Автономный комп. Скрытые объекты

[Варосс]

Нужна помощь дилетанту…

Компьютер автономный (не подключен ни к сети, ни к Интернету).

Признаки заражения компа:

1. Монитор Касперского периодически показывает попытки внедрения в другие процессы;

2. Антивирус Касперского 6 (далее – АВК) после прогона диска С: антивирусом «Доктор Web» (при отключенном АВК) показывает наличие Скрытых объектов (Hidden Obdjekt). В обычном режиме АВК ничего не находит;

3. При попытке включения компа в безопасном режиме на экран выводиться заставка Windows XP c предложением ввести пароль администратора, после ввода которого запускается штатная процедура выключения компьютера. На другие клавиши комп не реагирует;

4. При запуске АВК с Аварийного диска прерывает загрузку баз данных по причине: «Нет места на диске» (а на диске С: -- 6 Гб свободно);

5. Иногда появляется большой объем (до 30 Гб) одной из папок Recycler неудаляемыми файлами с именами "Dd<порядковый номер>", несмотря на периодическую чистку Корзины

6. Недавно пропал звук через колонки и наушники. Системные звуки есть, но пониженной громкости

virusinfo_syscure.zip

virusinfo_syscheck.zip

hijackthis.log

[akoK]

Скачайте Icesword

Запустите программу.

Внизу слева выберите меню File.

Появится аналог проводника. Найдите в нем файл руткита:

C:\WINDOWS\system32\Drivers\mchInjDrv.sys

Нажмите по нему правой кнопкой мыши и выберите force delete.

На запрос потверждения ответьте "да".

Перезагрузите компьютер.

 

Обновите базы AVZ, включите AVZPM и повторите логи.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\wdrvtask.dll','');
QuarantineFile('C:\WINDOWS\system32\rebuild.exe','');
QuarantineFile('C:\WINDOWS\system32\cchservice.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\mchInjDrv.sys','');
QuarantineFile('c:\windows\tray\wintmr.exe','');
QuarantineFile('c:\windows\system32\cc32\webtmr.exe','');
DeleteFile('C:\WINDOWS\system32\Drivers\mchInjDrv.sys');
DeleteFile('C:\WINDOWS\system32\wdrvtask.dll');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 

 

Полученный архив отправьте на newvirus<at>kaspersky.com (at=@) с указанием пароля: virus в теле письма

Изменено 7 апреля, 2009 пользователем akoK