И опять winlogon

[Mr.Mennis]

При запуске системы стартует левый процесс winlogon.exe. После чего отрубается брандмауэр. За тем следует остановка группы сервисов. Симантек ругается, но изминить ситуацию не в состоянии. Взываю к помощи

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$DATA','');
 QuarantineFile('c:\windows\system32\svchost.exe:exe.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
 QuarantineFile('C:\WINDOWS\system32\DefLib.sys','');
 QuarantineFile('c:\docume~1\operator\locals~1\temp\winlogon.exe','');
 DeleteFile('c:\docume~1\operator\locals~1\temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\DefLib.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
 DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
 DeleteFile('c:\windows\system32\svchost.exe:exe.exe');
BC_ImportALL;
BC_DeleteSvc('protect');
BC_DeleteSvc('ICF');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки карантин по правилам и новые логи - в студию
З.Ы. Интересно, за какое число у вас базы Симантека?

[Mr.Mennis]

Базы вчерашние. Есть соображение что это из-за восстановления системы

[Bratez]

Логи чистые.
Рекомендую отключить все ненужное из этого списка:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Добавлено через 4 минуты

P.S.:
В карантине только protect.sys - Rootkit.Win32.Agent.jj
Остальных похоже съел Симантек (хорош на готовенькое ).
Антивирус полагается отключать при создании карантина.

[Mr.Mennis]

Спасибо за помощ и советы! Я стопил сервисы симантека. Но он, гаденышь, видимо, после 1-й перезагрузки их скушал

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 17
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\protect.sys - Rootkit.Win32.Agent.jj (DrWEB: Trojan.NtRootKit.429)