Последствия Worm.Win32.Autoit.xl и руткит

**BooZ** · 04.05.2011, 14:11

Здравствуйте!

Полечил комп от Worm.Win32.Autoit.xl, но похоже следы "зверя" остались.
Не запускался профиль пользователя, в реестре подправил. Постоянно запускается утилита апдейта Windows. Посмотрите логи:
Файлы fireface.exe и firefacemix.exe легальные.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 04.05.2011, 16:09

Проверьте компьютер TDSSKiller'ом:
http://support.kaspersky.ru/viruses/...?qid=208636990

**BooZ** · 04.05.2011, 16:28

Сообщение от Bratez

Проверьте компьютер TDSSKiller'ом:
http://support.kaspersky.ru/viruses/...?qid=208636990

TDSSKiler ничего не обнаружил при запуске в обычном режиме.
Попробовать в безопасном?

**Bratez** · 04.05.2011, 16:29

Попробуйте.

**BooZ** · 04.05.2011, 17:29

В безопасном режиме тоже ничего не найдено.
Может какой файл прислать для проверки на карантин?

**Bratez** · 05.05.2011, 02:58

В логе гмера указано на изменения в коде MBR, отсюда и подозрение на буткит. Но раз не найдено, значит все нормально. А так в логах ничего плохого.

**BooZ** · 05.05.2011, 10:04

А вот в логах ABZ^
C:\WINDOWS\system32\fsmgmt.dll ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности).
C:\WINDOWS\system32\secpol.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности).
Не обращать внимание?
Хотя запуск secpol.exe был прописан в реестре в строке с userinit и какая-то зараза исправляла путь к userinit, но уже после лечения ПК.