ip6fw.sys

[Larsson]

Здравствуйте, помогите пожалуйста разобраться с вирусом. При каждой загрузке системы NOD32 находит вирус ip6fw.sys.
Логи AVZ сделать не могу, т.к. все зависает. Пытался сделать эти логи из безопасного режима, но там появляется синий экран. Вроде бы ругается на файл fastfat.sys.
Могу выложить только лог Hijackthis.

[Bratez]

Что-то подобное уже было не очень давно.
Попробуем закинуть "невод" наугад, может какая рыбка попадет
Выполните такой скрипт в AVZ:

begin
 BC_QrSvc('runtime');
 BC_QrSvc('runtime2');
 BC_QrSvc('NDnet1');
 BC_QrSvc('ip6fw');
 BC_QrSvc('pe386');
 BC_QrSvc('poof');
 BC_QrSvc('kprof');
 BC_QrSvc('xpdt');
 BC_QrSvc('xpdx');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
RebootWindows(true);
end.

После перезагрузки прикрепите файл boot_clr.log из папки с AVZ.

[Larsson]

Скрипт выполнил, прикрепляю boot_clr.log.

[Larsson]

Только что выполнил в безопасном режиме вот это:
"AVZ/Файл/Стандартные скрипты - отметить #1 - Выполнить".
AVZ нашел startdrv.exe.

Выслал все, что было в "карантине".

[Bratez]

Кое-что прояснилось. Теперь такой скрипт:

begin
BC_DeleteFile('C:\Windows\temp\startdrv.exe');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
BC_DeleteFile('C:\Windows\system32\drivers\runtime2.sys');
 BC_LogFile(GetAVZDirectory + 'boot_clr2.log');
 BC_Activate;
RebootWindows(true);
end.

После перезагрузки прикрепите файл boot_clr2.log
и попробуйте сделать логи в нормальном режиме.

Добавлено через 3 минуты

Только что выполнил в безопасном режиме вот это:
"AVZ/Файл/Стандартные скрипты - отметить #1 - Выполнить".
AVZ нашел startdrv.exe.

Да, я уже догадался, что он там есть.
Это Trojan-Downloader.Win32.Agent.brk.
Только без команды ничего не предпринимайте чтобы не создавать путаницу.

[Larsson]

Все скрипты выполнил.

[Bratez]

Добавьте лог программы HijackThis.

[Larsson]

Добавил.

[Bratez]

Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 DelSPIByFileName('imon.dlll',true);
 AutoFixSPI;
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки сделайте еще раз логи п.10-13 правил.

[Larsson]

Сделал.

[Bratez]

Теперь все чисто.
Можете еще пофиксить никому не нужный элемент автозапуска:

O4 - HKLM\..\Run: [OrderReminder] C:\Program Files\Hewlett-Packard\OrderReminder\OrderReminder.exe

и отключить службу Machine Debug Manager (по аналогичной причине).

Если что, заходите к нам еще .

[drongo]

MSIE: Unable to get Internet Explorer version!

похоже эксплореру пришёл каюк Надо бы заменить на оригинальный.

Чтобы уменьшить шанс заражения советуем на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": http://security-advisory.newmail.ru

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : http://virusinfo.info/showthread.php?t=3519
Мы будем Вам очень благодарны!

Удачи!

[Larsson]

Спасибо Вам большое!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\temp\\startdrv.exe - Trojan-Downloader.Win32.Agent.brl (DrWEB: BackDoor.Bulknet)