Завелся Win32/AutoRun.IRCBot.BJ червь

**Grimassa** · 04.11.2009, 15:40

При входе в систему NOD 32 выдает такое сообщение:
файл: C:\x.bat
Win32/AutoRun.IRCBot.BJ червь
очищен удалением - изолирован
Cобытие произошло в новом файле, созданном следующим приложением: C:\WINDOWS\system\msdrv.exe.

Несмотря на то, что NOD удаляет x.bat? он возникает снова.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**snifer67** · 04.11.2009, 16:21

Выполните скрипт в avz

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelCLSID('{8BgBrjAf-gPx4-flFR-yD4e-alRfQH6JnWYm}');
 QuarantineFile('C:\WINDOWS\system\EqVNu.exe','');
 QuarantineFile('C:\WINDOWS\system\runtsk.exe','');
 QuarantineFile('C:\WINDOWS\system\msdrv.exe','');
 DeleteFile('C:\WINDOWS\system\msdrv.exe'');
 DeleteFile('C:\WINDOWS\system\EqVNu.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

**Grimassa** · 04.11.2009, 18:24

Карантин загрузил.
Новые логи:

**Никита Соловьев** · 04.11.2009, 18:30

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

Код:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system\msdrv.exe');
 QuarantineFile('C:\WINDOWS\system\msdrv.exe','');
 QuarantineFile('C:\WINDOWS\system\runtsk.exe','');
 QuarantineFile('C:\WINDOWS\system32\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\System\msdrv.exe','');
 DeleteService('Windows System Service');
 DeleteFile('C:\WINDOWS\System\msdrv.exe');
 DeleteFile('C:\WINDOWS\system\runtsk.exe');
 DeleteFile('C:\WINDOWS\system\msdrv.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Data Serivce');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенный карантин" над первым сообщением темы)

Сделайте новые логи

**Grimassa** · 04.11.2009, 19:20

Карантин добавил.
Антивирус отреагировал вот так:

**Никита Соловьев** · 04.11.2009, 19:26

Подождем анализ карантина

**Rene-gad** · 04.11.2009, 20:08

В логах ничего подозрительного. Жалобы есть?

**Grimassa** · 04.11.2009, 20:30

Похоже, что все нормально.

Спасибо за помощь!

**CyberHelper** · 05.11.2009, 20:30

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 3
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\system\msdrv.exe - Trojan.Win32.Kreeper.ei ( DrWEB: BackDoor.IRC.Sdbot.5398 )