Невідомий руткит кіс 2009 з загузочного диска його не бачить

[ALEX(XX)]

по авз тоже что и било реузультата нет

Шановний, поясніть будь-ласка, що Ви маєте на увазі?

Добавлено через 3 минуты

Якщо Ви кажете, що у протоколі АВЗ все залишилось як було, то надайте його нам. Може дещо змінилось?

[suord]

+ avz

[ALEX(XX)]

suord, скажіть будь-ласка, Ви виконали це?

И так, 1 - удалите даемонд тулз - мешает очень
2. Переименуйте sfcfiles.dll что в system32 и скопируйте туда sfcfiles.dll из dllcache. После ребутнитесь.

[suord]

каспер ппровірки зробити не може вибиває в логах провірка почата через 2-3 хв. провірка зупинена(зупиняється сам)
повтійні повідомлення про
"Обнаружено: IrpTableChanged"
Авз показує при провірці
1.5 Проверка обработчиков IRP
"\FileSystem\ntfs[IRP_MJ_CREATE] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 8A35B1F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CREATE] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CLOSE] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_WRITE] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_EA] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_EA] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_PNP] = 89E171F8 -> перехватчик не определен"

и ось це
"Функция IoAllocateIrp (804EAF9D) - модификация машинного кода. Метод не определен., внедрение с байта 15"
ось такі мої проблеми напевно я вже вам надоїв, вибачайте


декілька днів назад даних проблем не було

[ALEX(XX)]

ось такі мої проблеми напевно я вже вам надоїв, вибачайте

Ні, Ви нам не набридли Зрозуміло. Ви зробили те, що Вам сказав Alex_Goodwin? (дивіться пост №23)

[suord]

так виконав.

[ALEX(XX)]

так виконав.

Так. Але, як я вірно Вас зрозумів, нічого не допомогло і проблема не вирішена? Якщо це так, то, будь-ласка, зачекайте до завтра. Завтра буде засідання нашого консиліуму, де цей випадок будуть вивчати наші спеціалісти (колективний розум, так би мовити). Як тількі буде остаточне рішення, ми одразу Вам надамо необхідні рекомендації по лікуванню. Вас влаштовує такий варіант розв'язання проблеми?

[suord]

дякую буду чекати

[ALEX(XX)]

дякую буду чекати

Ось і домовились Чудово.

[Alex_Goodwin]

Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\wuauserv.dll ',' ');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\spdt.sys');
 BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\spdt.sys');
DeleteService('Winta30', true);
 BC_DeleteSvc('Winta30');
BC_DeleteSvc('spdt');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Карантин по правилам, после перезагрузки новые логи.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены