Злой руткит, никак не могу избавиться ...

[Petro8i4]

Здравствуйте!

Во вложении то, что удалось собрать ... только первый лог, при попытке собрать ещё какую либо инфу, avz сворачивается и запуску уже не поддаётся и все остальные проги и антируткиты направленные на уничтожение зверя тоже гибнут мгновенно. Вижу в логах, что авз нашёл его подозрительным, как изничтожить?

[Info_bot]

Уважаемый(ая) Petro8i4, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Petro8i4]

хммм.... получилось!!!!!

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
BC_DeleteFile('c:\windows\1351908896:3749800879.ex e');
BC_DeleteFile('c:\windows\1351908896:3749800879.ex e:$DATA');
BC_DeleteFile('C:\WINDOWS\system32\aawfvjf.dll');
BC_DeleteFile('C:\Program Files\kingzm\Folder Watch Dog\RFFService.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Micr osoft\Windows\CurrentVersion\Run','Folder Watch Dog');
BC_DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\kg tdqpoc.sys');
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

От тварь же!!!!!!

[polword]

- Сделайте повторные логи в нормальном режиме по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Petro8i4]

Да уж ... кое-что осталось ... посмотрите пожалуйста!

[polword]

1.Профиксите в HijackThis

O9 - Extra button: (no name) - {53F6FCCD-9E22-4d71-86EA-6E43136192AB} - (no file)
O9 - Extra button: (no name) - {925DAB62-F9AC-4221-806A-057BFB1014AA} - (no file)

2.Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\aawfvjf.dll','');
 DeleteFile('C:\WINDOWS\system32\aawfvjf.dll');
 DeleteFile('C:\WINDOWS\system32\5.tmp');
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows','AppInit_DLLs','');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Petro8i4]

Доброго дня!!!
У меня рецедив, опять то же самое(((
Буду исправно лечить до конца ... честно!!!
Во вложении всё, что получается добыть, что делать?

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\1426323201:4262001834.exe:$DATA','');
 DeleteFile('c:\windows\1426323201:4262001834.exe:$DATA');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[Petro8i4]

MBAM встал, но скан только запустился и сразу свернулся, после чего повредился исполнительный файл и сканер уже не запускается (отказано в доступе к файлу, устройству или выбранному объекту. возможно у вас нет прав доступа к этому объекту) ... пытаюсь сделать новые логи ...

[thyrex]

Сделайте лог ComboFix

[Petro8i4]

Новые логи ... hijackit сворачивается и перестаёт запускаться ... MBAM такая же петрушка. После очередной перезагрузки опять появилась в процессах эта гадость - 1426323201:4262001834.exe.

[Petro8i4]

С ComboFix не пойму инсталлировал ... висит окно голубого цвета и всё ... ничего не происходит ...

Добавлено через 19 минут

был только что какой-то просвет запустился Каспер, я его каким-то образом пытался установить в моменты прояснения, начал сканить - win32.patched.mf практически все файлы которые запускались были заражены ... дошёл до 88% и перезапустился, а тут опять всё по старому!

Добавлено через 8 часов 17 минут

Удалось запустить ComboFix - он дал название вражине - Zeroaccess, пытается убить, но не обещает ... порылся в нете это действительно он - http://www.youtube.com/watch?v=aoplNh3kT2Y. Везде есть описание, но нигде не вижу пока способа уничтожения.

Добавлено через 1 час 52 минуты

На данный момент пишу с заражнного компа ... поставил опять каспера, делается полная проверка. Кажется руткит или уничтожен или затаился. ComboiFix возможно его уничтожил, вроде бы как шла проверка компа, но при этом ничего не происходило, винт даже заснул, окошко с ним висело и не закрывалось никаким образом, на свой страх и риск перегрузил комп, в процессах гада не обнаружил, запустил Hitman pro, проовёл полную проверку, нашёл кучу хлама и пару файлов похоже относящихся к руткиту, всё исправил. Подчинили каспера и вот сейчас он опять обнаружил в файле searchprotocolhost.exe trojan.win32.patched.mf ... а этот файл был в процессах. В общем в несколько кругов проведу проверку, потом сделаю логи, думаю ось надо обновить как минимум, очень сильно побило её и вирусом и антивирусами.

[Petro8i4]

Вот логи с пылу с жару ... в общем антивирусы перестали работать, что случилось не пойму,ось пытался переустановить тоже не получается. Не осталось ли чего?

[thyrex]

Лог TDSSkiller сделайте

[Petro8i4]

Сделал, вроде бы ничего подозрительного

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\1426323201:4262001834.exe:$data - Backdoor.Win32.ZAccess.ob ( DrWEB: BackDoor.Maxplus.24, BitDefender: Trojan.Generic.6454905, NOD32: Win32/Sirefef.CT trojan, AVAST4: Win32:Tiny-AMB [Rtk] )
  2. c:\\windows\\1426323201:4262001834.exe:$data - Backdoor.Win32.ZAccess.ob ( DrWEB: BackDoor.Maxplus.24, BitDefender: Trojan.Patched.HE, NOD32: Win32/Patched.HN trojan, AVAST4: Win32:Tiny-AMB [Rtk] )