smtpdrv.sys (Agent.NTB)

**Neon4ik** · 30.01.2008, 01:49

Доброго дня.
0. после подключения к интернету
1. появляется вирусный файл smtpdrv.sys
2. Nod32 его успешно удаляет
3. Через несколько секунд после этого отрабатывает фаэрвол,
и жизнь становится прекрасно без интернета

Заранее спасибо
(Искренне извиняюсь, если что нить не так заполнил, первый раз обращаюсь к вам)

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 30.01.2008, 03:22

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('Iid41');
 SetServiceStart('Iid41', 4);
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Iid41.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\Iid41.sys');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
BC_ImportALL;
BC_DeleteSvc('Iid41');
BC_DeleteSvc('smtpdrv');
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=17205).
Сделайте новые логи.

**Neon4ik** · 04.02.2008, 11:17

Скрипт накатил.
В карантине пусто.
Файлы прилагаю.

(P.S. сорри, что долго не отвечал)

**Макcим** · 04.02.2008, 11:32

Выполните скрипт в AVZ

Код:

begin
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Iid41\0000', 'CSConfigFlags', '1');
 BC_DeleteSvc('Iid41');
 BC_DeleteSvc('smtpdrv');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\Iid41.sys');
 BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
 RebootWindows(true);
end.

Повторите логи. Прикрепите также boot_clr.log из папки AVZ.