Проблема с brastk.exe

[-Blood- 0]

Здравствуйте, у меня тоже обнаружился вирус brastk.exe. Антивирус Касперского ничего не смог сделать. Cкачал AVZ и HiJackThis. Архив с AVZ не захотел разархивироваться (выдавая ошибки), почитав похожие темы, обнаружил другую версию AVZ – evrika.pif, запустился без проблем.

Архив с HiJackThis разархивировался, но программа сразу тоже не запустилась, пришлось сменить имя на 1.exe и все заработало.

Сделал логи как вы написали.

Прошу помощи на вас вся надежда.

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.zip

[ТроПа 92]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ctlsys.dll','');
QuarantineFile('C:\WINDOWS\system32\mmctl.sys','');
QuarantineFile('C:\WINDOWS\system32\karna.dat','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Beep.sys','');
QuarantineFile('c:\windows\system32\brastk.exe','');
TerminateProcessByName('c:\windows\system32\brastk.exe');
DeleteFile('c:\windows\system32\brastk.exe');
DeleteFile('C:\WINDOWS\system32\Drivers\Beep.sys');
DeleteFile('C:\WINDOWS\system32\karna.dat');
DeleteFile('C:\WINDOWS\system32\mmctl.sys');
DeleteFile('C:\WINDOWS\system32\ctlsys.dll');
BC_ImportAll;
BC_DeleteSvc('mmctl');
BC_DeleteSvc('Beep');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес newvirus@kaspersky.com В теле письма укажите пароль на архив virus (АВЗ пароль установит сама). После того как получите ответ запостите нам.

 

 

 

Повторите логи.

[-Blood- 0]

Архив отослал, пароль указал. Жду ответа.

Новые логи.

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес newvirus@kaspersky.com В теле письма укажите пароль на архив virus (АВЗ пароль установит сама). После того как получите ответ запостите нам.

Получил ответ. Вывести его сюда?

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.zip

Изменено 7 ноября, 2008 пользователем -Blood-

[MiStr 1 597]

Получил ответ. Вывести его сюда?

Да, именно.

[-Blood- 0]

Вот ответ:

 

Здравствуйте,

 

Beep.sys - Backdoor.Win32.UltimateDefender.a,

 

ctlsys.dll - Trojan-Spy.Win32.Goldun.bew,

 

karna.dat - Backdoor.Win32.Small.gjm

 

Эти файлы определяются антивирусом. Обновите антивирусные базы.

 

brastk.exe_ - Hoax.Win32.Renos.fez

 

Детектирование файла будет добавлено в следующее обновление.

 

Пожалуйста, при ответе включайте переписку целиком.

Ответ актуален для последних баз с источников обновлений.

[ТроПа 92]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\brastk.exe','');
TerminateProcessByName('c:\windows\brastk.exe');
DeleteFile('c:\windows\brastk.exe');
DeleteFile('C:\WINDOWS\karna.dat');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

Прислать карантин (файл quarantine.zip из папки AVZ) на адрес 54712<at>rambler.ru где <at> - это @. в письме укажите ссылку на тему.

 

 

2.Пофиксить в HijackThis следующие строчки

O20 - AppInit_DLLs: karna.dat
O20 - Winlogon Notify: ctlsys - ctlsys.dll (file missing)

 

Повторите логи.

[-Blood- 0]

Скрипты ввел, карантин отослал. Из автозагрузки удалил ключ вируса.

Все, наличия этой заразы в системе не замечаю. Надеюсь так оно и есть.

 

Новенькие логи.

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.zip

[ТроПа 92]

Зловредного в логах больше ничего не вижу. Можете запустить антивирус на полную проверку, может где какая зараза и валяется.

[-Blood- 0]

Ура! Большое СПАСИБО, без вас бы не справился. А то знакомые предлагали сносить все, так как вирус этот якобы нельзя удалить.

Переставлю Касперский и полностью проверюсь.

Еще раз благодарю.