ip6fw.sys и smtpdrv.sys (Agent.NBT червь)

[Tsubasa]

Здравствуйте!
На компе стоит Windows XP, антивирус - NOD 32 с последними базами.
При каждой загрузке системы, нод сообщает о двух вирусах -
c:\Windows\System32\drivers\ip6fw.sys
и
c:\Windows\System32\drivers\smtpdrv.sys (Agent.NBT червь)
а также о
c:\Document and Setting\...\Local Setting\Temp\418892.exe (цифры в названии могут быть и другие)
НОД каждый раз их удаляет, но при перезагрузке они возникают заново.
Выполгил инструкцию с этого сайта.
cureit.exe нашёл теже вирусы и удалил их. При перезагрузке вирусы вылезли снова.
Прикрепляю логи от avz4 и HiJackThis

[V_Bond]

virusinfo_cure.zip -уберите из темы ...
профиксите...

O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

выполните скрипт..

begin
 BC_QrFile('C:\WINDOWS\system32\topserver.bat');
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_DeleteSvc('Ip6Fw');
 BC_Activate;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ... повторите логи..

[Tsubasa]

O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

Я правильно понимаю - нужно убрать из ветки реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run строку, загружающюю C:\WINDOWS\Temp\startdrv.exe ? Проверил эту ветку, такой строки нет.

[SuperBrat]

Я правильно понимаю - нужно убрать из ветки реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run строку, загружающюю C:\WINDOWS\Temp\startdrv.exe ? Проверил эту ветку, такой строки нет.

http://virusinfo.info/showthread.php?t=4491

[Tsubasa]

Ок. Запустил HijackThis, но он тоже не нашёл startdrv.exe, хотя в первом логе startdrv.exe есть. Прилагаю свежий лог.
Запустил на avz указанный скрипт. Выдаёт ошибку "';' expected в позиции 2:12".

[drongo]

а так попробовать?

begin
 BC_QrFile('C:\WINDOWS\system32\topserver.bat');
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_DeleteSvc('Ip6Fw');
 BC_Activate;
 ExecuteRepair(12);
 RebootWindows(true);
end.

[Tsubasa]

Выполнил. После перезагрузки НОД молчит. Завтра всё протестирую ещё раз (сегодня уже времени нет), но кажется зараза изгнана. Спасибо огромное!

[V_Bond]

повторите логи, и будем знать точно....

Добавлено через 8 минут

да и карантин хотелось бы увидеть...

[Tsubasa]

Сделал новые логи.
Карантин, к сожалению прислать не могу - НОД его удалил при сканировании.

[V_Bond]

пофиксите ...

O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

выполните скрипт...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\topserver.bat','');
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');     
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...

[Tsubasa]

Пофиксил.
Выполнил скрипт. После перезагрузки просканировал.

Вот карантин.

[moderated - карантин нужно присылать в соответствии с приложением 3 правил]

[V_Bond]

уберите карантин из темы....
в логах чисто ...

[PavelA]

'C:\WINDOWS\system32\topserver.bat' - не страшная
Но карантин здесь совсем не нужен.

[Tsubasa]

Прислал карантин так, как указано в правилах, но он кажется не прислался из-за неправильной ссылки на тему (я случайно дал ссылку не на тему, а на последний пост).
Второй раз загружать не стал, по причине, указанной в правилах.

[Muzzle]

В логах чисто.
Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
Советуем прочитать электронную книгу)"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить,оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!