AVZ пишет "маскировка iexplorer"

[sergl27]

Добрый день. Прошу помощи.

[PavelA]

Выполнить скрипт:

begin
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
// BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
// BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
// BC_DeleteSvc('Ip6Fw');
 BC_Activate;
 RebootWindows(true);
end.

Загрузить карантин по ссылке вверху темы.

Сделать новые логи.

[sergl27]

Карантин выслал.

[PavelA]

Профиксить в hijackthis:
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

Обновить версию hijackthis. Сделать лог hijackthis

[sergl27]

Пофиксил. Лог свежей версии приложен.

[PavelA]

странно, не видны процессы в логе хиджака
Выполнить:

begin
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
ExecuteSysClean;
end.

Закрывать что-то будем из этого:
>> Службы: разрешена потенциально опасная служба Alerter (Alerter)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

[sergl27]

Код выполнил (комп попросил перезагрузку). Закрыть можно всё.

[PavelA]

Выполнить:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('Schedule', 4);
SetServiceStart('Alerter', 4);
end.

Сделать "контрольный выстрел" - комплект логов. Надеюсь, что последний.

[sergl27]

Огромное спасибо за помощь. Если можно то два вопроса:
1. Что это было? (Одна и таже зараза третий раз, первые два лечения закончились переустановкой системы)
2. Чем лучше защитить комп от подобных вещей? (фаервол+антивирус)

[PavelA]

Rootkit.Win32.Agent.bp по Касперскому + еще один Downloader. Если интересно, позже напишу точное название.

По поводу фаервалла+антивирус - см. статью по статистике за посл. четыре недели.

Мы Вас выписываем, лечение закончено - логи чистые.

[sergl27]

Ещё раз огромное спасибо за оказанную помощь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены