Тошиба, чистка всего и вся.

[Jinn]

Здравствуйте.
Тут есть ноутбук тошиба. С некоторого времени стал самостоятельно подключаться к скай линку . Проверил АВЗ, мда, много чего там.
Есстественно высылаю логи.

[Jinn]

Я что-то не так сделал?

[Макcим]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\mssrv32.exe','');
 QuarantineFile('C:\WINDOWS\kernell.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\SYMREDRV.SYS','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\protect.sys','');
 QuarantineFile('C:\WINDOWS\system32\ovwscn.sys','');
 QuarantineFile('C:\WINDOWS\system32\ovrscn.sys','');
 QuarantineFile('C:\WINDOWS\system32\DefLib.sys','');
 QuarantineFile('C:\WINDOWS\system32\ovrscn.dll','');
 DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
 DeleteFile('C:\WINDOWS\system32\DefLib.sys');
 DeleteFile('C:\WINDOWS\system32\ovrscn.sys');
 DeleteFile('C:\WINDOWS\system32\ovwscn.sys');
 DeleteFile('C:\WINDOWS\kernell.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\protect.sys');
 DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Загрузите карантин по этой ссылке. Повторите логи.

P.S.: Для того чтобы написать скрипт нужно время.

[Jinn]

Карантин выслал.

Логи сделал.

После выполнения скрипта, пока что-то наблюдается непонятное.
А именно, в ходе повторных логов, оживал симантек и удалял какие-то файлы. Называл эти файлы Backdoor и все они сидели в темп.

P/S/ Извините, что торопил

[Bratez]

Пофиксите в HijackThis:

O20 - Winlogon Notify: ovrscn - ovrscn.dll (file missing)

Выполните скрипт в AVZ:

begin
ClearQuarantine;
 BC_QrFile('C:\WINDOWS\system32\ati2kstg.sys');
 BC_QrSvc('ovrscn');
 BC_QrSvc('FCI');
 BC_DeleteSvc('ovrscn');
 BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.

Карантин пришлите по правилам.

Добавлено через 1 минуту

Посмотрите, нужно ли вам что-то из этого:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Лишнее отключим.

[Jinn]

Вроде все затихло. Спасибо большое.
Карантин таки оказался не пустой. Высылаю.

На всяк случай и логи прикрепил.

[Bratez]

Эх, опоздал я с поправкой...
Выполните еще такой скрипт:

begin
ClearQuarantine;
 BC_QrFile('C:\WINDOWS\system32\ati2kstg.sys');
BC_Activate;
RebootWindows(true);
end.

и опять карантинчик загрузите.

[Jinn]

Эх, опоздал я с поправкой...
Выполните еще такой скрипт:

begin
ClearQuarantine;
 BC_QrFile('C:\WINDOWS\system32\ati2kstg.sys');
BC_Activate;
RebootWindows(true);
end.

и опять карантинчик загрузите.

Я выполнил этот скрипт, но карантин пустой.

[Bratez]

Этот файл точно есть, попробуйте его достать через AVZ - Сервис - Поиск файлов на диске.
Или вот таким скриптом:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ati2kstg.sys','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.