Trojan.NtRootKit

[AleKo]

Добрый день.

Нуждаюсь в Вашей помощи.

При сканировании Dr.Web обнаружен троян:

Процесс в памяти: C:\WINDOWS\system32\svchost.exe:1472 Trojan.NtRootKit.2415 Обезврежен.;
synsenddrv.sys c:\windows\system32\drivers Trojan.NtRootKit.1653 Удален.;

В безопасном режиме вирус удаляется, однако после перезагрузки вновь появляется.

После отключение восстановления системы в безопасном режиме Dr.Web вирус не обнаружил.
После перезагрузки все повтаряется как описано выше.

После работы AVZ в карантин попало три файла.

[PavelA]

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\wpv8414.cpx/r','');
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\mv61xx.sys','');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\wpv8414.cpx/r');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузить карантин.

Сделать новые логи.

[AleKo]

Выполнил.

virus.zip карантин после выполнения скрипта.
virus2.zip карантин после стандартной процедуры.

[PavelA]

Одного прозевал. Еще один скрипт.

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');

BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Действия после него те же.

[AleKo]

Добрый вечер, продолжим ...

Карантин выслал, логи прикрепил.

[Гриша]

Установите AVZPM и повторите логи AVZ...

[AleKo]

Установил.

Логи прилагаются, карантин выслал.
Может чего неправильно делаю?

[PavelA]

Скачать IceSword. В нем найти и удалить:
C:\WINDOWS\system32\drivers\synsenddrv.sys
C:\WINDOWS\system32\drivers\nwpdxewngu.sys через force delete

Затем скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 SetServiceStart('synsend', 4);
 DeleteService('synsend');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
 DeleteFile('\??\C:\WINDOWS\system32\drivers\nwpdxewngu.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки сделать новые логи.

[AleKo]

Все выполнил.

ПОсле запуска скрипта в карнтине файлов не оказалось.
После стандартного сценария №3 в карантине появились файлы.
Карантин выслал.

[PavelA]

synsenddrv.sys - Rootkit.Win32.Small.bk по ЛК.

Выполнить

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('lzfndrkis');
 DeleteFile('C:\WINDOWS\system32\drivers\nwpdxewngu.sys');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\nwpdxewngu.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать новые логи.

[AleKo]

ПОсле запуска скрипта в карнтине файлов не оказалось.
После стандартного сценария №3 в карантине появились файлы.
Карантин выслал.

Dr.Web вирусов больше не обнаруживает.

[AleKo]

Up.

[AleKo]

Добрый вечер.

Проанализируйте последние логи.
Вирус удален?
Во время стандартного скрипта №3 в карнтин попало три файла.

[PavelA]

Похоже, все удалилось. Можно карантин почистить чтобы а/вирус в дальнейшем не ругался.

[AleKo]

Ок.

Спасибо за помощь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 7
• Обработано файлов: 32
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\synsenddrv.sys - Rootkit.Win32.Small.bk (DrWEB: Trojan.NtRootKit.1653)