Win32/Rootkit.Agent.ODG

[dandaka]

Поставил "чистую" систему WinXP SP3. Первым делом установил последнюю версию NOD32 вместе с последними базами. Проверил компьютер - сразу вирус, который не удаляется. Антивирус говорит:

Operating memory - Win32/Rootkit.Agent.ODG trojan - unable to clean

Пока выполнял инструкцию данного форума, обнаружился ещё один вирус:

\\?\globalroot\systemroot\system32\kbiwkmduhxwbwe. dell
a variant of Win32/Kryptik.ZV trojan
unable to clean/delete

Заранее спасибо за помощь! У вас отличный форум

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\kbiwkmiqhrlnsc.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\kbiwkmiqhrlnsc.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте лог gmer

[dandaka]

запрошенный карантин прикрепил
прикрепляю лог gmer

[dandaka]

странно он как-то прикрепляется

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\kbiwkmiqhrlnsc.sys','');
DeleteFile('c:\windows\system32\drivers\kbiwkmiqhrlnsc.sys');
QuarantineFile('c:\windows\system32\kbiwkmdeutepae.dll','');
DeleteFile('c:\windows\system32\kbiwkmdeutepae.dll');
QuarantineFile('c:\windows\system32\kbiwkmduhxwbwe.dll','');
DeleteFile('c:\windows\system32\kbiwkmduhxwbwe.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del service kbiwkmpqquxdab
gmer.exe -del file "c:\windows\system32\drivers\kbiwkmiqhrlnsc.sys"
gmer.exe -del file "c:\windows\system32\kbiwkmdeutepae.dll"
gmer.exe -del file "c:\windows\system32\kbiwkmpbpjwsrf.dat"
gmer.exe -del file "c:\windows\system32\kbiwkmduhxwbwe.dll"
gmer.exe -del file "c:\windows\system32\kbiwkmyksiqvre.dat"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kbiwkmpqquxdab"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\kbiwkmpqquxdab"
gmer.exe -reboot

И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

[dandaka]

карантин прислал.
новый лог gmer прикладываю.
при выполнении скрипта gmer несколько раз выскакивали сообщения об ошибке:

---------------------------
GMER
---------------------------
An error 0x00000002 occured during the deletion of file: "c:\windows\system32\drivers\kbiwkmiqhrlnsc.sy s": The specified module could not be found.


---------------------------
OK
---------------------------

---------------------------
GMER
---------------------------
An error 0x00000002 occured during the deletion of file: "c:\windows\system32\drivers\kbiwkmiqhrlnsc.sy s": The specified module could not be found.


---------------------------
OK
---------------------------

---------------------------
GMER
---------------------------
An error 0x00000002 occured during the deletion of file: "c:\windows\system32\kbiwkmduhxwbwe.dll": The specified module could not be found.


---------------------------
OK
---------------------------

---------------------------
GMER
---------------------------
DeleteKey: The specified module could not be found.


---------------------------
OK
---------------------------

[Rene-gad]

Лог gmer чистый. Жалобы есть?

[dandaka]

Жалоб нет Мои наилучшие пожелания создателям и участникам данного проекта

Осталось только несколько вопросов:

1. Как получилось, что я заразился, если у меня всегда стоял NOD32 с более-менее актуальными базами?
2. Почему NOD не может удалить этот вирус, хотя может его обнаружить? Есть ли "автоматические" средства для обнаружения и удаления таких вирусов? Или это можно делать только вручную?
3. В случае моего перехода на Vista - шансы заразиться были бы такими же? А шансы вылечиться в автоматическом режиме?
4. Что мне делать, чтобы избежать заражений в будущем? У меня стоит NOD32 + Windows Firewall + SP3 + автообновления. Я так понимаю, что этого уже недостаточно...

[light59]

В случае моего перехода на Vista - шансы заразиться были бы такими же?

Чаще всего причина заражения находится в полуметре от монитора. Шансы, я думаю, не меньше.

Что мне делать, чтобы избежать заражений в будущем?

Почитайте это, много полезного и интересного.

Добавлено через 40 минут

Поставил "чистую" систему WinXP SP3. Первым делом установил последнюю версию NOD32 вместе с последними базами. Проверил компьютер - сразу вирус,

Кстати, интересно откуда он выплыл. Флешки все проверили? Или может софт какой специфический ставили?

[dandaka]

Сегодня антивирус снова выдал сообщение, что мой компьютер заражен. Вчера компьютер был чист.

1. Стоит Windows Firewall
2. Стоит NOD32 версии 4.0.437, базы от 2009.08.18 (самые свежие)
3. Флешки не втыкал, автозапуск отключен
4. Все диски проверены на вирусы
5. Программы, которые я мог устанавливать, по идее проверялись тем же NOD
6. Система WinXP SP3, все обновления проведены

Откуда он мог взяться опять? Заражение через сеть? Что нужно сделать, чтобы он не появлялся вновь? Поставить Outpost Firewall?

[Гриша]

Сделайте свежие логи...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\drivers\kbiwkmiqhrlnsc.sys - Trojan.Win32.Tdss.aogy ( DrWEB: BackDoor.Tdss.403, AVAST4: Win32:Alureon-CO [Rtk] )
  2. c:\windows\system32\kbiwkmdeutepae.dll - Packed.Win32.TDSS.z ( AVAST4: Win32:Alureon-CO [Rtk] )
  3. c:\windows\system32\kbiwkmduhxwbwe.dll - Trojan.Win32.Agent.cumi ( AVAST4: Win32:Alureon-CO [Rtk] )