh03');
 BC_DeleteSvc('Winxg82');
 BC_DeleteSvc('Winxg25');
 BC_DeleteSvc('Winxe82');
 BC_DeleteSvc('Winxd58');
 BC_DeleteSvc('Winwg50');
 BC_DeleteSvc('Winvf25');
 BC_DeleteSvc('Wintf60');
 BC_DeleteSvc('Winsb58');
 BC_DeleteSvc('Winra03');
 BC_DeleteSvc('Winqy36');
 BC_DeleteSvc('Winpx26');
 BC_DeleteSvc('Winpw60');
 BC_DeleteSvc('Winnv47');
 BC_DeleteSvc('Winkn47');
 BC_DeleteSvc('Winhl47');
 BC_DeleteSvc('Windl36');
 BC_DeleteSvc('Wincm60');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=31343

3. Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[pitt]

Спасбо, вроде полутше стало. Вот новые логи. карантин загрузил.

[Rene-gad]

Ничего подозрительного.
Сервис Пак 3 поставьте, возможно потребуется активация системы.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 24
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\qkzmtugo.dat - Trojan.Win32.Agent.cid (DrWEB: Trojan.Sentinel)
  2. c:\\windows\\system32\\ipxrtmg.dll - Rootkit.Win32.Podnuha.aes (DrWEB: Trojan.Siggen.165)