Заражен сервер Windows 2003 [Trojan-GameThief.Win32.Magania.hrsp ]

**bear73** · 05.10.2012, 15:27

В организации есть общий сервер под управлением Windows 2003. Используется как файл обменник и для запуска общих программ Гарант Консультант и свое ПО. Произошло заражение троянами, не могу найти файл который их запускает и избавиться от них. Установлен Касперский 8.0 для серверов, не помогает. Каждый день с утра на диске С в корне появляются файлы типа: hex1433.exe hex360.exe и т.д. в процессах куча ftp.exe помогите отыскать злоумышлиника.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 05.10.2012, 15:30

Уважаемый(ая) bear73, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 05.10.2012, 21:27

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Windows\System32\dfds.dll','');
 QuarantineFile('C:\Windows\System32\winnie.dll','');
 QuarantineFile('C:\progra~1\Common Files\Sogou.exe','');
 QuarantineFile('C:\windows\xinstall1998600.dll','');
 QuarantineFile('C:\WINDOWS\C8B0A43A\svchsot.exe','');
 QuarantineFile('C:\Program Files (x86)\Tyvq\Dajdgvkis.jpg','');
 DeleteService('MSFTPSVC.');
 QuarantineFile('C:\WINDOWS\system32\cieuaw.exe','');
 QuarantineFile('C:\WINDOWS\system32\hexoff.exe','');
 DeleteService('DSLserveruod');
 DeleteService('DirectX Remover.');
 QuarantineFile('C:\WINDOWS\system32\lstbeq.exe','');
 QuarantineFile('C:\WINDOWS\system32\mnmsrvc.exe','');
 DeleteService('lchhbfqmki');
 QuarantineFile('c:\RECYCLER\hexAntiSty.exe','');
 DeleteService('MS Media Control Center');
 QuarantineFile('C:\WINDOWS\system32\hex22.exe','');
 DeleteService('Nationalcik');
 QuarantineFile('C:\Documents and Settings\UserData.exe','');
 DeleteService('Nationalcnd');
 QuarantineFile('C:\WINDOWS\system32\miseaw.exe','');
 DeleteService('qnjwjmwaxx');
 QuarantineFile('C:\WINDOWS\system32\WinHrot32.exe','');
 QuarantineFile('C:\WINDOWS\system32\WinHtxa32.exe','');
 QuarantineFile('C:\WINDOWS\system32\hex1111.exe','');
 DeleteService('xhatmuudqb');
 DeleteService('WinHqky32');
 DeleteService('WinHjuq32');
 TerminateProcessByName('c:\windows\syswow64\cieuaw.exe');
 QuarantineFile('c:\windows\syswow64\cieuaw.exe','');
 TerminateProcessByName('c:\windows\temp\svchost.exe');
 QuarantineFile('c:\windows\temp\svchost.exe','');
 DeleteFile('c:\windows\temp\svchost.exe');
 DeleteFile('c:\windows\syswow64\cieuaw.exe');
 DeleteFile('C:\WINDOWS\system32\hex1111.exe');
 DeleteFile('C:\WINDOWS\system32\WinHtxa32.exe');
 DeleteFile('C:\WINDOWS\system32\WinHrot32.exe');
 DeleteFile('C:\WINDOWS\system32\miseaw.exe');
 DeleteFile('C:\Documents and Settings\UserData.exe');
 DeleteFile('C:\WINDOWS\system32\hex22.exe');
 DeleteFile('c:\RECYCLER\hexAntiSty.exe');
 DeleteFile('C:\WINDOWS\system32\lstbeq.exe');
 DeleteFile('C:\WINDOWS\system32\hexoff.exe');
 DeleteFile('C:\WINDOWS\system32\cieuaw.exe');
 DeleteFile('C:\Program Files (x86)\Tyvq\Dajdgvkis.jpg');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Ammwie Rgebjduk Yhi\Parameters','ServiceDll');
 DeleteFile('C:\WINDOWS\C8B0A43A\svchsot.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','C8B0A43A');
 DeleteFile('C:\progra~1\Common Files\Sogou.exe');
 DeleteFile('C:\Windows\System32\winnie.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Rspdates Apxplicatioan\Parameters','ServiceDll');
 DeleteFile('C:\Windows\System32\dfds.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Rspdates Apxplicatio2233jrq\Parameters','ServiceDll');
 DeleteFile('C:\WINDOWS\Tasks\At1.job');
 DeleteFile('C:\WINDOWS\Tasks\At10.job');
 DeleteFile('C:\WINDOWS\Tasks\At11.job');
 DeleteFile('C:\WINDOWS\Tasks\At12.job');
 DeleteFile('C:\WINDOWS\Tasks\At13.job');
 DeleteFile('C:\WINDOWS\Tasks\At15.job');
 DeleteFile('C:\WINDOWS\Tasks\At16.job');
 DeleteFile('C:\WINDOWS\Tasks\At17.job');
 DeleteFile('C:\WINDOWS\Tasks\At18.job');
 DeleteFile('C:\WINDOWS\Tasks\At19.job');
 DeleteFile('C:\WINDOWS\Tasks\At2.job');
 DeleteFile('C:\WINDOWS\Tasks\At20.job');
 DeleteFile('C:\WINDOWS\Tasks\At21.job');
 DeleteFile('C:\WINDOWS\Tasks\At22.job');
 DeleteFile('C:\WINDOWS\Tasks\At23.job');
 DeleteFile('C:\WINDOWS\Tasks\At24.job');
 DeleteFile('C:\WINDOWS\Tasks\At3.job');
 DeleteFile('C:\WINDOWS\Tasks\At4.job');
 DeleteFile('C:\WINDOWS\Tasks\At5.job');
 DeleteFile('C:\WINDOWS\Tasks\At6.job');
 DeleteFile('C:\WINDOWS\Tasks\At7.job');
 DeleteFile('C:\WINDOWS\Tasks\At8.job');
 DeleteFile('C:\WINDOWS\Tasks\At9.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

**bear73** · 08.10.2012, 12:16

После скрипта сделаны новые логи, карантин загружен в соответствии с правилами

**bear73** · 10.10.2012, 10:35

Ситуация остается актуальной: с утра на сервере на диске С: 34 трояна типа hex1***.exe и т.д. В процессах висит куча ftp.exe Я как понимаю на диске находиться файл который их запускает, помогите найти.

**thyrex** · 11.10.2012, 01:18

Удалите в МВАМ только указанные ниже записи

Код:

Обнаруженные ключи в реестре:  7
HKLM\SOFTWARE\{FCADC8A0-FEB7-4185-9F52-C5141DE0312E} (Trojan.Agent) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINHELP32 (Trojan.Backdoor) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\SERVICES\Rspdates Apxplicatio2233jrq (Trojan.ServiceJRQ) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\SERVICES\Rspdates Apxplicatioan (Trojan.Service) -> Действие не было предпринято.
HKLM\System\CurrentControlSet\Enum\Root\LEGACY_INTERNET_EXPLORER (Backdoor.Hupigon) -> Действие не было предпринято.
HKLM\System\CurrentControlSet\Services\.Net CLR (Trojan.Agent) -> Действие не было предпринято.
HKLM\System\CurrentControlSet\Services\WinHelp32 (Backdoor.Hupigon) -> Действие не было предпринято.

Обнаруженные параметры в реестре:  1
HKLM\SYSTEM\CurrentControlSet\SERVICES\MICROSOFT MR\PARAMETERS|ServiceDll (Trojan.Agent) -> Параметры: C:\WINDOWS\system32\360SP2.dll -> Действие не было предпринято.

Объекты реестра обнаружены:  1
HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip|DLLPath (Hijack.Iprouter) -> Плохо: (C:\windows\xinstall1998600.dll) Хорошо: (%SystemRoot%\System32\iprtrmgr.dll) -> Действие не было предпринято.

Обнаруженные файлы:  15
C:\Documents and Settings\Default User\Local Settings\Temporary Internet Files\Content.IE5\GUC9TP09\sql[1].exe (Trojan.Backdoor) -> Действие не было предпринято.
C:\WINDOWS\system32\sql.exe (Trojan.Backdoor) -> Действие не было предпринято.
C:\WINDOWS\system32\scvhost.exe (Backdoor.Bot) -> Действие не было предпринято.
C:\WINDOWS\SysWOW64\scvhost.exe (Backdoor.Bot) -> Действие не было предпринято.
C:\WINDOWS\system32\kscan.exe (Backdoor.Zegost) -> Действие не было предпринято.
C:\WINDOWS\SysWOW64\kscan.exe (Backdoor.Zegost) -> Действие не было предпринято.
C:\WINDOWS\system32\Win.dll (Backdoor.Hupigon) -> Действие не было предпринято.
C:\WINDOWS\system32\explorer.exe.tmp (Heuristics.Reserved.Word.Exploit) -> Действие не было предпринято.
C:\WINDOWS\SysWOW64\explorer.exe.tmp (Heuristics.Reserved.Word.Exploit) -> Действие не было предпринято.
C:\WINDOWS\Help\RUNDLL32.exe (Heuristics.Reserved.Word.Exploit) -> Действие не было предпринято.

- - - Добавлено - - -

Код:

C:\Program Files\Common Files\Sogou.exe
C:\WINDOWS\system32\hexQQ.exe
C:\WINDOWS\system32\xpQQ.exe
C:\WINDOWS\system32\hexserver.exe
C:\WINDOWS\system32\hex1.exe
C:\WINDOWS\SYSWOW64\dk.exe
C:\WINDOWS\system32\xpwinlogon.exe
C:\WINDOWS\SYSWOW64\dk.exe-up.txt
C:\WINDOWS\SYSWOW64\hexdk.exe-up.txt
C:\WINDOWS\system32\hexdk.exe
C:\WINDOWS\SYSWOW64\sql.exe
C:\WINDOWS\system32\xpc32.exe
C:\WINDOWS\SYSWOW64\kscan.exe
C:\WINDOWS\system32\hex3306.exe
C:\WINDOWS\system32\hex21.exe
C:\WINDOWS\system32\hex1433.exe
C:\WINDOWS\system32\hexebey.exe
C:\WINDOWS\system32\hexMyll.exe
C:\WINDOWS\system32\xpMyll.exe
C:\WINDOWS\system32\hex120.exe
C:\WINDOWS\system32\xpsmcc.exe
C:\WINDOWS\system32\hexsql.exe
C:\WINDOWS\system32\hex9.exe
C:\WINDOWS\system32\xp654.exe
C:\WINDOWS\system32\xpebey.exe
C:\WINDOWS\system32\xpfaith.exe
C:\WINDOWS\system32\hexmvsvc32.exe
C:\WINDOWS\system32\hexsmss.exe
C:\WINDOWS\system32\xpss.exe
C:\WINDOWS\system32\xps.exe
C:\WINDOWS\system32\xplong.exe
C:\WINDOWS\system32\xp008.exe
C:\WINDOWS\system32\hex456.exe
C:\WINDOWS\system32\hexnstl.exe
C:\WINDOWS\libgfle220.dll
C:\WINDOWS\libgfl220.dll
C:\WINDOWS\ijl15.dll

Запакуйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

Содержимое этих папок сообщите

Код:

C:\WINDOWS\kk
C:\WINDOWS\bb
C:\WINDOWS\SYSWOW64\022117
C:\WINDOWS\XXXXXX8678ED98
C:\WINDOWS\SYSWOW64\232825
C:\WINDOWS\XXXXXXF4F72696
C:\WINDOWS\C8B0A43A

Обновления для SQL Server и для самой системы все установлены?

**bear73** · 11.10.2012, 16:23

Коды выполнил логи прилагаю, карантин загружен, в указанных папках пусто, удалил их с диска, обновления ОС и SQL все стоят. Жду ответа

**thyrex** · 12.10.2012, 00:35

Я разве просил карантин МВАМ? Я просил файлы заархивировать и прислать.

**bear73** · 12.10.2012, 09:29

Сообщение от thyrex

Я разве просил карантин МВАМ? Я просил файлы заархивировать и прислать.

Прошу прощения друг друга не поняли: тогда какие файлы нужны?

**thyrex** · 12.10.2012, 13:54

C:\WINDOWS\system32\hexQQ.exe
C:\WINDOWS\system32\xpQQ.exe
C:\WINDOWS\system32\hexserver.exe
C:\WINDOWS\system32\hex1.exe
C:\WINDOWS\SYSWOW64\dk.exe
C:\WINDOWS\system32\xpwinlogon.exe
C:\WINDOWS\SYSWOW64\dk.exe-up.txt
C:\WINDOWS\SYSWOW64\hexdk.exe-up.txt
C:\WINDOWS\system32\hexdk.exe
C:\WINDOWS\SYSWOW64\sql.exe
C:\WINDOWS\system32\xpc32.exe
C:\WINDOWS\SYSWOW64\kscan.exe
C:\WINDOWS\system32\hex3306.exe
C:\WINDOWS\system32\hex21.exe
C:\WINDOWS\system32\hex1433.exe
C:\WINDOWS\system32\hexebey.exe
C:\WINDOWS\system32\hexMyll.exe
C:\WINDOWS\system32\xpMyll.exe
C:\WINDOWS\system32\hex120.exe
C:\WINDOWS\system32\xpsmcc.exe
C:\WINDOWS\system32\hexsql.exe
C:\WINDOWS\system32\hex9.exe
C:\WINDOWS\system32\xp654.exe
C:\WINDOWS\system32\xpebey.exe
C:\WINDOWS\system32\xpfaith.exe
C:\WINDOWS\system32\hexmvsvc32.exe
C:\WINDOWS\system32\hexsmss.exe
C:\WINDOWS\system32\xpss.exe
C:\WINDOWS\system32\xps.exe
C:\WINDOWS\system32\xplong.exe
C:\WINDOWS\system32\xp008.exe
C:\WINDOWS\system32\hex456.exe
C:\WINDOWS\system32\hexnstl.exe
C:\WINDOWS\libgfle220.dll
C:\WINDOWS\libgfl220.dll
C:\WINDOWS\ijl15.dll

**bear73** · 12.10.2012, 14:44

Выслал архив с файлами найдеными по списку на 14.40 от 12.10.2012
Остальных файлов из списка на сервере на данное время уже нет.

**thyrex** · 12.10.2012, 15:23

Тогда еще раз лог RSIT сделайте

**bear73** · 12.10.2012, 15:40

прикрепляю

**thyrex** · 12.10.2012, 15:48

Пофиксите в Hijack

Код:

O4 - HKLM\..\Run: [Ball] C:\progra~1\Common Files\Sogou.exe

Зачем Вам в автозапуске O4 -

Код:

HKLM\..\Run: [] C:\WINDOWS\SysWow64\explorer.exe

???

Эти задания в Планировщике Вам вряд ли известны

C:\WINDOWS\tasks\At14.job
C:\WINDOWS\tasks\At73.job
C:\WINDOWS\tasks\At74.job
C:\WINDOWS\tasks\At75.job
C:\WINDOWS\tasks\At76.job
C:\WINDOWS\tasks\At77.job
C:\WINDOWS\tasks\At78.job
C:\WINDOWS\tasks\At79.job
C:\WINDOWS\tasks\At80.job
C:\WINDOWS\tasks\At81.job
C:\WINDOWS\tasks\At82.job
C:\WINDOWS\tasks\At83.job
C:\WINDOWS\tasks\At84.job
C:\WINDOWS\tasks\At85.job
C:\WINDOWS\tasks\At86.job
C:\WINDOWS\tasks\At87.job
C:\WINDOWS\tasks\At88.job
C:\WINDOWS\tasks\At89.job
C:\WINDOWS\tasks\At90.job
C:\WINDOWS\tasks\At91.job
C:\WINDOWS\tasks\At92.job
C:\WINDOWS\tasks\At93.job
C:\WINDOWS\tasks\At94.job
C:\WINDOWS\tasks\At95.job
C:\WINDOWS\tasks\At96.job

+ файлы, о которых Вы говорили, что их нет в массовом количестве присутствуют в логе

**bear73** · 12.10.2012, 16:31

Я файлы искал поиском, что бы скоприровать в архив, Винда их не находит

- - - Добавлено - - -

Пофиксил, задания в планировщике удалил. Но я это делал уже несколько раз!!!!!!!!!!!!!!!! Через какое-то время они снова появляются ОТКУДА? Где файл который их туда заносит?

То есть все что делаеться, это удаление последствий, а как саму причину найти?

Вот сейчас проверил поиском нашел еще 2 файла из списка, то есть я как понимаю либо их удаляет Касперский время от времени либо, мне не понятно их поведение

- - - Добавлено - - -

Только что загрузил архив по новой, появились все файлы кроме первых 2 из списка

**thyrex** · 12.10.2012, 16:31

Проверьтесь так http://support.kaspersky.ru/viruses/rescuedisk

**bear73** · 12.10.2012, 16:35

Сообщение от thyrex

Проверьтесь так http://support.kaspersky.ru/viruses/rescuedisk

Проверялся уже не помогло

**thyrex** · 12.10.2012, 18:26

Похоже искать заразу надо на каком-то компьютере в сети. Именно с него заражается сервер

**bear73** · 15.10.2012, 09:56

На выходные сервер был отключен от сети, вырублена сетевая карта, в понедельник с утра на сервере ни какой активности ни одного вируса, как только была включена сетевая карта и появился интернет, сразу же антивирус обнаружил 5 объектов hex**.exe и xp**.exe, при этом ни кто из пользователей сети к серверу подключен не был. Такое ощущение что файл запускающий троянца реагирует на включение сети. Но где сам файл который его запускает, как его найти?

**regist** · 15.10.2012, 20:26

Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

begin
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
 If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
 Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.

- Проведите процедуру, которая описана в первом сообщении тут. Результат загрузки напишите в сообщении здесь.

Сделайте полный образ автозапуска uVS

Заражен сервер Windows 2003 [Trojan-GameThief.Win32.Magania.hrsp ] (заявка № 125398)

Опции темы

Заражен сервер Windows 2003 [Trojan-GameThief.Win32.Magania.hrsp ]

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Похожие темы

Сервер Windows 2003. Подозрение на вирусы.

Заражен Windows 2003

Microsoft Windows Server 2003 занесли вирус через переносной носитель информации, помогите убить не обрушив сервер пожалуйста!

Win32.Sector.17/ Вирусован сервер под Windows 2003

Заражен сервер п/у Windows SBS 2003

Метки для этой темы

Ваши права в разделе