Infekcja rootkitem Rustock

[Lopio]

Proszę o sprawdzenie loga ComboFix z komputera sąsiada. Komputer zainfekowany jest rootkitem Rustock.

http://wklej.org/id/102306/

[jasio96 (96jasio96)]

Sprawdź ten plik :

h:\windows\system32\drivers\a0f235e9.sys

na viruscan.jotti.org

Daj log z HijackThis

Daj log z Gmer’a

[ciemnowidz (Henio Mazurek)]

Wklej do notatnika

File:: h:\windows\system32\drivers\a0f235e9.sys Registry:: [-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\a0f235e9]

Zapisz jako CFScript.txt. Ten plik przeciągasz na ikonę ComboFix. Powstanie log który tu wkleisz.

Do sprawdzenia na http://www.virustotal.com/pl/ te pliki

h:\windows\system32\dllcache\ndis.sys h:\windows\system32\drivers\ndis.sys

Pokaż raport.

[Lopio]

ComboFix

http://wklej.org/id/102353/

h:\windows\system32\dllcache\ndis.sys

http://www.virustotal.com/pl/analisis/cadba89136b4badff707dcbff199cb625f8fe2a923362c1b5cce6dd245a97b64-1244268662

h:\windows\system32\drivers\ndis.sys

http://www.virustotal.com/pl/analisis/cadba89136b4badff707dcbff199cb625f8fe2a923362c1b5cce6dd245a97b64-1244383648

[ciemnowidz (Henio Mazurek)]

Dobrze nie jest. Oba pliki trzeba podmienić.

Na płycie z Windows znajdź w katalogu I386 plik NDIS.SY_, wypakuj jako NDIS.SYS bezpośrednio na H.

Pobierz Avenger

http://swandog46.geekstogo.com/avenger.exe

Wklej do niego taki tekst

Files to move: h:\ndis.sys | h:\windows\system32\drivers\ndis.sys h:\ndis.sys | h:\windows\system32\dllcache\ndis.sys

Klikasz Execute. Zakładam, że wersje plików systemowych na dysku i na płycie się zgadzają. Jeśli jest inaczej, np po instalacji SP, wtedy trzeba zdobyć skądś świeży plik w tej samej wersji.

Potem dokładny skan Dr.WEB CureIt.

[Lopio]

Dr.WEB CureIt nic nie wykrył. Dziękuję za pomoc.