Удалил троян. Есть ли RootKIT ?

[serjga]

Доброго ВАМ здоровья!
Процессор - 90+
Осталось ли что-то после чистки?
Спасибо!

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('digeste.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\krgnnr.sys','');
 QuarantineFile('C:\WINDOWS\Fonts\AGENCYB.EXE','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1033\conmgr.exe','');
 QuarantineFile('C:\WINDOWS\darum4.exe','');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\w_wF20.tmp','');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\w_wF20.tmp');
 DeleteFile('digeste.dll');
 DeleteFile('C:\WINDOWS\system32\drivers\krgnnr.sys');
 DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1033\conmgr.exe');
 DeleteFile('C:\WINDOWS\Fonts\AGENCYB.EXE');
 DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');
 DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\VBRuntime','EventMessageFile');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\SecurityProviders','SecurityProviders');
 DeleteService('abp470n5');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 AutoFixSPI;
 ExecuteWizard('TSW', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[serjga]

Результат загрузки
Файл сохранён как 110411_203028_virus_4da364e4aba07.zip
Размер файла 30996
MD5 6cafaeb6f76ca34122a50581c0bc31fa
Файл закачан, спасибо!

логи следуют...

[regist]

Профиксите в HijackThis

R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O3 - Toolbar: QT Breadcrumbs Address Bar - {af83e43c-dd2b-4787-826b-31b17dee52ed} - mscoree.dll (file missing)
O3 - Toolbar: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - (no file)
O3 - Toolbar: (no name) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3C} - (no file)
O4 - HKCU\..\Run: [darum4] C:\WINDOWS\darum4.exe
O9 - Extra button: Download Master - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - C:\Program Files\Download Master\dmaster.exe (file missing)
O9 - Extra 'Tools' menuitem: &Download Master - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - C:\Program Files\Download Master\dmaster.exe (file missing)
O20 - Winlogon Notify: crypt - crypts.dll (file missing)

+ Проведите процедуру, которая описана в первом сообщении тут. Результат загрузки напишите в сообщении здесь.

[serjga]

Доброго ВАМ здоровья!
Что сейчас с логами и карантином, Уважаемые?
Спасибо!

[serjga]

regist,
странно: когда писал последнее сообщение - ВАШЕГО НЕ БЫЛО!!!
мистика.....

[миднайт]

В AVZ выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\darum4.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','darum4');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки повторите логи в полном объеме.

[serjga]

Есть!

[polword]

Отключите Системное восстановление!!! как- посмотреть можно тут
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('C:\WINDOWS\Fonts\AGENCYB.EXE');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторный лог virusinfo_syscure.zip;

[serjga]

Отключите Системное восстановление!!!

ПРОСТИТЕ!!! устал...
Исправляемся....

[serjga]

Итак:

[миднайт]

похоже чисто.

[serjga]

похоже чисто.

Скажите: я правильно понял, это был RootKIT ?

[миднайт]

Нет, не руткит.
C:\WINDOWS\darum4.exe, C:\WINDOWS\Fonts\AGENCYB.EXE - Trojan.Qhost.72 (drweb)
Это то что мы поймали.

[serjga]

Trojan.Qhost.72 (drweb)

Интересно: в SafeMode чистили лечащим каспером: всё удалили вроде... Откуда?
Или он скрывался?

[миднайт]

Трудно сказать. Вам нужно обновиться.
Выполните в AVZ скрипт из файла ScanVuln.txt откройте файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления. (Обратите внимание, при установке сервис паков, обновлении ОС, может потребоваться повторная активация Windows)
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 14
• В ходе лечения вредоносные программы в карантинах не обнаружены