Помогите грохнуть Rootkit.Win32.Agent.br

[Nicadim]

При проверке AVZ в safe mode получаю:
C:\WINDOWS\system32\drivers\_sv_.sy >>>>> Rootkit.Win32.Agent.br успешно удален.

Однако при повторном лечении все повторяется.

Symantec однозначно определяет:
Event: Threat Found!
Threat: Hacktool.Rootkit
File: C:\WINDOWS\system32\drivers\_sv_.sy
Location: C:\WINDOWS\system32\drivers

Однако и он ничего сделать не может. Ребут ничего не дает. Восстановление дисков отключено.

Замучился, помогите пожалуйста!

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\sysconf.exe','');
 QuarantineFile('C:\WINDOWS\system32\_sv_.exe','');
 QuarantineFile('c:\windows\vm_sti.exe','');
 QuarantineFile('c:\windows\vm303_sti.exe','');
 DeleteFile('C:\WINDOWS\system32\_sv_.exe');
 DeleteFile('C:\WINDOWS\system32\sysconf.exe');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

"Пофиксите" в HijackThis

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sysconf.exe
O23 - Service: Remote Administration Services (_sv_) - Unknown owner - C:\WINDOWS\system32\_sv_.exe

Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи.

[PavelA]

@ Maxim
Для удаления сервиса вставь команду:
BC_DelSvc('_sv_');

Фикс в HJ не срабатывает, если сервис запущен.

[Макcим]

Для удаления сервиса вставь команду:
BC_DelSvc('_sv_');

В логах AVZ он значится только в автозапуске.

[PavelA]

@Maxim См. лог Хиджака. Там этот файл в сервисах.

[Nicadim]

AVZ Ругается на команду BC_DelSvc('_sv_');


HJ:
F2 - не видит такого
O23 - Service: Remote Administration Services (_sv_) - Unknown owner - C:\WINDOWS\system32\_sv_.exe (file missing)

[PavelA]

@Nicadim Извини, что запутали. Мое письмо для Maxim.

Скрипт Maxima выполнили? Карантин закачали? Если да, то новые логи AVZ в студию.

[Nicadim]

Для получения новых логов надо заново выполнить стандартные скрипты "...Для раздела Помогите" или достаточно скрипта Maxima ?
Извините за непродвинутость

[PavelA]

Сначала выполнить скрипт Максима, затем загрузить получившийся карантин, а потом выполнить станд. скрипты из "Правил"

[Nicadim]

Сначала выполнить скрипт Максима, затем загрузить получившийся карантин, а потом выполнить станд. скрипты из "Правил"

Готово

[Bratez]

AVZ Ругается на команду BC_DelSvc('_sv_');

Потому что правильно BC_DeleteSvc

Файл _sv_.exe удален, а ключ службы в реестре остался.
Выполните скрипт:

begin
BC_DeleteSvc('_sv_');
BC_Activate;
RebootWindows(true);
end.

Что с _sv_.sy - все еще появляется?

[PavelA]

sysconf.exe - убит и не доехал до карантина.
_sv_.exe - чистый, причем существующий. Сервис удалять не будем.
Зря его убили

Надо поискать _sv_.sy через AVZ. В логах его видно не было.

[Nicadim]

sysconf.exe - убит и не доехал до карантина.
_sv_.exe - чистый, причем существующий. Сервис удалять не будем.

Надо поискать _sv_.sy через AVZ. В логах его видно не было.

Единственное слегка похожее на искомое C:\WINDOWS\Prefetch\_SV_.EXE-11CAAFD6.pf.
Не знаю что это. Выгружаю на всякий случай.

[Nicadim]

Потому что правильно BC_DeleteSvc

Файл _sv_.exe удален, а ключ службы в реестре остался.
Выполните скрипт:

begin
BC_DeleteSvc('_sv_');
BC_Activate;
RebootWindows(true);
end.

Что с _sv_.sy - все еще появляется?

ОК. Выполнил.
_sv_.sy щас пощупаю всякими антивирусами.

[Nicadim]

СПАСИБИЩЕ, братцы, кажется грохнули!

[Bratez]

_sv_.exe - чистый, причем существующий. Сервис удалять не будем.
Зря его убили

Таки не зря! Теперь уже детектится как Backdoor.Win32.Agent.ago
Интуиция, Ватсон!

[Макcим]

Сделайте ещё раз логи для контроля.

[Nicadim]

Сделайте ещё раз логи для контроля.

Кстати, а что там за перехватчик такой может быть, который неопределен?

[Bratez]

Перепровериться не лишнее

И то правда! Так и болтается в реестре ключ автозапуска
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Policies\Explorer\Run, _sv_
Сделайте в AVZ - Сервис - поиск данных в реестре,
поищите по образцу _sv_ и удалите.

[Nicadim]

...поищите по образцу _sv_ и удалите.

Удалить все или с параметром run?