DrWeb не может удалить startdrv.exe

[hKarel]

При проверке DrWeb-ом обнаружились зараженные файлы:
C:\WINDOWS\system32\drivers\ip6fw.sys
C:\WINDOWS\system32\drivers\runtime2.sys
C:\WINDOWS\Temp\startdrv.exe

Файл ip6fw.sys мне удалось заменить здоровым из папки dllcache, DrWeb перестал на него ругаться. Проблема с этим файлом решикась, как мне кажется.

Для файла runtime2.sys в "Безопасности" для всех пользователей я снял все разрешения и выставил все запреты. После перезагрузки файл удалось удалить.

Файл startdrv.exe - удаляется без проблем, но после перезагрузки восстанавливается. На данный момент я снял с него все разрешения и выставил все запреты. Но к сожалению, не могу судить насколько это окажется действенно для вируса.

Перед выполнением всех манипуляций с файлами восстановление системы было отключено.

Так же обнаружил, что реестре самовосстанавливаются после перезагрузки следующие ветки (это происходить уже после того как файл runtime2.sys был удален):
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Sa feBoot\Minimal\runtime2.sys]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Sa feBoot\Network\runtime2.sys]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\r untime2]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Sa feBoot\Minimal\runtime2.sys]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Sa feBoot\Network\runtime2.sys]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\r untime2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\Minimal\runtime2.sys]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SafeBoot\Network\runtime2.sys]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\runtime2]

А вот эти ветки система не дает удалять, говорит: "Ошибка удаления раздела"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_RUNTIME2]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\ LEGACY_RUNTIME2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_RUNTIME2]

[Макcим]

Выполните скрипт в AVZ

begin
 BC_DeleteSvc('runtime2');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_Activate;
 RebootWindows(true);
end.

Потом ещё один

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\winwea32.dll','');
RebootWindows(false);
end.

Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи.

[hKarel]

Файлы карантина выслал.
Ниже - логи.

[AndreyKa]

Выполните скрипт:

begin
SetAVZGuardStatus(True);
 DelCLSID('91BA5991-C1CA-4B93-BE2F-2F95BF0E2702');
 DelCLSID('A416D604-EAA3-4618-958C-2ECA22414616');
 DelCLSID('0E1230F8-EA50-42A9-983C-D22ABC2EED3B');
 DelCLSID('4B5A7560-16C6-4063-86D3-000000000003');
 DeleteFile('C:\WINDOWS\system32\winwea32.dll');
 SysCleanAddFile('winwea32.dll');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

[hKarel]

Систему проверил DrWeb-ом - вирусов обнаружено не было.
Единственно хотел отметить, что при выполнения двух последних скриптов в начале процесса перезагрузки - система висла намертво, помогал только reset. Так должно быть ? В дальнейшем, при повторных перезагрузках, ни каких проблем не наблюдалось.
В любом случае, всем кто мне помогал, хочу сказать большое спасибо! Было приятно иметь с вами дело

P.S. У меня в методах оповещения было выставлено "Моментальное уведомление на email" - однако ни одного уведомления на мой майл так и не пришло.

[Muzzle]

повторите логи для контроля.

[hKarel]

Держите

[Макcим]

"Пофиксите" в HijackThis

O9 - Extra button: (no name) - {4B5A7560-16C6-4063-86D3-000000000003} - (no file)
O9 - Extra 'Tools' menuitem: Блокировка всплывающих окон - {4B5A7560-16C6-4063-86D3-000000000003} - (no file)

Проблема решена?

[hKarel]

Пофиксил

Проблема решена?

Если Вы о всплывающих окнах в IE, то мне трудно сказать решена ли проблема. Я не пользуюсь IE, использую Оперу.

[Макcим]

Я имею ввиду первоначальную проблему, которая Вас заставила обратиться на форум.

[hKarel]

На данный момент первоначальная проблема решена, DrWeb говорит, что "все чисто". Еще раз всем спасибо, тему считаю закрытой.

[Макcим]

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[hKarel]

Файлик закачал (070711_191951_virusinfo_files_KARELIN-CMP_4694f51706c0e.zip)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\winwea32.dll - Trojan.Win32.Agent.qt (DrWEB: Trojan.Mezzia)
  2. c:\\windows\\temp\\startdrv.exe - Trojan-Downloader.Win32.Diehard.bi (DrWEB: BackDoor.Bulknet)
  3. \\startdrv.exe - Trojan-Downloader.Win32.Agent.fke (DrWEB: Trojan.Packed.230)