Win32/Rootkit.Agent.NCR

[Mud Bull]

Сидел и соответственно определялся NOD32 долго и упорно
C:\\WINDOWS\\system32\\DefLib.sys
После проверки Вашим AVZ4 перестал детектироваться NODом...
Типа, всё что ли - победили?
Файла virusinfo_syscure.zip почему то нет...

Заранее спасибо...

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\ntndis.exe','');
 QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe','');
 QuarantineFile('C:\Documents and Settings\Alexey Bukoff\Local Settings\Application Data\cftmon.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
 QuarantineFile('C:\WINDOWS\System32\CcEvtSvc.exe','');
 QuarantineFile('C:\WINDOWS\system32\DefLib.sys','');
 QuarantineFile('C:\DOCUME~1\ALEXEY~1\LOCALS~1\Temp\winlogon.exe','');
 DeleteFile('C:\DOCUME~1\ALEXEY~1\LOCALS~1\Temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\DefLib.sys');
 DeleteFile('C:\WINDOWS\System32\CcEvtSvc.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
 DeleteFile('C:\Documents and Settings\Alexey Bukoff\Local Settings\Application Data\cftmon.exe');
 DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\ntndis.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=21662).
Сделайте новые логи.

[Mud Bull]

еще отчеты

[wise-wistful]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  ClearQuarantine;
 QuarantineFile('C:\Documents and Settings\Alexey Bukoff\Local Settings\Temp\sv32_2.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ntndis.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\ntndis.sys');
 DeleteService('ntndis');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .


Повторите логи.

[Mud Bull]

еще отчет

[V_Bond]

C:\Documents and Settings\Alexey Bukoff\Local Settings\Temp\sv32_2.exe Trojan-Dropper.Win32.VB.aay
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Documents and Settings\Alexey Bukoff\Local Settings\Temp\sv32_2.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи начиная с пункта 10 правил ...

[Mud Bull]

Логи

[wise-wistful]

Проблемы какие-то наблюдается. Заражения в логах не видать.

[Mud Bull]

Пока вроде НОД ничего не видит
Траффик в пределах нормы
Только еще чего сидит, пока никак не мешает...

[V_Bond]

открытый порт .... который ваша програмка считает принадлежащим троянцу ...
частенько используется для общения в онлайн играх ... если не нужен , можно закрыть фаерволом ...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 11
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\alexey bukoff\\local settings\\temp\\sv32_2.exe - Trojan-Dropper.Win32.VB.aay (DrWEB: Trojan.MulDrop.14432)
  2. c:\\docume~1\\alexey~1\\locals~1\\temp\\winlogon.e xe - Trojan.Win32.Pakes.che (DrWEB: Trojan.Packed.573)