System.exe на флешке + HackTool.Rootkit в C:\TEMP

[RedRabbit]

На флешку записывает постоянно system.exe и autorun. При этом Symantec периодически находит HackTool.Rootkit в C:\TEMP.
Помогите, пожалуйста прогнать заразу...

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
 DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);    
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[RedRabbit]

Отправил. На самом деле я уже пытался его удалять до обращения к вам, но все оказалось не так просто, видимо...
Спасибо за оперативность.

[RedRabbit]

Чуть не забыл логи...

[Гриша]

Чисто...

Был:

C:\Program Files\Microsoft Common\svchost.exe-Trojan-Dropper.Win32.Agent.aglk

[RedRabbit]

Не знаю, связано это как-то или нет, но через день перестал запускаться процесс explorer при запуске Windows....

[Гриша]

Давайте свежие логи...

[RedRabbit]

Давайте свежие логи...

Дык, как бы мне их получить, логи эти, без эксплорера-то?

[RedRabbit]

Вот новые логи. В общем, нету ярлычков, панели задач, кнопки пуск. Присылать все приходится через

[Гриша]

Нужен еще лог syscure...

[RedRabbit]

Все, я разобрался. Оставался ключ в реестре. Был прописан Debugger по адресу:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe
Ссылался на svchost в Program Files, которого мы удалили. И Без него эксплорер отказывался запускаться.
Всем спасибо!

[RedRabbit]

Периодически после перезагрузки появляется ветка в реестре с Debugger'ом explorer.exe, которая ссылается на удаленный svchost.
Посмотрите, пожалуйста, откуда она берется. Восстановление системы отключено.

[Alex_Goodwin]

Выполните скрипт, карантин по правилам:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\a.sys','');
DeleteService('vsdatant');
DeleteFile('C:\WINDOWS\system32\Drivers\a.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[RedRabbit]

Закачал. Когда выполнял скрипт первый раз, он заругался - но я не успел прочитать, комп ушел перезагружаться. После перезагрузки в карантине никого не было. Сделал скрипт 2-ой раз. На перезагрузке повис. Перезагрузил ресетом, после этого в карантине нашел две копии нужного файла....

[Rene-gad]

Перезагрузил ресетом, после этого в карантине нашел две копии нужного файла....

Это ini- файлы, а не те, которые мы искали. Логи повторите.

[RedRabbit]

Есть...

[Alex_Goodwin]

Воспользуйтесь Gmer или IceSword и закарантиньте и пришлите нам этот a.sys
после этого выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 SetServiceStart('vsdatant', 4);
 StopService('vsdatant');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\a.sys');
 BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\a.sys');
 BC_DeleteSvc('vsdatant');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[RedRabbit]

Gmer и IceSword этого файла не видят. В проводнике тоже не видно.

[Alex_Goodwin]

Давайте посмотрим новые логи.

[RedRabbit]

Вот опять. Причем в этот раз ключ в реестр прописался как раз в момент перезагрузки между sys_cure и sys_check логами. Ключ я убил.