NtRooKit.312 не лечиться...Помогите пожалуйста!

[PADRE]

Здравствуйте! Помогите справиться с этой заразой. После лечения доктором Вебом (он его удаляет) после перезагрузки системы вирус появляется снова...
Заранее благодарен за помощь!

[AndreyKa]

Запустите AVZ.
Обновите бызы AVZ.
Закройте все другие программы.
Выполните скрипт через меню Файл:

Begin
ClearQuarantine;
 SetAVZGuardStatus(True);
 ExecuteRepair(6);
 QuarantineFile('c:\windows\system32\mssrv32.exe','');
 QuarantineFile('c:\docume~1\admin\locals~1\temp\winlogon.exe','');
 DeleteFile('c:\docume~1\admin\locals~1\temp\winlogon.exe');
 QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA','');
 DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA');
 BC_DeleteSvc('FCI');
 BC_DeleteSvc('msupdate');
 ExecuteSysClean;
 BC_ImportAll;
 RebootWindows(false);
 end.

Компьютер перезагрузится.
Пришлите то, что попадет в карантин так, как написано в приложении 3 Правил.
Сделайте новые логи и приложите их к вашей теме.

[PADRE]

Здравствуйте! Только сейчас смог сесть за комп чтобы сделать то что Вы написали. Базы обновил, скрипт выполнил, но всё равно с машинкой что то не то - после перезагрузки системы постоянно выскакивает какой то мастер регистрации. Решил проверить систему утилитой - после проверки АВЗ показывает наличие трояна...Высылаю повторно логи...ПОМОГИТЕ ПОЖАЛУСТА!!!

[PavelA]

Профиксить:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\regwiz.exe,

Был ПИНЧ. Надо менять пароли!!

Выполнить скрипт в защищ. режиме:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\mssrv32.exe','');
DeleteFile('c:\windows\system32\mssrv32.exe');
BC_ImportAll;
BC_deleteSvc('msupdate');
BC_deleteSvc('FCI');
BC_deleteSvc('ICF');
BC_Activate;
RebootWindows(true);

end.

прислать карантин.

сделать новые логи.

[PADRE]

Сделал всё как Вы указали в инструкции (если я правильно Вас понял то защищенный режим - это есть безопасный режим). После перезагрузки мастер перестал появляться...СПАСИБО ВАМ ОГРОМНОЕ!!!
Высылаю новые логи.

[moderaded! Карантин нужно присылать в соответствии с приложением 3 правил]

[PavelA]

Остатки чистим:
Пуск - Выполнить - sc delete ICF

"Дырки" при желании надо тоже закрывать. См. лог AVZ внизу.

Добавлено через 1 минуту

Не забудьте про смену паролей.

[PADRE]

Ну простите меня идиота...с радости что всё получилось удалил папку АВЗ...а теперь не знаю что и делать...Не судите сторого...Я имею ввиду карантин...

[Shu_b]

Ну простите меня идиота...с радости что всё получилось удалил папку АВЗ...а теперь не знаю что и делать...Не судите сторого...Я имею ввиду карантин...

ok, загрузил за вас.

[PADRE]

СПАСИБО ВАМ ОГРОМНОЕ ЁЩЕ РАЗ!!! ХОРОШО КОГДА ЕСТЬ ХОРОШИЕ ЛЮДИ!