Help. ADMDLL.dll

[frigor]

При перезагрузке вылазит ADMDLL.dll не находит библиотек

касперский 5.0 видит но не может удалить, пишет что удалит после перезагрузки, но потом все повторяется

C:\WINDOWS\system32\ADMDLL.dll

[Зайцев Олег]

Одного лога не хватает (см. правила). Но это не важно - зверь и так виден. Значит так: необходимо закрыть все программы, запустить AVZ и через меню "Файл/Выполнить скрипт" выполнить следующий скрипт:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteRepair(9);
 QuarantineFile('C:\WINDOWS\system32\ADMDLL.dll','');
 QuarantineFile('C:\WINDOWS\system32\system32.exe','');
 QuarantineFile('tasklhmg.exe','');
 DeleteFile('C:\WINDOWS\system32\system32.exe');
 // Импорт списка удаленных файлов в настройки Boot Cleaner 
 BC_ImportDeletedList; 
 // Чистка ссылок на удаленные файлы 
 ExecuteSysClean;  
 // Активация драйвера Boot Cleaner 
 BC_LogFile(GetAVZDirectory + 'boot_clr.log'); 
 BC_Activate;  
 RebootWindows(true);
end.

После выполнения скрипта компьютер автоматом перезагрузится. После этого нужно прислать попавшие в карантин файлы согласно правилам и повторить логи - для контроля.

[frigor]

Все сделал, но не помогло, при запуске касперский опять его нашел.
да. и хотелось-бы знать, что это за вирус?

[anton_dr]

Все сделал,

Вы не прислали файл карантина.

[frigor]

прислал. но если хотите могу кинуть в форум

[AndreyKa]

прислал. но если хотите могу кинуть в форум

Файл пришел. На форум кидать нельзя!

C:\WINDOWS\system32\system32.exe - Program.RemoteAdmin

Файлы C:\WINDOWS\system32\ADMDLL.dll и tasklhmg.exe не пришли.

PS. Что говорит Касперский по поводу ADMDLL.dll?
Попробуйте прислать по Правилам файлы:
C:\WINDOWS\system32\ADMDLL.dll
tasklhmg.exe
отключив антивирус, на время поиска и их архивирования.

[Зайцев Олег]

Все сделал, но не помогло, при запуске касперский опять его нашел.
да. и хотелось-бы знать, что это за вирус?

А скрипт точно сработал ? Файл 'boot_clr.log' создался в папке AVZ ? Если да, то его нужно приаттачить сюда для анализа.

[frigor]

файл создался, но вирус не удалился.
'boot_clr.log' заархивировал и отправил ВАМ

[Зайцев Олег]

файл создался, но вирус не удалился.
'boot_clr.log' заархивировал и отправил ВАМ

Хорошо, усилим скрипт - попробуйте так:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteRepair(9);
 QuarantineFile('C:\WINDOWS\system32\ADMDLL.dll','');
 QuarantineFile('C:\WINDOWS\system32\system32.exe','');
 QuarantineFile('tasklhmg.exe','');
 DeleteFile('C:\WINDOWS\system32\system32.exe');
 DeleteFile('C:\WINDOWS\system32\ADMDLL.dll');
 // Импорт списка удаленных файлов в настройки Boot Cleaner 
 BC_ImportDeletedList; 
 // Чистка ссылок на удаленные файлы 
 ExecuteSysClean;  
 // Активация драйвера Boot Cleaner 
 BC_LogFile(GetAVZDirectory + 'boot_clr.log'); 
 BC_Activate;  
 RebootWindows(true);
end.

файл system32.exe - это не вирус, а RAdmin - утилита удаленного администрирования. Для исследования обязательно нужен C:\WINDOWS\system32\ADMDLL.dll - его помещение в карантин может блокировать монитор AVP, его стоит отключить на время и попробовать вручную скопировать этот файл. Я думаю, это тоже компонента RAdmin. Еще пришлите файл C:\WINDOWS\ALCFDRTM.EXE согласно правилам.

[Geser]

файл создался, но вирус не удалился.
'boot_clr.log' заархивировал и отправил ВАМ

Логи прикрепять к теме. Запрошенные файлы отправлять через форму для отправки файлов. Еще раз будет сделано наоборот и тема будет закрыта. Уважайте людей которые тратят на Вас своё личное время.

[frigor]

ADMDLL.dll не могу найти, ALCFDRTM.EXE - выслал, еще появился файл TEMP\game.exe

[frigor]

А касперыч говорит:"C:\windows/system32/admdll.dll является backdoorом backdoor.win32.ra-based.b1 . Рекомендуется его удалить", но не может.

[Зайцев Олег]

А касперыч говорит:"C:\windows/system32/admdll.dll является backdoorом backdoor.win32.ra-based.b1 . Рекомендуется его удалить", но не может.

Пробуем еще раз (на всякий случай - скрипт точно сработал и ПК перезагрузился ?!):
1. Отключаем AVP, отключаем восстановление системы (см. правила). После этого я рекомандую перезагрузиться
2. Запускает AVZ, выполняем скрипт AVZ:

begin
 ClearQuarantine; 
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteRepair(9);
 QuarantineFile('C:\WINDOWS\system32\ADMDLL.dll','');
 QuarantineFile('tasklhmg.exe','');
 DeleteFile('C:\WINDOWS\system32\system32.exe');
 DeleteFile('C:\WINDOWS\system32\ADMDLL.dll');
 DeleteFile('tasklhmg.exe');
 // Импорт списка удаленных файлов в настройки Boot Cleaner 
 BC_ImportDeletedList; 
 // Чистка ссылок на удаленные файлы 
 ExecuteSysClean;  
 // Активация драйвера Boot Cleaner 
 BC_LogFile(GetAVZDirectory + 'boot_clr.log'); 
 BC_Activate;  
end.

3. Не выходя из AVZ нужно произвести поиск файла с именем tasklhmg.exe на диске C (Сервис/Поиск файла на диске). Если найдется - отметить его птичкой и нажать кнопки копирования в карантин и удаления.
4. Аналогично шагу 3 проделать для ADMDLL.dll и system32.exe
5. Файл/Восстановление системы в avz - там отменить "Удалить отладчики системных процессов" и нажать выполнить
6. Перезагрузиться, если что-то попадет в карантин - прислать по правилам. Плюс описать результативность шагов 3-4

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\system32.exe - not-a-virus:RemoteAdmin.Win32.RAdmin.21 (DrWEB: Program.RemoteAdmin)