14 ответов в этой теме

[HandleX]

Начал обсуждение на http://bugtraq.ru/cgi-bin/forum.mcgi?type=sb&b=16&m=149294, там все симптомы.

Что делать, ума не приложу. Номер лицензии 1401970200.
Вся надежда на вас.

[Borka]

Провериться свежим КуреИтом - http://www.freedrweb.com/ в безопасном режиме с отключенным восстановлением системы.
Файл C:WINDOWSsystem32ntos.exe детектится Доктором?
Как детектится "файл со случайным именем с расширением .sys" ?
Как детектится "файло Vci05.sys" ?

[HandleX]

Сейчас попробую в безопасном режиме по Вашему совету.

[Pavel Plotnikov]

Выложенный вами файл -- Trojan.DownLoader.50037
Пожалуйста удалите его с форума.

[HandleX]

Проверился свежим КуреИтом в безопасном режиме, система восстановления отключениа. Все симптомы те же.
Ключ реестра HKLM...WinlogonUserinit пргодолжает постоянно восстанавливаться на значение C:WINDOWSSYSTEM32Userinit.exe,C:WINDOWSsystem32ntos.exe .

С уважением, Александр.

[HandleX]

Удалил.

[Borka]

C:WINDOWSsystem32ntos.exe сканером не детектируется?

[HandleX]

И в папке System32 его нет, по крайней мере Far его не показывает.

[Borka]

:(
Спасет только загрузка с внешнего носителя и ручное удаление этого файла из системного каталога. Затем сюда его: http://support.drweb.com/sendnew/

[HandleX]

Нашёл процесс, который постоянно мониторит значение userinit в реестре. Это был Winlogon. Ключ мониторился примерно 2 раза в секунду.
Нашёл поток в Winlogon'е, который постоянно проявлял подобную активнусть. Убил поток. Востановил значение ключа. Перезагрузился. В папке System32 наконец-то объявился виновник торжества — ntos.exe. Дрвеб с последними обновлениями его не видит.

Сейчас отошлю через страницу "приёма" свежих вирусов это чудо вам.

[DoC]

я уже отправлял новый давеча...
самое смешное в том, что последний доктор и курит пишут "Ошибка чтения: C:Windowssystem32ntos.exe"
И ВСЕ!!!
причем зверек активен, а когда активен - маскируется при локальном показе файлов, не дает себя читать/удалять/переименовывать/перемещать.... по сети кстати он виден (сам файл), но сделать все равно ничего не дает.
лечение - загрузка с отдельного носителя и удаление руками, потом правка реестра.
профилактика - создание в windowssystem32 папки NTOS.EXE - после сего виря не садится в систему ;-)

[Borka]

самое смешное в том, что последний доктор и курит пишут "Ошибка чтения: C:Windowssystem32ntos.exe"

Смешного ничего нет. :( Думается, было б неплохо это фтрекер или на Суппорт.

[DoC]

честно - каждый раз отправляя описываю проблему лечения.
для себя нашел единственный способ - создание папки. лучше варианта пока не придумал :-(

[Loner]

Уже садится. Правда вы давно писали...по этому, не знаю как давно садится. Только вернулся от одной барышни, у которой в компе нашёл ntos.exe. Удалял ntos.exe, на его место кидал папку одноимённую, он тут же её подменял на себя. Отправил в лабораторию, ...жду.

[ILNARus]

папку надо сделать системным, на чтение, и еще туды поместить копию какой нибудь системного файла.... *.sys и тому подобные.