Cutwail!Rootkit

[grobuka]

Машина заражена руткитом Cutwail (по терминологии McAfee). На машине стоит McAfee VirusScan Enterprise 8.5i. Монитор руткит не видит. Сканирование по требованию обнаруживает и удаляет, но затем мелварь инсталируется заново (при новом сканирование троян опять на месте и снова удаляется).

Второй стандартный скрипт выполнить (и приложить лог) сейчас не могу по объективным причинам. Остальные логи прикладываю.

Буду крайне благодарен за помощь!

[Rene-gad]

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Iou30');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\ktalk.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Iou30.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\Iou30.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по красной ссылке вверху темы.
- Прикрепите логи к новому сообщению.

[grobuka]

Выполнил все по алгоритму, единственное в чем отклонился - не отключил от локалки (так как занимаюсь этой машиной удаленно через внутренние ВПН каналы). Но в интернет машина доступа не имела (и не имеет до сих пор) ни по одному из протоколов - это абсолютно точно.
После прохода скрипта и перезагрузки, инициированной им ничего к сожалению не изменилось:
- папка карантина avz соответствующая сегодняшнему числу пуста;
- модуль простраства ядра Io30.sys тоже на месте в в новом логе avz (прикладываю его).

[wise-wistful]

Скачайте IceSword.

Запустите программу.
Внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл C:\WINDOWS\System32\Drivers\Iou30.sys.
Нажмите по нему правой кнопкой мыши и выберите force delete.
На запрос потверждения ответьте "да".

Без перезагрузки

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\Drivers\Iou30.sys');
BC_ImportAll;
BC_DeleteSvc('Iou30');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.


Повторите логи.

[Rene-gad]

Скачайте IceSword , поищите и удалите через опцию force delete файл:

C:\WINDOWS\System32\Drivers\Iou30.sys

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
-Пофиксите

O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True); 
 DeleteService('Iou30');
 DeleteFile('C:\WINDOWS\System32\Drivers\Iou30.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по красной ссылке вверху темы.
- Прикрепите логи к новому сообщению.

Добавлено через 19 минут

единственное в чем отклонился - не отключил от локалки

Эта рекомендация связана исключительно с отключением защитного софта, что необходимо для выполнения скриптов. Для АВЗ это не имеет значения.

[grobuka]

Кажется поборол. Не доходили руки занятся этой машиной раньше, поэтому с таким таймаутом
В каратин выложить нечего, так как файл был удален IceSword-ом.
Большое спасибо всем оказавшим помощь!

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('tcpsr');
 DeleteService('Iou30');
 DeleteFile('C:\WINDOWS\System32\Drivers\Iou30.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('tcpsr ');
BC_DeleteSvc('Iou30 ');    
BC_Activate;
RebootWindows(true);
end.

Повторите логи...