Обнаружен file.bat, траффик

[tassajara]

При загрузке системы NOD 32 обнаруживает зараженный file.bat
При этом каждый раз хочет установиться драйвер непонятно какого устройства
В диспетчер устройств не пускает

[Rene-gad]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('botdrv');
 QuarantineFile('C:\WINDOWS\system32\driver.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\restore.sys','');
 DeleteFile('C:\WINDOWS\system32\driver.sys');
 DeleteService('botdrv');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('botdrv');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[tassajara]

Теперь NOD ругается на
C:\WINDOWS\system32\drivers\restore.sys a variant of Win32/Wigon trojan cleaned by deleting - quarantined NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\WINDOWS\Temp\BN31.tmp.

[PavelA]

Отключить а/вирус!!!
Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\Startuplogo\Startup.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\restore.sys','');
 BC_DeleteSvc('restore');
 QuarantineFile('C:\WINDOWS\system32\spoolsv.exe','');
 DeleteFile('C:\WINDOWS\system32\drivers\restore.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через http://virusinfo.info/upload_virus.php?tid=43395
Профиксить:

O4 - HKLM\..\Run: [Window  UDP Control Servic] winlogon.exe

[tassajara]

Выполнил
Пофиксил

[PavelA]

Не удаляется зараза, крепко засела.

Надо подождать ответа по карантину.

[Гриша]

NDIS.sys пришлите согласно приложению 2 правил...

[tassajara]

AVZ при добавлении в карантин выдает:
Ошибка карантина файла, попытка прямого чтения (NDIS.sys)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\NDIS.sys)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\NDIS.sys)
Карантин с использованием прямого чтения - ошибка

[Гриша]

C:\WINDOWS\system32\NDIS.sys

Найдите его там, запакуйте в архив с паролем "virus" и пришлите по красной ссылке...

[tassajara]

Отправил
Есть шансы?

[Гриша]

ndis.sys

Вредоносный код в файле не обнаружен.

Сделайте свежие логи...

[tassajara]

Логи

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;
SetAVZGuardStatus(True);
 DeleteService('restore');
 QuarantineFile('c:\windows\temp\bn9.tmp','');
 TerminateProcessByName('c:\windows\temp\bn9.tmp');
 DeleteFile('c:\windows\temp\bn9.tmp');
 DeleteFile('C:\WINDOWS\system32\drivers\restore.sys');
 DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('restore');
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[tassajara]

Логи
Карантин закачал

[Гриша]

Сделайте полную проверку AVPTool и повторите логи...

[tassajara]

Логи

[PavelA]

bn9.tmp - Email-Worm.Win32.Iksmas.ape - этого удалили.

Проблемы остались.

[tassajara]

Переустановка винды?

[PavelA]

Поищите на диске вот этот файлик:
C:\WINDOWS\system32\drivers\restore.sys

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('restore');
 BC_Activate;
RebootWindows(true);
end.

Повторить логи.

[tassajara]

C:\WINDOWS\system32\drivers\restore.sys
Не находит
Опять появляется bxx.tmp