Startdrv.exe, Ip6Fw.sys, runtime.sys

[RoyalSpirit]

Здравствуйте,
При каждой загрузке системы NOD32 находит следующее: TrojanDownloader.Agent.BRK.trojan (startdrv.exe), RootAgent.DP.trojan (Ip6Fw.sys), Rootkit.Agent.DW.trojan (runtime.sys). Какие то из вредоносных файлов удаляет, а какой то помещает в карантин. При перезагрузке проблема повторяется. Помогите пожалуйста. Заранее спасибо.

[Bratez]

Пофиксите в HijackThis:

O2 - BHO: (no name) - {7ACB5731-5839-13AB-EABC-124791194525} - C:\WINDOWS\system32\msindeo.dll (file missing)
O2 - BHO: H - {83E915D4-DDDB-4450-B957-7A3240E9CE66} - zoox1.dll (file missing)
O21 - SSODL: msindeo.dll - {7ACB5731-5839-13AB-EABC-124791194525} - C:\WINDOWS\system32\msindeo.dll (file missing)

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\msindeo.dll','');
 QuarantineFile('C:\DOCUME~1\Eugene\LOCALS~1\Temp\winlogon.exe','');
 DeleteFile('C:\DOCUME~1\Eugene\LOCALS~1\Temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\msindeo.dll');
BC_ImportALL;
BC_QrSvc('runtime2');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.

[RoyalSpirit]

1. Пофиксил 3 строки в HijackThis как сказали.
2. При запуске скрипта появляется окно с ошибкой "Failed to set data for `DisplayName`". В самом окне процессов AVZ пишется следующее:

1.2 Поиск перехватчиков API, работающих в KernelMode
Ошибка в работе антируткита [Failed to set data for 'DisplayName'], шаг [14]

[Bratez]

Выполните сначала такой скрипт:

begin
BC_QrSvc('runtime2');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки такой:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\msindeo.dll','');
 QuarantineFile('C:\DOCUME~1\Eugene\LOCALS~1\Temp\winlogon.exe','');
 DeleteFile('C:\DOCUME~1\Eugene\LOCALS~1\Temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\msindeo.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Если все пройдет без ошибок, тогда присылайте карантин и новые логи.

[RoyalSpirit]

Этот скрипт:

begin
BC_QrSvc('runtime2');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime 2.sys');
BC_Activate;
RebootWindows(true);
end.

выполнился без ошибок.


При выполнении второго возникает аналогичное окно "Failed to set data for 'DisplayName' " .
В окне процессов AVZ пишется следующее:

Анализ netapi32.dll, таблица экспорта найдена в секции .text
Ошибка в работе антируткита [Out of memory], шаг [11]

[Bratez]

Уберите во втором скрипте строчку
SearchRootkit(true, true);

[RoyalSpirit]

Вторую строчку убрал и второй скрипт выполнился.
Файлов для карантина нет.
Новые логи прикладываю.

[Bratez]

Отлично. Осталось пофиксить:

O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

Как самочувствие больного?

Добавлено через 1 минуту

P.S. cure.zip уберите. Должен быть virusinfo_syscure.zip (по п.8 правил).

[RoyalSpirit]

Пофиксил, больному гораздо лучше. Большое Вам спасибо. Вы просто Боги!

[Muzzle]

Советую работать за компьютером под пользователем с ограниченными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!