Trojan.NtRootKit.1653

**Василёк** · 11-14-2009, 01:17 PM

Здравствуйте, требуется ваша помощь. Dr.Web периодически обнаруживает вирус по адресу:
"C:\WINDOWS\system32\drivers\synsenddrv.sys - инфицирован Trojan.NtRootKit.1653".

Удаляю его, но через некоторое время появляется тоже самое сообщение. Помогите избавиться от этой заразы.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**snifer67** · 11-14-2009, 01:22 PM

Пофиксить в HijackThis(некоторых строчек может и не быть)

Code:

O2 - BHO: (no name) - {0821ec26-1de4-47f7-bb30-47569d68c593} - (no file)
R3 - URLSearchHook: (no name) - {0821ec26-1de4-47f7-bb30-47569d68c593} - (no file)
F2 - REG:system.ini: Shell=explorer.exe rundll32.exe
3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O3 - Toolbar: (no name) - {0821ec26-1de4-47f7-bb30-47569d68c593} - (no file)
O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)

ПК перезагрузите.

Выполните скрипт в avz

Code:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('xnupwwv');
 DeleteService('Winqw85');
 DeleteService('synsend');
 QuarantineFile('C:\WINDOWS\system32\~.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('00000880.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winqw85.sys');
 DeleteFile('xnupwwv.sys');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userinit');
 DeleteFile('C:\WINDOWS\system32\~.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','advap32');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

**Василёк** · 11-14-2009, 04:26 PM

Originally Posted by snifer67

Пофиксить в HijackThis(некоторых строчек может и не быть)

выполнено

Originally Posted by snifer67

Выполните скрипт в avz

выполнено

Originally Posted by snifer67

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

карантин прислать не могу, так как он пустой

новые логи пересылаю

**snifer67** · 11-14-2009, 04:29 PM

Выполните скрипт в avz

Code:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('synsend');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Сделайте новый лог virusinfo_syscheck

**Василёк** · 11-14-2009, 07:06 PM

Originally Posted by snifer67

Выполните скрипт в avz

сделано

Originally Posted by snifer67

Сделайте новый лог virusinfo_syscheck

сделано

**PavelA** · 11-14-2009, 07:56 PM

Выполните скрипт:

Code:

begin
SetAVZPMStatus(True);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\hqkxlj.sys','');
 DeleteService('xnupwwv');
 QuarantineFile('C:\WINDOWS\system32\drivers\0000066B.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\0000066B.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\hqkxlj.sys');
BC_ImportAll;
ExecuteSysClean;
RebootWindows(true);
end.

Повторите логи AVZ
Если что-то в карантин попадет, то пришлите.

**Василёк** · 11-14-2009, 08:32 PM

Originally Posted by PavelA

Выполните скрипт:

сделал

Originally Posted by PavelA

Повторите логи AVZ
Если что-то в карантин попадет, то пришлите.

карантин выслал, новые логи прилагаю

**PavelA** · 11-14-2009, 08:37 PM

Опять возродился.

Действовать будем так:
при помощи Icesword убиваем драйвер с примерным именем:00000880.sys
после этого сразу же выполняем скрипт:

Code:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 
 DeleteService('synsend');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторить логи.

**Василёк** · 11-14-2009, 09:34 PM

при помощи Icesword убиваем драйвер с примерным именем:00000880.sys

Icesword скачал, но как найти и убить этот драйвер не понимаю, подскажите пожалуйста!!!

**PavelA** · 11-14-2009, 09:37 PM

http://virusinfo.info/showthread.php?t=17228 - тут расписано.

**Василёк** · 11-14-2009, 11:01 PM

при помощи Icesword убиваем драйвер с примерным именем:00000880.sys

извините, но подобного файла среди sys не нашел, что делать в таком случае?

**PavelA** · 11-14-2009, 11:16 PM

http://virusinfo.info/showpost.php?p=508814&postcount=8 - Скрипт выполнить и логи AVZ повторить.

**Василёк** · 11-15-2009, 12:01 AM

Скрипт выполнить и логи AVZ повторить

сделано. Dr.Web, кстати, руткита больше не обнаруживает.

**thyrex** · 11-15-2009, 12:26 AM

Порядок

Установите SP3 (может потребоваться активация) + все новые заплатки
Установите Internet Explorer 8
Установите Adobe Acrobat 9.2 или удалите старый

**Василёк** · 11-15-2009, 10:07 PM

Originally Posted by thyrex

Порядок

Установите SP3 (может потребоваться активация) + все новые заплатки
Установите Internet Explorer 8
Установите Adobe Acrobat 9.2 или удалите старый

Все ПО обновил. Я не понял, вирус то отловился или еще нет?

**pig** · 11-15-2009, 10:13 PM

В логах чисто. Проблема ушла?

**Василёк** · 11-15-2009, 10:17 PM

В логах чисто. Проблема ушла?

Да вроде ушла, антивирус больше ничего не обнаруживает. Спасибо!

**CyberHelper** · 11-16-2009, 10:17 PM

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 1
В ходе лечения вредоносные программы в карантинах не обнаружены

Trojan.NtRootKit.1653 (заявка № 60219)

Thread Tools