Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 28.

Помогите грохнуть Rootkit.Win32.Agent.br (заявка № 10123)

  1. #1
    Junior Member Репутация
    Регистрация
    01.06.2007
    Сообщений
    13
    Вес репутации
    35

    Exclamation Помогите грохнуть Rootkit.Win32.Agent.br

    При проверке AVZ в safe mode получаю:
    C:\WINDOWS\system32\drivers\_sv_.sy >>>>> Rootkit.Win32.Agent.br успешно удален.

    Однако при повторном лечении все повторяется.

    Symantec однозначно определяет:
    Event: Threat Found!
    Threat: Hacktool.Rootkit
    File: C:\WINDOWS\system32\drivers\_sv_.sy
    Location: C:\WINDOWS\system32\drivers

    Однако и он ничего сделать не может. Ребут ничего не дает. Восстановление дисков отключено.

    Замучился, помогите пожалуйста!
    Вложения Вложения

  2. Реклама
     

  3. #2
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1691
    Выполните скрипт в AVZ
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\sysconf.exe','');
     QuarantineFile('C:\WINDOWS\system32\_sv_.exe','');
     QuarantineFile('c:\windows\vm_sti.exe','');
     QuarantineFile('c:\windows\vm303_sti.exe','');
     DeleteFile('C:\WINDOWS\system32\_sv_.exe');
     DeleteFile('C:\WINDOWS\system32\sysconf.exe');
     BC_ImportALL;
     ExecuteSysClean;
     BC_Activate;
     RebootWindows(true);
    end.
    "Пофиксите" в HijackThis
    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sysconf.exe
    O23 - Service: Remote Administration Services (_sv_) - Unknown owner - C:\WINDOWS\system32\_sv_.exe
    Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи.

  4. #3
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    @ Maxim
    Для удаления сервиса вставь команду:
    BC_DelSvc('_sv_');

    Фикс в HJ не срабатывает, если сервис запущен.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  5. #4
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1691
    Для удаления сервиса вставь команду:
    BC_DelSvc('_sv_');
    В логах AVZ он значится только в автозапуске.

  6. #5
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    @Maxim См. лог Хиджака. Там этот файл в сервисах.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  7. #6
    Junior Member Репутация
    Регистрация
    01.06.2007
    Сообщений
    13
    Вес репутации
    35
    AVZ Ругается на команду BC_DelSvc('_sv_');


    HJ:
    F2 - не видит такого
    O23 - Service: Remote Administration Services (_sv_) - Unknown owner - C:\WINDOWS\system32\_sv_.exe (file missing)

  8. #7
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    @Nicadim Извини, что запутали. Мое письмо для Maxim.

    Скрипт Maxima выполнили? Карантин закачали? Если да, то новые логи AVZ в студию.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  9. #8
    Junior Member Репутация
    Регистрация
    01.06.2007
    Сообщений
    13
    Вес репутации
    35
    Для получения новых логов надо заново выполнить стандартные скрипты "...Для раздела Помогите" или достаточно скрипта Maxima ?
    Извините за непродвинутость

  10. #9
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    Сначала выполнить скрипт Максима, затем загрузить получившийся карантин, а потом выполнить станд. скрипты из "Правил"
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  11. #10
    Junior Member Репутация
    Регистрация
    01.06.2007
    Сообщений
    13
    Вес репутации
    35
    Цитата Сообщение от PavelA Посмотреть сообщение
    Сначала выполнить скрипт Максима, затем загрузить получившийся карантин, а потом выполнить станд. скрипты из "Правил"
    Готово
    Вложения Вложения

  12. #11
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    AVZ Ругается на команду BC_DelSvc('_sv_');
    Потому что правильно BC_DeleteSvc

    Файл _sv_.exe удален, а ключ службы в реестре остался.
    Выполните скрипт:
    Код:
    begin
    BC_DeleteSvc('_sv_');
    BC_Activate;
    RebootWindows(true);
    end.
    Что с _sv_.sy - все еще появляется?
    I am not young enough to know everything...

  13. #12
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    sysconf.exe - убит и не доехал до карантина.
    _sv_.exe - чистый, причем существующий. Сервис удалять не будем.
    Зря его убили

    Надо поискать _sv_.sy через AVZ. В логах его видно не было.
    Последний раз редактировалось PavelA; 01.06.2007 в 18:07.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  14. #13
    Junior Member Репутация
    Регистрация
    01.06.2007
    Сообщений
    13
    Вес репутации
    35
    Цитата Сообщение от PavelA Посмотреть сообщение
    sysconf.exe - убит и не доехал до карантина.
    _sv_.exe - чистый, причем существующий. Сервис удалять не будем.

    Надо поискать _sv_.sy через AVZ. В логах его видно не было.

    Единственное слегка похожее на искомое C:\WINDOWS\Prefetch\_SV_.EXE-11CAAFD6.pf.
    Не знаю что это. Выгружаю на всякий случай.

  15. #14
    Junior Member Репутация
    Регистрация
    01.06.2007
    Сообщений
    13
    Вес репутации
    35
    Цитата Сообщение от Bratez Посмотреть сообщение
    Потому что правильно BC_DeleteSvc

    Файл _sv_.exe удален, а ключ службы в реестре остался.
    Выполните скрипт:
    Код:
    begin
    BC_DeleteSvc('_sv_');
    BC_Activate;
    RebootWindows(true);
    end.
    Что с _sv_.sy - все еще появляется?
    ОК. Выполнил.
    _sv_.sy щас пощупаю всякими антивирусами.

  16. #15
    Junior Member Репутация
    Регистрация
    01.06.2007
    Сообщений
    13
    Вес репутации
    35
    СПАСИБИЩЕ, братцы, кажется грохнули!

  17. #16
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Цитата Сообщение от PavelA Посмотреть сообщение
    _sv_.exe - чистый, причем существующий. Сервис удалять не будем.
    Зря его убили
    Таки не зря! Теперь уже детектится как Backdoor.Win32.Agent.ago
    Интуиция, Ватсон!
    I am not young enough to know everything...

  18. #17
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1691
    Сделайте ещё раз логи для контроля.

  19. #18
    Junior Member Репутация
    Регистрация
    01.06.2007
    Сообщений
    13
    Вес репутации
    35

    Перепровериться не лишнее :)

    Цитата Сообщение от MaXim Посмотреть сообщение
    Сделайте ещё раз логи для контроля.
    Кстати, а что там за перехватчик такой может быть, который неопределен?
    Вложения Вложения

  20. #19
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Перепровериться не лишнее
    И то правда! Так и болтается в реестре ключ автозапуска
    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Policies\Explorer\Run, _sv_
    Сделайте в AVZ - Сервис - поиск данных в реестре,
    поищите по образцу _sv_ и удалите.
    I am not young enough to know everything...

  21. #20
    Junior Member Репутация
    Регистрация
    01.06.2007
    Сообщений
    13
    Вес репутации
    35
    Цитата Сообщение от Bratez Посмотреть сообщение
    ...поищите по образцу _sv_ и удалите.
    Удалить все или с параметром run?
    Вложения Вложения
    • Тип файла: zip Export.zip (368 байт, 5 просмотров)

  • Уважаемый(ая) Nicadim, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Страница 1 из 2 12 Последняя

    Похожие темы

    1. Win32/Rootkit.Agent.ODG Помогите!
      От cybersly в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 11.08.2009, 20:15
    2. Win32/Rootkit.Agent.ODG и Win32/Olmarik.JU Помогите пожалуйста!
      От Попутчик1980 в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 30.07.2009, 16:09
    3. Помогите с Win32/Rootkit.Agent.ODG
      От ArtAndr в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 20.07.2009, 11:00
    4. Win32/Rootkit.Agent.ODG Помогите!
      От E.V.G. в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 02.06.2009, 13:09
    5. Ответов: 4
      Последнее сообщение: 12.03.2009, 14:39

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00416 seconds with 22 queries