Backdoor.Haxdoor - проблема удаления.

[Igorevich]

Добрый день.

После каждой загрузки Симантек сообщает о карантине/удалении следующих файлов:

C:\WINDOWS\System32\ovrscn.dll
C:\WINDOWS\System32\ovwscn.dll
C:\WINDOWS\System32\qz.sys
C:\WINDOWS\System32\qy.sys

но реально не удаляет их.

Логи в приложении.

Заранее спасибо.

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\userinet.exe','');
 BC_DeleteSvc('Wgp00');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wgp00.sys','');
 BC_DeleteSvc('Vtr47');
 QuarantineFile('Vtr47.sys','');
 BC_DeleteSvc('tcpsr');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 QuarantineFile('C:\WINDOWS\system32\ovrscn.dll','');
 DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('Vtr47.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wgp00.sys');
 DeleteFile('ovrscn.dll');
 DeleteFile('c:\windows\system32\klogini.dll');
 DeleteFile('c:\windows\system32\fltr.a3d');
 DeleteFile('c:\windows\system32\redir2.a3d');
 DeleteFile('c:\windows\system32\p3.ini');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[Igorevich]

Добрый день.

Скрипт выполнил, отчет о карантине выслал.

Логи повторяю.

Проблема пока осталась. Добавилось, что авто-протект Симантека еще и повисает. Иногда комп не перегружается сам, висит.

Спасибо за помощь.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\ovrscn.dll');
 DeleteFile('C:\WINDOWS\userinet.exe');
BC_ImportDeletedList;
BC_DeleteSvc('ovwscn');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи, начиная с п.10 правил.

[Igorevich]

Отправляю новые логи.

Симантек уже молчит при загрузке.

[Bratez]

Пофиксите в HijackThis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O20 - Winlogon Notify: ovrscn - ovrscn.dll (file missing)

Больше ничего подозрительного не видно.
Какие-то проблемы остались?

[Igorevich]

Спасибо огромное и респект.
HijackThis нашел и отфиксил.

Добавлено через 21 минуту

Проверил еще раз, все в порядке. проблем нет.
Еще раз большое спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\userinet.exe - Trojan.Win32.Buzus.gsx (DrWEB: Trojan.Inject.3406)