Podnuha

[Darkmor]

Всем привет, народ заражен файл
Файл C:\windows\system32\cliconf.dll, обнаружено: троянская программа 'Rootkit.Win32.Podnuha.ach'
стоит касперский 7 версии базы обновляются регулярно, написано что нужно прислать логи но я хз как это сделать лазил и что то не нашел. Скачал AVZ, пробовал скопировать скрипты из ранее созданных тем и ввести туда название своего файла, но не помогло(

[Aleksandra]

Скачал AVZ, пробовал скопировать скрипты из ранее созданных тем и ввести туда название своего файла, но не помогло(

Хотите систему свалить? Прочитайте и выполните правила без всякой самодеятельности.

[Darkmor]

Извините все нашел, прикрепил

[V_Bond]

отключите антивирус ...
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\Burn4Free Toolbar\v3.3.0.1\Burn4Free_Toolbar.dll','');
 BC_DeleteSvc('tcuykvfd');
 QuarantineFile('C:\WINDOWS\system32\Drivers\hxgrujvh.dat','');
 QuarantineFile('e:\evrika.pif','');
 DeleteFile('C:\WINDOWS\system32\Drivers\hxgrujvh.dat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
повторите логи ...

[Darkmor]

Карантин прислал, сейчас пришлю логи

[Darkmor]

Спасибо всё вылечилось)))

[V_Bond]

C:\WINDOWS\system32\oobe\msoobe.exe - Win32:Agent-XTH
C:\Program Files\Burn4Free Toolbar\v3.3.0.1\Burn4Free_Toolbar.dll - Adware.Burnfree.A
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');
 DelBHO('{55FAF0F2-44D4-425F-B5F5-6B275B621EAB}');
 DelBHO('{60BF5EE3-0105-4858-AD98-17C19F86B042}');
 DeleteFile('C:\Program Files\Burn4Free Toolbar\v3.3.0.1\Burn4Free_Toolbar.dll');
 DeleteFile('C:\WINDOWS\system32\oobe\msoobe.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

e:\evrika.pif - это что ?

[Darkmor]

Это cкачанный файл AVZ

[Rene-gad]

Это cкачанный файл AVZ

Принято Теперь выполняем скрипт и повторные логи после скрипта - в студию.

[Darkmor]

Вот. Тут еще пару вопросов возникло:
1. Зачем прописывался 2 скрипт, если 1ым все удалилось
2. Где я мог словить этот вирус

[Rene-gad]

Пофиксите для порядка:

O2 - BHO: (no name) - {140BD8E3-C167-11D4-B4A3-080000180323} - (no file)
O2 - BHO: (no name) - {A6984C00-C6EB-11D4-B4A4-080000180323} - (no file)

1. Зачем прописывался 2 скрипт, если 1ым все удалилось

А кто сказал что все? И потом: Разве оба скрипта одинаковы по содержанию?

2. Где я мог словить этот вирус

Неисповедимы пути господни
Книжку почитайте, чтобы не ловить: http://security-advisory.virusinfo.info/
И Сервис Пак 3 ставить надо.

[Darkmor]

А если сервис пак 3 установить, проги заново переустанавливать не придется?

[V_Bond]

нет ...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\hxgrujvh.dat - Rootkit.Win32.Agent.aap (DrWEB: Trojan.NtRootKit.73