Неубиваемые трояны

**PavelA** · 27.06.2007, 12:36

Нет!! Борьба будет продолжена до победного конца.
Первый скрипт из сообщения #37 выполнить в защищенном режиме.Если в карантин ничего не попадет, то там же поискать этот злосчастный C:\WINDOWS\system32\drivers\mnqvberu.sys
Он очень нужен. Есть мнение, что это новая модификация.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Darria** · 27.06.2007, 12:46

будем искать...

**Darria** · 27.06.2007, 13:09

Всё по-прежнему: ошибка прямого чтения, в карантин не попадает.

**Darria** · 27.06.2007, 14:12

Следствие зашло в тупик?

**PavelA** · 27.06.2007, 14:14

Запросил "помощь у зала" (Олега Зайцева)

**Muffler** · 27.06.2007, 18:03

Darria,

1. Cкачайте The Avenger
2. Распакуйте программу к примеру в каталог C:\Avn
3. Запустите Avenger.exe и выберите "Input script manually"
4. Нажмите на иконку с увеличительным стеклом.
5. Введите в открывшееся окно текст из рамки ниже, (для этого пометьте текст в рамке выберите "копировать" и "вставить" его в окно программы) -

Код:

FILES TO MOVE:

“C:\WINDOWS\system32\drivers\mnqvberu.sys” | “C:\mnqvberu.dat”

6. Нажмите на иконку со светофором.
7. Перезагрузитесь.
8. После перезагрузки в блокноте откроется файл с протоколом выполнения, сохраните его.
9. Добавьте сохраненный файл в следующее сообщение, плюс пришлите нам по правилам файл C:\mnqvberu.dat.

**Darria** · 28.06.2007, 11:40

Ничего не получилось! ! !
После перезагрузки вылезло сообщение, что файл avenger.txt не может быть найден и сообщение создать таковой (пустой, естественно). При попытке в AVZ закарантинить нужный файл - всё то же: ошибка прямого чтения...

**PavelA** · 28.06.2007, 11:56

Значит пойдем так: AVZ - Сервис - Модули пространства ядра -
найти этот модуль - вверху кнопочка "Копировать в карантин". Если не получится, то "Снять дамп памяти".

**Darria** · 28.06.2007, 12:03

В карантин не добавлся, зато "Дампирование драйвера успешно завершено". Теперь?

**PavelA** · 28.06.2007, 12:23

Приложить этот дамп сюда. Эксперты посмотрят и скажут с чем мы боремся. Может это "ветряные мельницы" , а может "зверь".

**Darria** · 28.06.2007, 12:28

Прошу прощения, а как этот дамп приложить? Точнее, где его взять? Или это означает, что указанный файл нужно закарантинить в AVZ?

**PavelA** · 28.06.2007, 12:38

В AVZ нажимаете кнопочку снятия дампа данного файла. Программа задаст вопрос. Ответ "Да" - создание файла с расширением dmp.
Его прикладываем.

Извините, что писал раньше короче.

**Darria** · 28.06.2007, 12:53

Да ничего, ничего

Можно и короче. Музыкальное образование иногда мешает

). А файл отправила.

**Darria** · 01.07.2007, 12:53

Спасители! на вас одна надежда! Неужели всё так плохо?? Или наоборот - чисто и не стоит беспокойств?

**Darria** · 04.07.2007, 23:21

Други, простите, что надоедаю с вопросами - про меня не забыли? В любом случае спасибо! С вашей помощью практически любой может оказать первую помощь своей пострадавшей машинке

**Bratez** · 05.07.2007, 01:42

Сообщение от Darria

про меня не забыли?

Нет! Ваш случай непростой и нетипичный (этот mnqvberu.sys), консилиум работает, ответ будет в ближайшее время.

**Darria** · 05.07.2007, 08:10

Спасибо!

**Bratez** · 05.07.2007, 12:10

Попробуем еще один способ, говорят - действует

Скачайте и установите программу Rootkit Unhooker.

Запустите программу, выберите в меню Tools - Wipe/Copy File,
нажмите Browse, выберите файл
C:\WINDOWS\system32\drivers\mnqvberu.sys,
переключатель в окошке оставьте в позиции Direct File Copying,
нажмите Do operation, выберите куда сохранить файл, и сохраните.

Заархивируйте сохраненный файл в zip или rar с паролем virus
и пришлите через эту форму.

Если все получится, следующим ходом напишу удаление.

**Darria** · 05.07.2007, 17:12

Сделала всё по-написанному, появилось сообщение, что файл скопирован, но его НЕТ в той папке, куда я его сохраняла - ни в скрытом виде, ни в каком. Зато NOD32 сообщил, что это есть Win32/Delf.NFO троян, и что он его поместил в карантин. Вторичная попытка с отключенным NOD32 также не дала никаких результатов.