Руткит ?

[Sem0709]

Здравствуйте.
Началось все с отказа запуска Office 2007 (Word, Excel)
Запустить CureIt! и AVPTool не удалось.

Пытался "Блокировать работу Rootkit ..." AVZ зависает.

[Info_bot]

Уважаемый(ая) Sem0709, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[crush13]

Sem0709, здравствуйте.
Это Вам знакомо?

C:\Windows\winstart.bat

1. Выполните скрипт в AVZ ("Файл - Выполнить скрипт" или в англ.версии "File - Custom scripts"). Скопируйте текст кода и вставьте в окно, нажмите "Выполнить (Run)":

begin
SearchRootkit(true, true);
 ClearQuarantine;
 QuarantineFile('C:\Windows\SysWOW64\nvinit.dll','');
 QuarantineFile('C:\Windows\System32\relpost.exe','');
 QuarantineFile('C:\Windows\system32\qmgr.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
2. После перезагрузки выполните такой скрипт:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

3. Файл quarantine.zip из корня папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы;

[Sem0709]

Это Вам знакомо?

C:\Windows\winstart.bat

Нет. Но я проверял, батник пустой.

1. Выполните скрипт в AVZ....

Не выполняется - AVZ зависает.

[Techno]

Не выполняется - AVZ зависает.

Строку

SearchRootkit(true, true);

удалите и попробуйте запустить.

[Sem0709]

Да, выполнился, НО, в папку карантин ничего не перемешается, сам AVZ пишет что-то про ошибку прямого чтения (это до перезагрузки). После перезагрузки выполняю второй скрипт, создается архив, почему-то winRAR пишет что он поврежден и весит он 1Кб.

Файл через форму сайта не загружается, пишет что файл уже был загружен...

[Techno]

Сделайте лог полного сканирования MBAM.

[Sem0709]

Пробовал, не устанавливается. Пишет что-то про доступ к папке "ProgramData".

MBAM в эту папку конфиги должен скопировать, а у него почему-то нет доступа, без них (конфигов) он не запускается. Права на учетке администратора, запускал от администратора - четно.

[Techno]

Пишет что-то про доступ к папке "ProgramData".

А если правой кнопкой мыши и "запустить от имени администратора"?

[Sem0709]

Запускал.

Невозможно создать папку...
Ошибка 5: Отказано в доступе...

[Techno]

Сделайте лог RSIT

[Sem0709]

Сделайте лог RSIT

Вот:

[Techno]

Сделайте лог TDSS

[Sem0709]

Сделайте лог TDSS

Вот:

[Techno]

- Сделайте лог ComboFix.

[Sem0709]

- Сделайте лог ComboFix.

Вот:

[Techno]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\windows\system32\E3DA.tmp
c:\windows\system32\F353.tmp
c:\windows\system32\8297.tmp
Driver::
MEMSWEEP2

Folder::

Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\MEMSWEEP2]

FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Что с проблемами?

[Sem0709]

Excel, Word не запускается.
MBAM по прежнему не устанавливается, ошибка та же.

Попытаться ещё раз блокировать Рудкит с помощью AVZ ?

Лог:

[Techno]

Попытаться ещё раз блокировать Рудкит с помощью AVZ ?

Каким образом и что Вы блокируете с помощью АВЗ?

[Sem0709]

Наверное это я лишнее ляпнул

Каким образом и что Вы блокируете с помощью АВЗ?

Я имел ввиду опции:
- Блокировать работу Rootkit User-mode
- Блокировать работу Rootkit Kernel-mode

До написания первого поста, их использование приводило к зависанию AVZ.