Авторанер?

[Asker]

Заметил торможение компа, провёл проверку
Касперский во многих rar архивах нашёл файл autoextract.exe
CureIt заявил, что csrcs.exe архив инфецирован, поэтому он переместил его.

P.S. после перезагрузки забыл скайп убить...

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\nvmini.sys','');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\system32\csrcs.exe');
 ExecuteRepair(16);
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[Макcим]

Вдогонку. Выполните скрипт

begin
 ClearHostsFile;
end.

"Пофиксите" в HijackThis

F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Policies\Explorer\Run: [csrcs] C:\WINDOWS\system32\csrcs.exe

Загрузите карантин согласно приложению №3 правил. Повторите логи.

[Asker]

уточните порядок выполнения, пожалуйста

[V_Bond]

в поряюке написания ....

[Asker]

так...
пофиксить получилость только
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

Остального уже не было.

[V_Bond]

helper.exe и C:\WINDOWS\system32\DRIVERS\nvmini.sys попробуйте прислать согласно приложения 2 правил ...

[Asker]

Ошибка карантина файла, попытка прямого чтения (helper.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\helper.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\helper.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\DRIVERS\nvmini.sys)
Карантин с использованием прямого чтения - ошибка

[V_Bond]

выполните скрипт

begin
 DeleteService('cdralw');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\nvmini.sys');
 DeleteFile('helper.exe');
ExecuteSysClean;
RebootWindows(true);
end.

повторите логи

[Asker]

что ещё подозрительно?

[V_Bond]

ничего плохого ...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения вредоносные программы в карантинах не обнаружены