Оперативная память - Win32/Rootkit.Agent.ODG троянская программа - очистка невозможна2

[dmb-dima]

Вроде с компом все Ок, никаких проявлений Rootkit, на флешку с него всякая фигня не попадает. Спасибо!

Есть аналогичная проблема с другим компом(как успел подцепить? , видимо по сетке, расшареные папки по полной).

Вирус проявляется так: Nod 4 пишет: Оперативная память Win32/Rootkit.Agent.ODG троянская программа очистка невозможна!

Еще при старте операционки выкидывается интернет страница!

Высылаю логи для диагностики:

[Белый Сокол]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1460244436-9583893035-697024678-3952\nissan.exe','');
 QuarantineFile('C:\WINDOWS\system32\dll.dll','');
 QuarantineFile('\systemroot\system32\drivers\bapbvstthpfvnnoi.sys','');
 DeleteFile('\systemroot\system32\drivers\bapbvstthpfvnnoi.sys');
 DeleteFile('C:\RECYCLER\S-1-5-21-1460244436-9583893035-697024678-3952\nissan.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 BC_ImportDeletedList;
 ExecuteSysclean;
 ExecuteRepair(9);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы).

Пофиксите:

F2 - REG:system.ini: Shell=

Сделайте лог гмера по правилам http://virusinfo.info/showthread.php?t=40118

Повторите логи AVZ.

[dmb-dima]

1) Скрипт выполнил, комп перезагрузился.
2) Залил на форум попавшие в карантин файлы.
3) Пофиксил строку F2 - REG:system.ini: Shell=.
4) Сдела лог Гмера.
5) Вложил логи AVz.


Пока Nod 4 все еще выдает сообщения :Оперативная память Win32/Rootkit.Agent.ODG троянская программа очистка невозможна

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\rotscxdkeqjxwb.sys','');
DeleteFile('c:\windows\system32\drivers\rotscxdkeqjxwb.sys');
QuarantineFile('c:\windows\system32\rotscxuxnosptx.dll','');
DeleteFile('c:\windows\system32\rotscxuxnosptx.dll');
QuarantineFile('c:\windows\system32\rotscxnpafvkls.dll','');
DeleteFile('c:\windows\system32\rotscxnpafvkls.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сохраните текст ниже как cleanup.bat в ту же папку, где находится pdlcmt7e.exe (gmer)

pdlcmt7e.exe -del file "c:\windows\system32\drivers\rotscxdkeqjxwb.sys"
pdlcmt7e.exe -del file "c:\windows\system32\rotscxuxnosptx.dll"
pdlcmt7e.exe -del file "c:\windows\system32\rotscxwivnymdj.dat"
pdlcmt7e.exe -del file "c:\windows\system32\rotscxnpafvkls.dll"
pdlcmt7e.exe -del file "c:\windows\system32\rotscxlpxmsmkl.dat"
pdlcmt7e.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\rotscxwqerfthp"
pdlcmt7e.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\rotscxwqerfthp"
pdlcmt7e.exe -reboot

И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

[dmb-dima]

1) Скрипт выполнил в AVZ, комп перезагрузился.
2) Вирусы выслал.
3) Выполнил cleanup.bat.
4) Сделал новый лог gmer.
После всех манипуляций, все спокойно, вирусной активности не наблюдаю, Нод не ругается.

Всем спасибо за проделанную работу!.

Если что-то проявится, отпишусь, на сегодня у меня лимит интернета закончен. Пока выключу комп и дождусь понедельника.!

[thyrex]

В логе чисто

Установите SP3 (может потребоваться активация) + все новые заплатки
Установите Internet Explorer 8
Установите Adobe Acrobat 9.1.3 или удалите старый

[dmb-dima]

Спасибо, все сдела как вы сказали, пока вирусной активности на компах 0%.

Всем Helperam, большой респект.