Addendum: The story below is somewhat dated….today I would use SDFix and the Microsoft Malicious Software Removal Tool to remove a rootkit infection. Adición: La historia es un poco más abajo de fecha .... Hoy quiero utilizar SDFix y Microsoft herramienta Malicious Software Removal para eliminar la infección por un rootkit.

At my work, had to repair WindowsXP machine infected with variant of the Win32/cutwail rootkit virus (among several others, as it turned out). En mi trabajo, tenía que reparar la máquina infectada con WindowsXP variante del virus de Win32/cutwail rootkit (entre otros, ya que resultó). First noticed the PC in my role as system administrator, because of increased network traffic which is to be expected, as this is a Trojan that sends mass-mail. En primer lugar el PC notado en mi función como administrador del sistema, debido al aumento de tráfico de la red que es de esperar, ya que este es un troyano que envía en masa-mail.

Running CA online virus scan detects the problem but is unable to remove the infection. Ejecutando detección de virus en línea de CA detecta el problema, pero es incapaz de eliminar la infección. Repeated scans (after reboot) report the file ip6fw.sys (win firewall driver) as infected. Escaneos repetidos (al iniciar el sistema) el archivo de informe ip6fw.sys (cortafuegos ganar conductor) como infectados. So upon boot the PC re-infects itself again.Also notice that the Win Firewall is turned off and can not be enabled. Por lo tanto, a arrancar el PC se infecta de nuevo again.Also anuncio de que el Firewall de ganar está apagado y no puede ser activado. Trying to enable the Windows Firewall returns “Firewall can not be started because of unknown error”. Tratando de que el Firewall de Windows devuelve "Firewall no se puede iniciar por error desconocido". Followed these instructions to get the Firewall to work again. Seguido estas instrucciones para obtener el Firewall de nuevo a trabajar.

Next noticed that upon boot the message “Cannot lock volume for direct access” is returned from chkdsk when it tries to run. Siguiente notado que al arrancar el mensaje "No se puede bloquear el volumen para acceso directo" se devuelve desde chkdsk cuando se intenta ejecutar. Microsoft has a KB out that describes the issue but states that installing the latest service pack should help. Microsoft tiene una KB en que describe el tema, pero afirma que la instalación del Service Pack más reciente debe ayudar. It does not. No.

Additionally the process “csrss.exe” hogs the CPU by using 80% of CPU time without any programs running on the PC which is probably a side effect of the Trojan infestation. Además, el proceso de "Csrss.exe" los cerdos mediante el uso de la CPU del 80% de tiempo de CPU, sin ningún programa ejecutándose en el PC que es, probablemente, un efecto secundario de la infestación de Troya. Also machine runs multiple instance of iExplorer.exe that "come and go" when viewed in the task manager. Asimismo, la máquina ejecuta múltiples iexplorer.exe ejemplo de que "van y vienen" cuando se ve en el administrador de tareas. Use Windows Boot CD in repair mode and perform chkdsk “manually”. Uso de CD de arranque de Windows en modo de reparación y realizar chkdsk "manualmente". Notice that the files core.sys and cache.core.sys in the windows/system32/drivers/ directory have a file date from around the time of the PC’s virus infection. Observe que los archivos core.sys y cache.core.sys en el windows/system32/drivers / directorio tiene una fecha de archivo de todo el tiempo de la infección por el virus del PC. So take a chance and delete the files using the repair console (gotta have aWinXP installation disk for that).  Now upon normal boot the chkdsk utility works again(!) and goes thru a long process of checking the HD. Por lo tanto, tener una oportunidad y eliminar los archivos usando la consola de reparación (aWinXP tengo que tener para que el disco de instalación). Ahora a los normales de arranque el programa Chkdsk trabaja otra vez (!) Y pasa a través de un largo proceso de control de la HD. Install McAfee AV but when trying to run McAfee for virus scan, get “Blue Screen” with message “irql_not_less_or_equal”, meaning that a kernel mode app tried to access memory outside of its scope. Instalar AV de McAfee, pero al intentar ejecutar McAfee para detección de virus, obtener "pantalla azul" con mensaje "IRQL_NOT_LESS_OR_EQUAL", lo que significa que una aplicación en modo de núcleo intentado acceder a memoria fuera de su ámbito de aplicación. Next try to boot in safe mode (F8), but then the system hangs upon loading “agpCQ.sys”, a video device driver. Siguiente intentar arrancar en modo seguro (F8), pero luego el sistema se cuelga a la carga de "agpCQ.sys", un controlador de dispositivo de vídeo.

Next boot from CD again and rename the offending device driver from “”agpCQ.sys” to “agpCQ.sy$”. Siguiente arranque desde el CD de nuevo y cambiar el nombre del controlador de dispositivo de la delincuencia "" agpCQ.sys "a" $ agpCQ.sy ". Now Safe Boot works and the system does not fail with “irql_not_less_or_equal” anymore, BUT the system refuses to execute McAfee virus scan in safe mode…any attempt to run McAfee is simply ignored…looks like removal of the cutwail virus is tricky.So boot system in safe mode with networking, run CA online virus scan , which now finds two infected files that I remove. Ahora prueba de arranque de obras y el sistema no fallará con "IRQL_NOT_LESS_OR_EQUAL" ya, pero el sistema se niega a realizar análisis de virus de McAfee en modo seguro ... cualquier intento de ejecutar McAfee es ignorado ... se parece a la eliminación de virus es cutwail tricky.So de arranque sistema en modo seguro con funciones de red, ejecute CA detección de virus en línea, que ahora se encuentra dos archivos infectados que me retire. Next boot in normal mode. Siguiente arranque en modo normal. Now McAfee finds a rootkit infection and removes it…good. Ahora McAfee considera la infección por un rootkit y lo elimina ... bueno. But McAfee says that a reboot is required…and upon rebooting the system shuts down with “irql_not_less_or_equal” again (!). Sin embargo, McAfee dice que es necesario un reinicio ... y el momento de reiniciar el sistema se cierra con "IRQL_NOT_LESS_OR_EQUAL" de nuevo (!). So it looks like the McAfee virus scanner causes the “irql_not_less_or_equal” blue screen when it tries to clean up the rootkit virus… Así que parece que el antivirus de McAfee provoca la "IRQL_NOT_LESS_OR_EQUAL" pantalla azul cuando se trata de limpiar el virus de rootkit ...

So decide to boot normally into administrator account, then run CA online virus scan to temporarily deactivate the active cutwail rootkit virus, then run McAfee virus scanner. Así lo deciden a arrancar normalmente en la cuenta de administrador y luego ejecutar CA detección de virus en línea para desactivar temporalmente la activa cutwail de rootkit, virus, vuelva a ejecutar el antivirus de McAfee. No go…still get “irql_not_less_or_equal” message with blue screen. No ir ... a pesar de "IRQL_NOT_LESS_OR_EQUAL" mensaje con pantalla azul. Ergo: McAfee virus scan driver causes blue screen when trying to clean PC, probably when trying to do the rootkit part of its cleanup routines. Ergo: detección de virus de McAfee conductor causa pantalla azul al intentar limpiar PC, probablemente al intentar hacer el rootkit parte de su rutina de limpieza.

Next decide to download new virus scan utility: CounterSpy from Sunbelt Software. Run a full system scan with CounterSpy. Siguiente decidir descargar nuevos análisis de virus de utilidad: CounterSpy de Sunbelt Software. Ejecute un análisis completo del sistema con CounterSpy. It detects several threads but is unable to clean system. Detecta varios hilos, pero no es capaz de limpiar el sistema.

Next download F-Secure Rootkit removal tool Blacklight-Beta . Siguiente descarga F-Secure Blacklight Rootkit herramienta de eliminación-Beta. It finds the hidden process iExplore.exe in the  c:\Program Files\Internet Explorer directory. Se considera que el proceso oculto iexplore.exe en el directorio c: \ Archivos de programa \ Internet Explorer directorio. This file is locked so the only way to rename it is to rename the directory that contains the file, thereby blocking access to it. Este archivo está bloqueado por lo que la única manera de cambiar el nombre es para cambiar el nombre del directorio que contiene el archivo, lo que bloquea el acceso a ella. After that, the file unlocks and can be renamed. Después de eso, abre el archivo y se puede cambiar de nombre.

The key to finally cleaning up the system is to delete the Windows\Temp directory. Finalmente, la clave para la limpieza del sistema es eliminar la carpeta Windows \ Temp. Notice that this directory contains a lot of suspisiously named files that can not be removed during normal operation, so use the Repair Console to do this. Observe que este directorio contiene una gran cantidad de archivos que suspisiously nombre no puede ser removido durante el funcionamiento normal, así que use la consola de reparación para hacer esto. After deleting the Temp direcory do not forge to create a new (empty) Windows\Temp directory or Windows will not work correctly. Después de eliminar el directorio Temp no forjar para crear una nueva (vacía) Windows \ Temp o directorio de Windows no funcionará correctamente.

So in summary this worked: Así pues, en resumen este trabajo:

  • re-instate windows firewall …this was probably deactivated by the Trojan-Proxy.Win32.Xorpix backdoor virus found by CounterSpy instate nuevo Firewall de Windows ... este fue probablemente desactivados por el troyano de puerta trasera Proxy.Win32.Xorpix-virus que se encuentra por CounterSpy
  • manually delete core.sys and core.cache.sys in the system32 directory using the Windows Repair console to get chkdsk to work again eliminar manualmente core.sys y core.cache.sys en el directorio system32 de Windows utilizando la consola de reparación para obtener chkdsk a trabajar de nuevo
  • rename offending agpCQ.sys to be able to do a safe boot (F8 key) agpCQ.sys cambiar el nombre de la delincuencia para poder hacer un arranque seguro (tecla F8)
  • rename folder that contains iExplore.exe (gotta do this in Safe Mode from Command prompt, else folder is locked) to prevent multiple instance of iExplore.exe that eat up processor time cambiar el nombre de la carpeta que contiene iexplore.exe (tengo que hacerlo en Modo a prueba de errores desde el símbolo del sistema, otra carpeta está bloqueado), para evitar múltiples instancia de iexplore.exe que se comen hasta tiempo de procesador
  • In Safe Mode with Command Prompt, delete \Windows\Temp\ folder. En Modo a prueba de errores con símbolo del sistema, borrar \ Windows \ Temp \ carpeta. This folder contains Rootkit Win32.Agent.eq virus which is detected by CounerSpy but NOT removed. Esta carpeta contiene Rootkit Win32.Agent.eq virus que se detecta por CounerSpy pero no se elimina.
  • Boot normally and run CounterSpy again to make sure all infections are gone. Arrancar normalmente CounterSpy y ejecute de nuevo para asegurarse de que todas las infecciones se han ido.
  • Re-create Windows\Temp folder as it is being used by Windows for temporary storage when programms are executed. Vuelva a crear Windows \ Temp, ya que está siendo utilizado por Windows para el almacenamiento temporal, cuando se ejecutan programas.

It took one full day of work to get the PC (a Dell Lattitude Laptop) back to normal. Tomó un día completo de trabajo para el PC (un ordenador portátil Dell Lattitude) volverá a la normalidad.