Руткит в smss.exe и SpamTool.Win32.Agent.ej

[splinter_ru]

Симптомы:
Постоянно выскакивает окно Dial-Up connecntion.
Касперский находит руткит в процессе C:\WINDOWS\system32\smss.exe.
Полная проверка Касперским и CureIt в обычном и безопасном режиме не дает никаких результатов.
Касперский постоянно находит SpamTool.Win32.Agent.ej
При перезагрузке после его лечения зависает с чёрным экраном, помогает только перезагрузка ч/з ресет.
До этого долго боролся с Trojan.Win32.KillAV.ne
Сегодня пропала локальная сеть.

Помогите, пожалуйста.

[Макcим]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\DOCUME~1\OEM\LOCALS~1\Temp\HalSrv64\svchost.sys','');
 QuarantineFile('C:\WINDOWS\system32\qedrv.sys','');
 QuarantineFile('c:\docume~1\oem\locals~1\temp\winnhymhk.exe','');
 QuarantineFile('c:\windows\system32\2a03ad.exe','');
 DeleteFile('c:\windows\system32\2a03ad.exe');
 DeleteFile('c:\docume~1\oem\locals~1\temp\winnhymhk.exe');
 DeleteFile('C:\DOCUME~1\OEM\LOCALS~1\Temp\HalSrv64\svchost.sys');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Загрузите карантин согласно приложению №3 правил. Повторите логи.

[splinter_ru]

Карантин загрузил. Окно диалапа не выскакивает, Касперский тоже пока молчит.

[Макcим]

Подождем результатов анализа присланных файлов. Как придут - сообщим.
Что из этого не нужно?

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)

[splinter_ru]

Ничего из этого не нужно, кроме:

>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)

Без неё железо будет ставиться? Машина офисная, блютуз периодически используется.

[Макcим]

Конечно. Если что, можно будет включить обратно.

Выполните скрипт в AVZ

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
end.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\docume~1\\oem\\locals~1\\temp\\winnhymhk.exe - Trojan-Downloader.Win32.Small.htj (DrWEB: Trojan.DownLoader.44920)
  2. c:\\windows\\system32\\2a03ad.exe - Backdoor.Win32.SdBot.crr (DrWEB: BackDoor.IRC.Combot)