не могу удалить winnt32.dll и Oty05.sys

[usyn]

Собственно, вот. Не удаляются winnt32.dll и Oty05.sys. В Hijackthis пытаюсь фиксить winnt32.dll -не получается. Чуствую, что решение простое, но сам пока не догадываюсь. Помогите, если не трудно.

[V_Bond]

скачайте -C:\WINDOWS\system32\Drivers\Oty05.sys , C:\WINDOWS\System32\drivers\tcpsr.sys force delete
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('Xdi27');
 BC_DeleteSvc('Sxd62');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
 BC_DeleteSvc('smtpdrv');
 BC_DeleteSvc('Qxd28');
 BC_DeleteSvc('Qwc73');
 BC_DeleteSvc('Qwc16');
 BC_DeleteSvc('Pua73');
 BC_DeleteSvc('Jpu73');
 BC_DeleteSvc('grande48');
 QuarantineFile('C:\WINDOWS\system32\drivers\grande48.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\grande48.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Jpu73.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Pua73.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Qwc16.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Qwc73.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Qxd28.sys');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Sxd62.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Xdi27.sys');
 DeleteFile('WinNt32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Oty05.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[usyn]

К сожалению карантин смогу прислать только завтра. Спасибо

[usyn]

Уфф. Все сделал, как рекомендовано. Как ни странно в карантине ничего не оказалось. Зато исчез winnt32.dll, но на его месте появился пресловутый и не однажды упомянутый WinCtrl32.dll При перезагрузке нод32 обнаружил и удалил зверьков. Вот логи

27.05.2008 10:14:28 AMON файл C:\WINDOWS\system32\drivers\wcH51.sys модифицированный Win32/TrojanDownloader.Wigon.O троян изолирован - удален NT AUTHORITY\SYSTEM Событие произошло в файле модифицированном приложением. C:\WINDOWS\TEMP\BN2.tmp.
27.05.2008 9:05:26 AMON файл C:\WINDOWS\System32\drivers\lrW62.sys модифицированный Win32/TrojanDownloader.Wigon.O троян изолирован - удален NT AUTHORITY\SYSTEM Событие в новом файле, созданном приложением C:\WINDOWS\TEMP\BN2.tmp.

Причем файл (WinCtrl32.dll) восстанавливался при перезагрузке. По поиску нашел скрипт..

После перезагрузки нод32 отловил вот это

27.05.2008 10:14:28 AMON файл C:\WINDOWS\system32\drivers\wcH51.sys модифицированный Win32/TrojanDownloader.Wigon.O троян изолирован - удален NT AUTHORITY\SYSTEM Событие произошло в файле модифицированном приложением. C:\WINDOWS\TEMP\BN2.tmp.

Потом вручную удалил (с помощью IceSword) WinCtrl32.dll и пофиксил хайджеке соответствующую строку. Вот. Кстати, карантин оказался с добычей. Высылаю его+файлы из карантина нода.
Надо ставить KIS.
Кстати, там где была гадость, есть локальная сеть. На машинах стоит нод32 с последними базами. Какова вероятность того, что все это перекочевала на соседнюю машину?

Добавлено через 30 минут

Карантин и и папку с вловленными зверьками отослал. Названия файлов соответственно quarantine.zip и infected.zip

[Alex_Goodwin]

Логи повторите.

[V_Bond]

По поиску нашел скрипт

чужие скрипты выполнять нельзя !!!
антивирус нужно отключать на время выполнения скрипта ...

[usyn]

Сходил в контору, снял логи. Вот. Поставил KIS 7. Он еще обрывки нашел. Спасибо

[PavelA]

Лог Хиджака покажи, плс. По логам АВЗ зверь еще жив.
Выполнить:

begin
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\msX16.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\lrW62.sys','');
 QuarantineFile('C:\WINDOWS\gdrv.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ekp62.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Oty05.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\wcH51.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\msX16.sys');
 BC_DeleteSvc('msX16');
 BC_DeleteSvc('wcH51');
 BC_DeleteSvc('Oty05');
 BC_DeleteSvc('Ekp62');
 DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

сделать новые логи.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 25
• В ходе лечения обнаружены вредоносные программы:
  
  1. \\infected\\duww3kda.nqf - Trojan-Dropper.Win32.Agent.stj (DrWEB: BackDoor.Bulknet.195)
  2. \\infected\\upkonbda.nqf - Trojan-Dropper.Win32.Agent.stj (DrWEB: BackDoor.Bulknet.195)