Win32:rootkit-gen [rtk] w svchost.exe


(Biskoto) #1

Witam

W laptopie znajomych Avast wykrył trojana "win32:rootkit-gen [rtk]". Usunęli jakieś pliki, trojan nadal siedział.Komp zmulił, zniknął pasek Start. Odpaliłem tam SDFix'a. Oto jego raport:

http://wklej.org/id/b5cba481ec

Avast potem już nie zgłosił niczego, jednak ponieważ system był nadal zamulony (nie działało nawet kopiowanie plików), postanowiłem odświerzyć go - czyli naprawa z dysku instalacyjnego XP (zainstaluj -> napraw instalację [R]).

Pasek zadań się pojawił, eksplorator zaczął działać, ale nagle Avast zgłosił tego samego trojana w svchost.exe.

Znowu odpaliłem SdFixa (teoretycznie nic nie znalazł, ale w swoim oknie w pewnej chwili wyświetlił komunikat "Nie można odnaleźć pliku"). Oto jego log:

http://wklej.org/id/483f6aa0e0

Log z Combofix'a:

http://wklej.org/id/d17c311250

Hijack This:

http://wklej.org/id/3c6a60b7fb

Może ten trojan siedzi gdzieś w MBR, albo Avast wywołuje fałszywy alarm?

Proszę o pomoc - z góry dziekuję.

W dniu 07.06.2008 , o godzinie 14:22 został dopisany post przez biskoto

Wyodrębniłem i podmieniłem z płyty instalacyjnej XP plik svchost.exe poleceniem:

expand x:\i386\svchost.ex_ c:\windows\system32\

ale nie pomogło - Avast wciąż zgłasza na dzień dobry w pliku c:\windows\system32\svchost.exe tego drania (?). Przewrażliwienie antyvira?...


(Leon$) #2

Wyłącz I włącz przywracanie systemu na wszystkich dyskach.http://support.microsoft.com/kb/310405/pl

przeskanuj obszar Mój komputer http://www.kaspersky.pl/virusscanner.html pokaż raport stronę uruchomić przez IE

:slight_smile:


(Biskoto) #3

Witam

Niestety z powodu kłopotów z podpięciem tego laptopa do netu (inny adres MAC niż mojego kompa, a próba zmiany tego adresu w laptopie za pomoca programu SMAC zakończyła się niepowodzeniem), braku czasu /wyjazd na parę dni/ i nacisków ze strony właścicieli laptopa - zgodnie z ich życzeniem dokonałem nadpisu sektora rozruchowego i format C:... Nowa instalacja windowsa, Nod32 zamiast avasta. Najwidoczniej pomoglo bo od paru dni wszystko hula.

W każdym razie dziękuję za pomoc i pozdrawiam.