Rootkit.Win32.Podnuha.aln

[hokum83]

Здравствуйте. Помогите, пожалуйста, разобраться с сей тварью.

[Rene-gad]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{5D7900EC-76A1-417D-9F0D-F6730BE3F90D}');
 QuarantineFile('C:\WINDOWS\system32\cmpbk3.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ogjzuiey.dat','');
 DeleteService('ucgcalhi');
 DeleteFile('C:\WINDOWS\system32\drivers\ogjzuiey.dat');
 DeleteFile('C:\WINDOWS\system32\cmpbk3.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('ucgcalhi');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы.
- Прикрепите логи к новому сообщению.

[hokum83]

новые логи

[Rene-gad]

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Drivers\Ahn05.sys','');
 DeleteService('Ahn05');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ahn05.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Ahn05');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторные логи по правилам.
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы.
- Прикрепите логи к новому сообщению.

[hokum83]

карантин получили?
новые логи:

[Rene-gad]

Зловредного в логах не вижу.
Какие еще проблемы?

[hokum83]

В событиях антивируса касперского постоянно при запуске выскакивает "Попытка процесса с PID **** получения к доступа к процессу антивируса..."

[Rene-gad]

В событиях антивируса касперского постоянно при запуске выскакивает "Попытка процесса с PID **** получения к доступа к процессу антивируса..."

Определите с помощью диспетчера задач или ProcessExplorer - на какие процессы ругается Каспер.

[hokum83]

lwemon.exe

Добавлено через 1 минуту

и explorer.exe

[Rene-gad]

Первый от Логитех, второй - от Виндовс. Добавьте их в доверенные.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 11
• В ходе лечения вредоносные программы в карантинах не обнаружены