Avast обнаружил Win32:Bubnix-J [Rtk] и ПК стал чахнуть....

[BCH_Rus]

Здравствуйте!
Avast заблокировал, при работе с интернетом, изменения в windows\system32\drivers\....
а ещё в лог-файле Avast была запись "vbs:Malware-gen" и "Win32:Rootkit-gen [Rtk]"
Заранее спасибо.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\gxrepu.exe','');
 QuarantineFile('C:\WINDOWS\system32\8006d892.exe','');
 DeleteFile('C:\WINDOWS\system32\8006d892.exe');
 DeleteFile('C:\WINDOWS\system32\gxrepu.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(20);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ

Сделайте новые логи

Скачайте RSIT. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

[BCH_Rus]

дело в том, что файлы gxrepu.exe и 8006d892.exe я сам своими ручками уже удалил уже после создания логов через АВЗ.. но результат не изменился... Avast по умолчанию грузится с выключенным on-line монитором

[BCH_Rus]

вот решил ещё раз решил для экспертов сделать логи АВЗ.
К сожалению выключить Avast нет возможности, система это не позволяет. Пк отвечает (ограниченно) в течении 3-4 минут, а потом работает только мышка (перемещается по экрану) и всё... и "восстановление системы" тоже не отключить. Плюс при загрузке экран Avast всегда находится в режиме отключения.
RSIT не запускается, выдаёт ошибку и предлагает "отладить программу"
Спасибо.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe','');
 DeleteFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe');
DeleteFile('%windir%\Tasks\{BB65B0FB-5712-401b-B616-E69AC55E2757}.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ

Сделайте новые логи

[BCH_Rus]

скрипт запустил, но ПК отказался перегружаться.... пришлось принудительно его выключить. Потом создал логи, но реакция была та же, что и до запуска скрипта...

[BCH_Rus]

.... потом решил ещё глубже капнуть и отключил пару служб, переименовал пару файлов из "Windows", принудительно перегрузился и стало немного лучше. При запуске Autoruns, в закладке "Logon" появилась информация о загрузка системы (а раньше кроме rdpclip)ничего не было.... системы работала больше 3-4 минут и был доступ ко всем системным функциям. Создал новые логи. Но звук не появился... и есть задержка при открытии некоторых программ и файлов.
Спасибо.

[polword]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Обязательно!!! Системное восстановление!!! как- посмотреть можно тут
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
  QuarantineFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe','');
 QuarantineFile('C:\Program Files\Microsoft ActiveSync\_wcescomm.exe','');
 QuarantineFile('C:\WINDOWS\system32\gxrepu.exe','');
 QuarantineFile('C:\WINDOWS\system32\8006d892.exe','');
 DeleteFile('C:\WINDOWS\system32\8006d892.exe');
 DeleteFile('C:\WINDOWS\system32\gxrepu.exe');
 DeleteFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(20);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Скачайте RSIT тут. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

[BCH_Rus]

всё сделал как вы сказали, но Avast выгрузить не удалось и в карантин ничего не попало (пустой архив получился) и звук не появился...
посмотрел журнал событий, в тот момент когда пошло заражение и Avast стал сильно ругаться появилась запись:
"Сбой при запуске службы "7ByteIo" из-за ошибки
Не удается найти указанный файл. "

"Сбой при запуске службы "Подавитель акустического эхо ядра системы" из-за ошибки
Не удается найти указанный файл. "

"Сбой при запуске службы "Драйвер асинхронного носителя RAS" из-за ошибки
Не удается найти указанный файл. "

"Сбой при запуске службы "i2omgmt" из-за ошибки
Не удается найти указанный файл. "

"Сбой при запуске службы "Драйвер брандмауэра Windows для IPv6" из-за ошибки
Не удается найти указанный файл. "

"Сбой при запуске службы "Драйвер фильтра IP-трафика" из-за ошибки
Не удается найти указанный файл. "

"Служба "Драйвер фильтра IPX-трафика" является зависимой от службы "Драйвер пересылки IPX-трафика", которую не удалось запустить из-за ошибки
Не удается найти указанный файл. "

"Сбой при запуске службы "VSO Software pcouffin" из-за ошибки
Не удается найти указанный файл. "

"Сбой при запуске службы "Secdrv" из-за ошибки
Не удается найти указанный файл. "

"Сбой при запуске службы "BDA Slip De-Framer" из-за ошибки
Не удается найти указанный файл. "

"Сбой при запуске службы "SMI Win XP Factory Driver" из-за ошибки
Не удается найти указанный файл. "

"Сбой при запуске службы "smserial" из-за ошибки
Не удается найти указанный файл. "

"Обнаружена попытка замены защищенного системного файла changer.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."

"Обнаружена попытка замены защищенного системного файла i2omgmt.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."

"Обнаружена попытка замены защищенного системного файла lbrtfdc.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.10.1.0."

"Служба "Служба восстановления системы" перешла в состояние Остановлена."

"Драйвер обозревателя сети инициировал выборы в сети \Device\NetBT_Tcpip_{215C1FCA-AB4C-4C3F-A580-56AF5AE5AB76}, так как был остановлен основной обозреватель сети."
ну и ещё пару строк.... а после ПК завис и после принудительной перезагрузке пошёл чудить....
я так понимаю, что руткит самостоятельно выключил восстановление системы.

[polword]

Профиксите в HijackThis

R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - AutorunsDisabled - (no file)
O9 - Extra button: (no name) - AutorunsDisabled - (no file)

В остальном подозрительного нет. Что с проблемой?

[BCH_Rus]

звук не появился, Avast грузится с выключенным экраном в реальном времени. При попытке переустановить драйвер звуковой карты, установщик повисает.

Добавлено через 3 часа 4 минуты

а как можно проверить ещё сидит у меня что-то или нет?...
а то преустановка звуковой карты заняло 15 минут... а запуск мп3 1,5 минуты...
такое впечатление, что кто-то следит за работой ПК.... я не параноик...

[polword]

- Сделайте лог MBAM

[BCH_Rus]

прошёл тест. ничего явного не нашлось... только "avdrn.dat" и он близок к времени, когда всё началось...

[polword]

- удалите в MBAM

Зараженные ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\poprock (Trojan.Downloader) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Vkontakte (Trojan.Fkantakte) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\bf (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\bk (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\iu (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\mu (Trojan.Agent) -> No action taken.


Зараженные файлы:
C:\Documents and Settings\Иннусик\Application Data\avdrn.dat (Malware.Trace) -> No action taken.

[BCH_Rus]

удалил... ничего не изменилось...
система так же медленно грузится (точнее рабочий стол появляется в нормальное время, а вот сеть, аваст, звук грузятся с очень сильной задержкой) Аваст грузится с выключенным экраном файловой системы. Звуковая тема при загрузке не работает, но драйвер звука работает (воспроизводятся звуковые файлы) выключение происходит тоже с большой задержкой, а иногда приходится выкл питание ноута. а можно заново переставить файлы Windows, но при этом сохранить систему в целом (т.е. все установленные программы и настройки) ??

[polword]

Можно
- найдите диск для Windows ХР Service Pack 3 и переустановите Windows, так как написано тут
см. Способ 2. Восстановление Windows XP при загрузке компьютера с компакт-диска Windows XP

[BCH_Rus]

а что же может тормозить систему? вроде всё посмотрел.....

"Обнаружена попытка замены защищенного системного файла changer.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."

"Обнаружена попытка замены защищенного системного файла i2omgmt.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."

"Обнаружена попытка замены защищенного системного файла lbrtfdc.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.10.1.0."

а это может дать какую-то подсказку?... всё это произошло в момент заражения системы... может эти файлы обновить?

[BCH_Rus]

вроде как ПК заработал...
переустановил с диска заново систему, с сохранением всех программ...
появился звук, заработали USB... теперь будем смотреть за стабильностью.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены