RootKit? Не могу побороть! Помогайте!

[faiberg]

ДОброго дня уважаемые!
Вчерашнего дня, пригласил меня в гости приятель починить комп. Дескать тормозит безбожно!

Обнаружил на диске у потерпевшего только пару троянов... вылечил, но тормоза не ушли!!!
В процессах ничего не видно.
AVZ через поиск RootKit находит и нейтрализует нечто вида sp**.sys, но после перезагрузки оно находится и нейтрализуется снова!!

Из симптомов еще зависание диспетчера печати при попытке напечатать картинку из стандартного вьюера.. документы офиса печатаются нормально 8(( (Не знаю правда насколько это связано)

[polword]

1.Скачайте "OSAM" Online Solutions Autorun Manager тут. В меню драйверов правой кнопкой по jzqeql и выберите "Turn Run Off". Перезагрузку подтвердите.

2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Обязательно!!! Системное восстановление!!! как- посмотреть можно тут
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\Drivers\jzqeql.sys','');
 QuarantineFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\updpxe32.exe','');
 QuarantineFile('C:\WINDOWS\system32\Flashy.exe','');
 DeleteFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\updpxe32.exe');
 DeleteFile('C:\WINDOWS\system32\Drivers\jzqeql.sys');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_sysch eck.zip; hijackthis.log)
- лог OSAM прикрепите к сообщению

[faiberg]

OSAM это первое о чем я подумал... но он к сожалению не устанавливается 8(((
Зависает инсталлятор.
Что-то еще можно попробовать?

Спасибо! За оперативную реакцию!


UPD: Через пень-колоду установился!!!

[faiberg]

Ну вроде зашевелилась машина, но по-моему это еще не все... )

[DefesT]

virusinfo_syscheck.zip - старый лог загрузили, сделайте новый!
Восстановление системы отключали?

[polword]

- лог OSAM прикрепите к сообщению

и вот это не забудьте

[faiberg]

Вот, вроде что, просили...

[polword]

- Выполните скрипт в AVZ в безопасном режиме

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\updpxe32.exe');
 DeleteFile('C:\WINDOWS\system32\Drivers\yjchkmc.sys');
 BC_ImportAll;
 ExecuteSysClean;
 BC_DeleteFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\updpxe32.exe');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\yjchkmc.sys');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

[faiberg]

вот...

[Rene-gad]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 StopService('ucvsgyl');
 DeleteService('ucvsgyl');
 BC_DeleteSvc('ucvsgyl');
 DeleteFile('C:\WINDOWS\system32\Drivers\ucvsgyl.sys');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторные логи по правилам

[faiberg]

вот

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('ucvsgyl.sys');
 BC_ImportAll;
 ExecuteSysClean;
 BC_DeleteFile('ucvsgyl.sys');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;

[faiberg]

Вот же у Вас, уважаемые, терпение ))

[thyrex]

C:\WINDOWS\system32\Flashy.exe - этот файл Вам известен?

[faiberg]

Комп не мой.... порывался уже удалить его....
Закарантинить?

[polword]

пришлите по правилам

[faiberg]

Что прислать-то? )
Файл?
Файла на диске уже нет такого...

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('C:\WINDOWS\system32\Flashy.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Flashy Bot');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip

[faiberg]

Ну вот как-то так...

[polword]

если жалоб нет, то приступайте к обновлению системы:
- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут
- поставте Adobe Reader 9.3 или удалите старый.