Вирус Beep.sys, mustafx.exe ...

[Dexer]

Было несколько вирусов, в том числе те, которые характеризуются наличием файлов Beep.sys, mustafx.exe, kurva.dat и т.д. Файлы побил, но AVZ все равно находит кей-руты. Причем после каждой перезагрузки имя перехватчика меняется. Обычно оно имеет следующий вид sp??.sys Помогите добить гада.

[Макcим]

Вашего руткита зовут DAEMON Tools В логах всё нормально. Что из этого нужно?

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[Dexer]

Большое Спасибо!
Косил я взглядом в его сторону, но не думал, что он так маскироваться будет.
Непонятно зачем?
А из потенциально опасных только автозапуск CD нужен.

[Bratez]

Вот скрипт для отключения ненужного:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

* Если есть локалка с общим доступом к файлам и принтерам, уберите первую строчку после begin.

[drongo]

на всякий случай вот эти найти ,скопировать и прислать :
C:\WINDOWS\system32\HOLIDA~1.SCR
C:\WINDOWS\system32\drivers\Beep.sys
C:\WINDOWS\system32\drivers\spyh.sys
C:\WINDOWS\system32\dllcache\fuurod.sys

[Dexer]

трех файлов уже нет (spyh.sys каждый раз меняет название, beep.sys я уже удалил, fuurod.sys или подобный, который не давал запустить AVZ стал, похоже, жертвой самого AVZ, т.к. после первого же прохода AVZ стал запускаться без проблем). А HOLIDA~1.SCR был намеренно установлен. Спасибо за участие.