Модификация машинного кода

**Ивпал** · 12.10.2007, 16:07

Кстати, что это за распространенное сообщение в AVZ?

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 12.10.2007, 16:17

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('C:\WINDOWS\System32\DRIVERS\tcpip.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\runtime.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Pan30.sys','');
 QuarantineFile('C:\WINDOWS\System32\svchost.exe:ext.exe','');
 DeleteFile('C:\WINDOWS\System32\svchost.exe:ext.exe');
 DeleteFile('C:\WINDOWS\System32\drivers\Pan30.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportALL;
BC_DeleteSvc('Pan30');
BC_DeleteSvc('runtime');
BC_DeleteSvc('FCI');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

Восстановите из дистрибутива файл
C:\WINDOWS\System32\svchost.exe

Сделайте новые логи.

**Ивпал** · 12.10.2007, 16:46

Скрипты выполнил.
Карантин выслал.
Новые логи сделал.

А как сделать "Восстановление из дистрибутива файла C:\WINDOWS\System32\svchost.exe"?

**Bratez** · 12.10.2007, 16:57

Все, что надо, успешно удалилось.
Pan30.sys - Rootkit.Win32.Agent.kb
tcpip.sys - чистый.

А как сделать "Восстановление из дистрибутива файла C:\WINDOWS\System32\svchost.exe"?

Долго рассказывать, возьмите этот:

**Bratez** · 12.10.2007, 16:59

После копирования svchost.exe перезагрузитесь и сделайте новый лог HijackThis.

**Ивпал** · 12.10.2007, 17:15

Новый лог HijackThis.

**Ивпал** · 12.10.2007, 17:18

Сообщение от Bratez

А как сделать "Восстановление из дистрибутива файла C:\WINDOWS\System32\svchost.exe"?

Долго рассказывать, возьмите этот:

Проблема состояла в том, что был заблокирован механизм копирования через буфер и через окна.
Решилась путем старого доброго cmd copy a: b:

**Bratez** · 12.10.2007, 17:49

Теперь все чисто. Надеюсь, все работает нормально?
Осталось "пофиксить" корень зла:

Код:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

т.е. как можно скорее поставить SP2 + последующие обновления. Только имейте ввиду, что потребуется повторная активация Windows, а старый кряк не сработает.

**Ивпал** · 12.10.2007, 18:23

Да, спасибо, всё ОК.
Постараюсь склонить подругу к покупке свежайшего SP2.

**CyberHelper** · 22.02.2009, 02:36

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 2
В ходе лечения обнаружены вредоносные программы:
1. c:\\windows\\system32\\drivers\\pan30.sys - Trojan.Win32.Srizbi.gt (DrWEB: Trojan.NtRootKit.414)

Модификация машинного кода (заявка № 13149)

Опции темы