startdrv.exe

**Not** · 03.12.2007, 11:22

Доброго времени суток.
У приятеля возникла проблемка:
Касперский определяет startdrv.exe как троян но вылечить не может и перегружает комп.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 03.12.2007, 11:25

Вуаля:

Код:

begin
 BC_DeleteSvc('runtime2');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_Activate;
RebootWindows(true);
end.

Потом пофиксить:

Код:

O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

**PavelA** · 03.12.2007, 11:55

Только "Восст. системы" надо отключить, иначе проблемы могут повториться.

**Not** · 03.12.2007, 12:35

скрипт выполнил, строку пофиксил ошибку загрузки файлов больше не показывает.
при повторном запуске AVZ написал, что найдено и заблокировано 44 процесса руткит .. и что то еще.
название файла записать не успел но название было похоже на Kits или что то похожее.
новые логи

**Not** · 03.12.2007, 12:38

забыл!
AVZ еще ругнулся на файл w39n51.sys

**V_Bond** · 03.12.2007, 12:43

в логах чисто ...
w39n51.sys - от wi-fi

**drongo** · 03.12.2007, 12:50

после этого- kassy.0.71.professional.full.incl.crack-rev\kassy071Pro\Kassy071.exe.bak я не удивлюсь, что каспер с чёрным ходом уже в системе

что в батнике:

C:\Невмера\маркетинг\ABC-XYZ анализm\BPwin\SILENT.BAT- ?

интересно от чего это ? :
Функция IoAllocateIrp (804EAF7D) - модификация машинного кода. Метод не определен., внедрение с байта 15-

**Not** · 03.12.2007, 14:11

Сообщение от drongo

C:\Невмера\маркетинг\ABC-XYZ анализm\BPwin\SILENT.BAT- ?
интересно от чего это ? :

Эта папка была скопирована приятелем с чужой флешки. Теоретически
этот файл рабочий, но исключать, что он не вредоносный тоже нельзя

Добавлено через 1 час 7 минут

1.Найдено около 8 процессов надпись примерно следующая:
Функция kernel32.dll (408 ) перехвачена, метод ProcAdressHijack.GetProcAdress >7C80ADA0>7C883FEC>
примерно так.(цифры в скобках у всех строк разные)
и Детектирована модификация IAT:GetProcAdress-7C883FEC>7C80ADA0

2, У файла TPSBattM.exe имеет другой реальный размер.

3, Kassy в папке Невмера имеет расширение exe.bak
И когда был первый тест руткит именно в этих kassy определялся.
4, SILENT.BAT почемуто при открытии в блокноте там куча иероглифов.....
я когда батники блокнотом открываю там конкретные команды прописаны а здесь полная каша.

**V_Bond** · 03.12.2007, 14:21

1 не уверен на 100 % но ... думаю после удаления алкоголя исчезнет ..
2 драйвер тошибы ..
3,4 пришлите по правилам .... на всякий случай

**Not** · 03.12.2007, 14:31

Сообщение от V_Bond

1 не уверен на 100 % но ... думаю после удаления алкоголя исчезнет ..
2 драйвер тошибы ..
3,4 пришлите по правилам .... на всякий случай

А что такое алкоголь (в данном случае)?

Добавлено через 6 минут

Сообщение от V_Bond

3,4 пришлите по правилам .... на всякий случай

отправил

**V_Bond** · 03.12.2007, 14:31

Alcohol 120% - эмулятор CD/DVD привода ...

**Not** · 03.12.2007, 14:47

а с карантином как?

**V_Bond** · 03.12.2007, 15:08

ничего интересного кроме крека

TDispVol.dll - от тошиба на него многие антивирусы кричат ....

**Not** · 03.12.2007, 15:18

Ну тогда наверное все....
Спасибо!.

**CyberHelper** · 22.02.2009, 02:57

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 5
В ходе лечения вредоносные программы в карантинах не обнаружены

startdrv.exe (заявка № 14805)

Опции темы

startdrv.exe

Итог лечения

Похожие темы

startdrv.exe

startdrv.exe

startdrv.exe

startdrv.exe

startdrv.exe

Ваши права в разделе