троян в ksys.sys

[u-gin]

здравствуйте. у меня вчера Аваст блокирнул браузеры. при сканировании обнаружил троян в ksys.sys... ksys.sys не удаляется и при сканировании постоянно пишет что там вирус. пришлось удалить аваст. что делать? как от него избавится...
заранее спасибо

[Rene-gad]

здравствуйте. у меня вчера Аваст блокирнул браузеры.

и при этом пал смертью храбрых Вы Др.Веб прогоняли перед тем, как логи делать, т.е. как в правилах написано?
пофиксите

O4 - HKLM\..\Policies\Explorer\Run: [1] C:\WINDOWS\system32\Com\svchost.exe

Выполните скрипт

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('\SystemRoot\system32\drivers\runtime2.sys','');
 QuarantineFile('\??\C:\WINDOWS\System32\drivers\runtime.sys','');
 QuarantineFile('C:\WINDOWS\system32\Com\svchost.exe','');
 DeleteFile('C:\WINDOWS\system32\Com\svchost.exe');
 DeleteFile('\SystemRoot\system32\drivers\runtime2.sys');
 DeleteFile('\??\C:\WINDOWS\System32\drivers\runtime.sys');
 BC_DeleteFile('C:\WINDOWS\system32\Com\svchost.exe');
 BC_DeleteFile('\SystemRoot\system32\drivers\runtime2.sys');
 BC_DeleteFile('\??\C:\WINDOWS\System32\drivers\runtime.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

после ребута - карантин в студию, логи повторить.

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

После лечения обновить до версии 1.6.0 02

[u-gin]

пофиксите

Цитата:
O4 - HKLM\..\Policies\Explorer\Run: [1] C:\WINDOWS\system32\Com\svchost.exe
простите за глупость..я в этом не бум-бум. а как это сделать?

[AndreyKa]

Пофиксте это значит...

[u-gin]

а если я не пофиксил а скрипт выполнил??

[Rene-gad]

а если я не пофиксил а скрипт выполнил??

карантин где? Логи после скрипта?Ответ на вопрос о Др.Веб?

[u-gin]

карантин послал. каюсь вэбом не пользовался. простите.

[Bratez]

Пофиксите:

O2 - BHO: AlxTB BHO - {F1FABE79-25FC-46de-8C5A-2C6DB9D64333} - (no file)
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

Перезагрузитесь и повторите лог HijackThis.

[u-gin]

спасибо

[Bratez]

Теперь все в логах хорошо, только куда же ksys.sys подевался?
Поищите его "Поиском файлов" в AVZ.
И еще сделайте лог, как написано тут:
http://virusinfo.info/showthread.php?t=10387

[u-gin]

ksys.sys не находится. при включении безопасного режима на что то ругается. на какие то три драйвера... первый скрипт не выполняет(((

пишет: Проверка не производится, так как не установлен драйвер мониторинга AVZPM

[Bratez]

Вы забыли переключить "Только активные службы и драйверы" на "Все службы и драйверы", это главная фишка в этом логе
Сделайте еще раз.

пишет: Проверка не производится...

это нормально

[u-gin]

вроде переключал всё. вот еще раз. теперь точно сделал как вы сказали

[Bratez]

Вот теперь ОК. Выполните скрипт в AVZ:

begin
BC_DeleteSvc('NDnet1');
BC_DeleteSvc('runtime2');
BC_Activate;
RebootWindows(true);
end.

На этом считаем лечение оконченным.
Антивирус обязательно поставьте, только лучше не Аваст, а что-нибудь посолиднее. Обновите ему базы и на всякий пожарный сделайте полную проверку в безопасном режиме.

[u-gin]

Огромное спасибо)))

[Bratez]

Пардон, маленько поспешил. Есть еще кое-что подозрительное.
Выполните такой скрипт:

begin
ClearQuarantine;
 BC_QrSvc('maz550u');
 BC_QrSvc('maz550m');
 BC_QrSvc('maz550c');
BC_Activate;
RebootWindows(true);
end.

и пришлите новый карантин по правилам.

[u-gin]

послал.
спасибо еще раз. огромное

[Alex_Goodwin]

Вэбом все-таки проверьте.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\com\\svchost.exe - Backdoor.Win32.VB.bdw (DrWEB: BackDoor.Glist)