startdrv, runtime2

[dm_vasilich]

Подхватил вот эту заразу, хотел попытаться ее выковырять самостоятельно, но решил вначале попытаться попросить вас о помощи.

маскировка процесса 1052 c:\program files\internet explorer\iexplore.exe
Маскировка процесса с PID=1944, имя = "rundll32.exe"
Маскировка процесса с PID=1604, имя = "userinit.exe"
Маскировка процесса с PID=1920, имя = "startdrv.exe"

кстати
O23 - Service: FXKPWTWJRK - Unknown owner - C:\WINDOWS\TEMP\FXKPWTWJRK.exe (file missing)
O23 - Service: GFDOM - Unknown owner - C:\WINDOWS\TEMP\GFDOM.exe (file missing)
это будто бы результат запуска RootkitRevealer, по крайней мере мне так показалось.
Буду чрезвычайно благодарен за помощь.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\runtime.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrSvc('runtime2');
 BC_QrSvc('runtime');
 BC_QrSvc('Ip6Fw');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteSvc('runtime2');
 BC_DeleteSvc('runtime');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

[dm_vasilich]

Отправил карантин.
Даже в 2х вариантах потому как не понял обязательно ли архив должен быть запоролен.
теперь появились строки типа
Функция NtClose (19) перехвачена (805B0714->F359F5D0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Жду дальнейших указаний.

[RiC]

Жду дальнейших указаний.

Повторите логи из правил, посмотрим что осталось.

[dm_vasilich]

Повторяю...

[dm_vasilich]

непосредственно перед этим касперский скушал:
20.08.2007 23:10:35 Файл C:\syswfsm.exe, обнаружено: вирус 'Email-Worm.Win32.Zhelatin.gz'. Пользователь: ELHAS\Dmitriy, компьютер:localhost.
20.08.2007 23:10:44 Файл C:\SYSWFSM.EXE удален.
20.08.2007 23:13:03 Файл c:\windows\system32\aspimgr.exe, обнаружено: троянская программа 'Backdoor.Win32.Agent.aju'.
20.08.2007 23:13:07 Объект автозапуска HKLM\System\ControlSet002\Services\aspimgr\aspimgr удален.
20.08.2007 23:13:07 Объект автозапуска HKLM\System\ControlSet003\Services\aspimgr\aspimgr удален.
20.08.2007 23:13:07 Файл c:\windows\system32\aspimgr.exe удален.

[V_Bond]

профиксите

  
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O23 - Service: FXKPWTWJRK - Unknown owner - C:\WINDOWS\TEMP\FXKPWTWJRK.exe (file missing)
O23 - Service: GFDOM - Unknown owner - C:\WINDOWS\TEMP\GFDOM.exe (file missing)

выполните скрипт ...

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\TEMP\FXKPWTWJRK.exe','');
QuarantineFile('C:\WINDOWS\TEMP\GFDOM.exe','')
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
повторите логи....

[dm_vasilich]

Профиксил, выполнил, отсылаю...

Кстати посоветуйте как быть
O23 - Service: Служба COM записи компакт-дисков IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe (file missing)
пропала после всех приключений с вирусом

[dm_vasilich]

Отправил карантин.
Размер всех фалов в нем равен 0.

[Muzzle]

Файлов просто небыло,они были удалены до логов.
Теперь в логах всё чисто.
Советую работать за компьютером под пользователем с ограничеными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[Bratez]

Кстати посоветуйте как быть
O23 - Service: Служба COM записи компакт-дисков IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe (file missing)
пропала после всех приключений с вирусом

Можно попробовать просто распаковать imapi.exe с дистрибутива, или запустить sfc /scannow .

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 22
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\ip6fw.sys - Rootkit.Win32.Agent.dp (DrWEB: Trojan.NtRootKit.319)
  2. \\systemroot\\system32\\drivers\\runtime2.sys - Rootkit.Win32.Agent.ey (DrWEB: Trojan.NtRootKit.321)