HackTool.RootKit кто его родит?

[TevMiass]

Подскажите пожалуста, какой зверь родит вирус HackTool.RootKit. При загрузке Win_XP Symantec говорит что обнаружен этот вирус, он обезврежен, файл в директории C:\WINDOWS\system32\DefLib.sys - удален. При сканировании Symant ни чего не находится, cureit - тоже ни чего не находит. После перезагрузки Syma опять выдает тоже самое сообщение. Помогите плиз!

С уважением TEV.

[Numb]

На время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор. Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\makehm.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\VICHW11.SYS','');
 QuarantineFile('d:\temp\winlogon.exe','');
 DeleteFile('d:\temp\winlogon.exe');
 BC_DeleteFile('d:\temp\winlogon.exe');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
 BC_DeleteSVC('protect');
BC_ImportQuarantineList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

Система будет перезагружена. После перезагрузки, карантин AVZ загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=15686 , как написано в прил.3 правил, и сделайте новые логи, начиная с п. 10 правил.

[TevMiass]

Спасибо за быстрый ответ. Файл Virus.zip выслал. Вот новые Logi.

[Numb]

d:\temp\winlogon.exe - Trojan-Dropper.Win32.Mudrop.fz (по классификации Касперского)
Один из интересовавших файлов в карантин не попал.
Все-таки, наверное, так: пофиксите с помощью Hijackthis строки:

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,C:\WINDOWS\system32\makehm.exe,
O2 - BHO: COM+ Service - {3C49DDAC-3DA4-4743-AF6C-5974FEAF875C} - (no file)

Повторите логи, начиная с п. 10 правил. Попутно вопрос: программу Radmin сами ставили?

[TevMiass]

Да Radmina ставил сам в C:\Windows\System32. А где можно почитать что это за гадость Trojan-Dropper.Win32.Mudrop.fz

С уважением TEV.

[Numb]

В логах я ничего подозрительного не вижу. Какие-нибудь симптомы заражения остались? Что до зверя, то подробного описания его я не нашел, а, по классификации, дроппер - собственно и осуществляет попытку установки троянского по в систему (по-видимости, того файла, который постоянно находил ваш антивирус).

[TevMiass]

Добрый день!
Симптомы теже при загрузки Syma выдает C:\WINDOWS\system32\DefLib.sys Hacktool.Rootkit Clean virus from file, где-то сидит гад, я думал через winlogon в temp-ах в Documents and Settings, но там чисто...???

[rubin]

Поищите этот Deflib через AVZ, найдется - пришлите

[TevMiass]

Scan type: Auto-Protect Scan
Event: Threat Found!
Threat: Hacktool.Rootkit
File: C:\WINDOWS\system32\DefLib.sys
Location: C:\WINDOWS\system32
Computer: NEWTEH
User: Администратор
Action taken: Delete succeeded : Access denied
Date found: 27 декабря 2007 г. 19:27:00

[PavelA]

Можно его через защищ. режим грохнуть.

begin
 Searchrootkit(true,true);                                                                  
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_DeleteFile('C:\WINDOWS\system32\DefLib.sys');
 BC_Activate;
 RebootWindows(true);
end.

boot_clr.log - приложить сюда.

[TevMiass]

Добрый день!
Мужики большое спасибо, Syma 27.12.07 похоже ругнулась последний раз, потому что я больше ни чего не делал.
С уважением TEV.

[pig]

Скрипт всё-таки выполните для пущей уверенности. И давайте новые логи для контроля.

[TevMiass]

Добрый день!
Я, уже и сам пару раз проверял папку C:\Windows\System32 на наличие этого файла, все чисто. Вот выкладываю Log после последнего скрипта. Всем еще раз большое спасибо и с наступающим Новым Годом .

С уважением TEV.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. d:\\temp\\winlogon.exe - Trojan-Dropper.Win32.Mudrop.fz (DrWEB: Trojan.Packed.573)