Проблемы с КриптоПро CSP

[Hawk]

Помогите, на компе бухгалтерская программа и зарплата. Бухгалтер полазила в инете и после этого при запуске любой программы появляется табличка с КриптоПро CSP (вставьте ключевой носитель) два раза нажимаешь отмена и она пропадает. При следующем запуске любой программы тоже самое. Сама КриптоПро CSP у нас установлена, но раньше такого небыло, чтобы она сама по себе включалась.

[Hawk]

Ну кто-нибудь мне ответит?

[Hawk]

Помогите, вылечил крипто-про(с помощью ZBotKiller_v2), но такое ощущение что комп постоянно качает траффик из инета. Проверьте логи пожалуйста. Вложенные файлы в теме "Проблемы с КриптоПро CSP".

[DefesT]

Пофиксите в Hijackthis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,

Отключите компьютер от интернета, а также антивирус и/или файрвол.
Закройте все программы, запустите только AVZ и Internet Explorer.
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('digiwet.dll','');
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('C:\WINDOWS\System32\reader_s.exe','');
 DeleteFile('C:\WINDOWS\System32\reader_s.exe');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 DeleteFile('digiwet.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузиться!!!
Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы.
Сделайте новые логи по правилам.

[Hawk]

Закачал карантин и новые логи, но трафик все равно уходит. Каждый день по 100мб. В сети 10 компов, как определить с какого уходит. Эти логи с самого подозрительного компа.

[Hawk]

cure/it не может пройти полную проверку, выдает синий экран

[DefesT]

Сделайте новые логи с включенным AVZPM (включите драйвер расширенного мониторинга процесса)

[Hawk]

Включил AVZPM и проверил. Логи выставил. При включенном компе, постоянно приходят и отправляются пакеты в большом количестве (за пол часа 30000 пакетов)

[thyrex]

Вот Ваш виновник (предварительный диагноз: Trojan.NtRootKit.2670 - по DrWeb, Virus.Win32.Protector.a - по Касперскому)

Выполните скрипт в AVZ

begin
QuarantineFile('C:\WINDOWS\system32\Drivers\NDIS.sys','');
end.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

[Hawk]

Скинул карантин, за прошлый день опять 160 мб трафика

[thyrex]

NDIS.sys - Virus.Win32.Protector.a

Диск, с которого устанавливалась Windows на этом компьютере имеется?

[Hawk]

Имеется, а что там вирус? Может сделать так?
Находим дистрибутив Windows.
Копируем из папки i386 файл NDIS.SY_ к себе в любую папку
Переименовываем файл в NDIS.ZIP и распаковываем из него оригинальный NDIS.SYS
Удаляем зараженный ndis.sys из C:\WINDOWS\System32\Drivers.
Копируем оригинальный, заранее подготовленный NDIS.SYS в папку C:\WINDOWS\System32\Drivers.
Проверяем диски на вирусы, тем самым вычищая остатки в виде cpXXXX.nls
Перезагружаем компьютер

Добавлено через 35 секунд

Или можно как-нибудь попроще

Добавлено через 6 минут

А зачем дистрибутив, а с другого компа нельзя скопировать?

[thyrex]

В безопасном режиме

expand x:\I386\ndis.sy_ C:\WINDOWS\system32\drivers\ndis.sys

, где х - буква уст. диска CD

С другого компьютера, на котором система ставилась с этого же диска? Попробуйте, но тоже в безопасном режиме

А cpXXXX.nls зачем?

[Hawk]

а почему именно с этого диска? А с другого дистрибутива нельзя? Или просто скопировать с другого компьютера? Просто не очень помню, с какого устанавливал.

[thyrex]

Если система лицензионная, то можно с любой такой системы брать с одинаковым Сервис-паком.
Если сборка, то кто его знает, повезет или нет

[Hawk]

Скриптом в безопасном не получилось выдал ошибку. Загрузил систему с загрузочного диска и там поменял. Теперь посмотрим.

[thyrex]

Скриптом в безопасном не получилось выдал ошибку

Это был не скрипт, а инструкция, которую нужно было выполнить в командной строке

[Hawk]

в строке тоже пробовал, тоже не получилось. Он даже вручную не записывался в безопасном. Записал на флэшку с другого компа, стал переписывать на этот и нифига (диск защищен от записи) Только с помощью загрузочного диска. Но в любом случае большое спасибо.

[Rene-gad]

Команду нужно в консоли восстановления выполнять, в безопасном не получится

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\drivers\ndis.sys - Virus.Win32.Protector.a ( DrWEB: Trojan.NtRootKit.2670, BitDefender: Trojan.Kobcka.HN )