Руткит

[sadbadger]

Здравствуйте! При сканировании Аваст сообщил о наличии руткитов в системных файлах. Предложил "удалить немедленно" и провести полное сканирование перед загрузкой Windows. После загрузки Windows снова обнаруживается все тот же "пакет" руткитов и повторяется сказка про белого бычка. При сканировании Curelt в безопасном режиме вирусов не обнаружено. При сканировании в AVZ запуск драйвера расширенного мониторинга прерывается сообщением сканера Аваст, что в драйверах обнаружен руткит. Происходит ошибка загрузки драйвера (С0000034), после чего проверка продолжается и AVZ никаких вредоносных программ не находит.

[akok]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 SetServiceStart('psyche', 4);
 QuarantineFile('E:\Program files\AGAVA AntiSpy\ah.exe','');
 QuarantineFile('C:\WINDOWS\System32\psyche.exe','');
 DeleteFile('msansspc.dll');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB}');
 DeleteService('psyche');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил


Включите AVZPM и повторите логи.

[sadbadger]

Прилагаю логи.

[Bratez]

Пофиксите в HijackThis:

R3 - URLSearchHook: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

Выполните скрипт в AVZ:

begin
BC_DeleteSvc('psyche');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
Проблема решена?

[sadbadger]

Нет... Не решена... Снова при запуске AVZ сканер Аваст сообщает о наличии Win32Rootkit по адресу C:/Windows/system32/Drivers/utm3otm5.sys, а при сканировании Аваст опять выдает список из 15 зараженных "скрытм руткитом" файлах

[Bratez]

при запуске AVZ сканер Аваст сообщает о наличии Win32Rootkit по адресу C:/Windows/system32/Drivers/utm3otm5.sys

А разве не написано в правилах, что надо отключать антивирус при запуске AVZ?? utm3otm5.sys - это драйвер от AVZ.

Аваст опять выдает список из 15 зараженных "скрытм руткитом" файлах

Весь список огласите, пожалуйста.

[sadbadger]

Сорри, соррри. Забыла отключить. Новые логи с отключенным антивирусником прилагаю.
Списочек большой...Оглашаю:
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\system.ini\VCL35.BPL" file.
Sign of "Rootkit: hidden file" has been found in C:\WINDOWS\system.ini\BORLNDMM.DLL" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\system.ini\CP3240MT.DLL" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\system.ini\BCBSMP35.BPL" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\system.ini\VCLX35.BPL" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\system.ini\COMCTL32.DLL" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\twain_32.dll\LogiVid\HPortal2.dll" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\twain_32.dll\LogiVid\LHPorta2.dll" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\twain_32.dll\LogiVid\HVideoS2.exe" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\twain_32.dll\LogiVid\HVidSp2.dll" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\twain_32.dll\LogiVid\PCSmart2.dll" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\twain_32.dll\LogiVid\InstVid.exe" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\twain_32.dll\LogiVid\LQCT32_2.dll" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\twain_32.dll\LogiVid\qctw32_2.ds" file.
Sign of "Rootkit: hidden file" has been found in "C:\WINDOWS\twain_32.dll\LogiVid\msvcp71.dll" file.

[sadbadger]

Молчанье, был ему ответ....
Лю-юди! Все так плохо? Пора винды сносить?

[Гриша]

Сделайте полную проверку AVPTool и сделайте новые логи...

[sadbadger]

AVPTool нашел и обезвредил 2 трояна в системных файлах. После этого драйвер AVZ стал загружаться беспрепятственно. Однако Аваст по-прежнему сообщает о 15 зараженных файлах...

[Bratez]

Признаков активного заражения в логах не видно.

Список странный весьма. system.ini и twain_32.dll - это что, папки такие?

[sadbadger]

System.ini обнаружила в виндовой папке под названием "pss". В ней всего 3 файла -boot.ini.buckup, system.ini.buckup, win.ini.buckup, и все весят 1 байт...(Может грохнуть ее не глядя?! )
Twain_32 - это папка, внутри которой папки с "деталями" от принтера, вебкамеры и пр.
Ничего более путного сказать вам больше не могу.... Чайник я.

Добавлено через 2 часа 1 минуту

О, сорри. Нашла Twain_32.dll Это, ес-но, не папка, а виндовский файл...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения вредоносные программы в карантинах не обнаружены