на компах под Win2k появился доступ к папкам WINNT и SYSTEM32 для "ВСЕ"

**temichl** · 18.06.2007, 11:52

У юзверей на 2000-ках на winnt права только группе everyone и полный доступ. такое же на system32. На компах под WINXP и 2003 все в норме.

домен на 2k, антивирь TrendMicro (сейчас молчит, но периодически сообщает об удалении новых у юзверей)

включил аудит на одной машине.

прогнал secedit...установились права "setup security".

Через полчаса смотрю, уже EVERYONE !!!!! на папки WINNT и SYSTEM32.

мда... логи суперские...
в 4 ночи. в 1 ночи..
----------------------
Object Open:
Object Server: Security Account Manager
Object Type: SAM_SERVER
Object Name: SAM
New Handle ID: 747768
Operation ID: {0,2630896}
Process ID: 320
Primary User Name: compName$
Primary Domain: domainName
Primary Logon ID: (0x0,0x3E7)
Client User Name: compName$
Client Domain: domainName
Client Logon ID: (0x0,0x3E7)
Accesses DELETE
READ_CONTROL
WRITE_DAC
WRITE_OWNER
ConnectToServer
ShutdownServer
InitializeServer
CreateDomain
EnumerateDomains
LookupDomain

Privileges -

-------------------------
Object Open:
Object Server: Security Account Manager
Object Type: SAM_DOMAIN
Object Name: compName
New Handle ID: 933304
Operation ID: {0,2630904}
Process ID: 320
Primary User Name: compName$
Primary Domain: domainName
Primary Logon ID: (0x0,0x3E7)
Client User Name: compName$
Client Domain: domainName
Client Logon ID: (0x0,0x3E7)
Accesses DELETE
READ_CONTROL
WRITE_DAC
WRITE_OWNER
ReadPasswordParameters
WritePasswordParameters
ReadOtherParameters
WriteOtherParameters
CreateUser
CreateLocalGroup
GetLocalGroupMembership
ListAccounts
LookupIDs
AdministerServer

Privileges -

В 16-40 через Secedit вернул права на папки к стандартным !!!
в 17-23 пользователь SYSTEM сбросил права на Everyone !!!!

начало в принципе тут
http://forum.sysadmins.ru/25/166264/...er=asc&start=0

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**PavelA** · 18.06.2007, 12:43

Я бы проверил вот этот файлик:
в AVZ выполнить скрипт. После перезагрузки прислать карантин. Ссылка для загрузки вверху.

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('Ati2evxx.dll','');
RebootWindows(true);
end.

**temichl** · 18.06.2007, 13:24

Пока еще не сделал, 6 сек.. НО

у нас похоже троянчик сидит...
на серваках по netstat ТАКОЕ ВЫДАЕТ !!!!!
долбится на каждый сервак и комп с перебором портов !!!!
а видать как находит и делает свое гнусное дело.
вопрос: как от него избавиться? на всех сразу не отключая серваки.

**temichl** · 18.06.2007, 13:30

скрипт запустил,
карантин ПУСТ !!! :-((
Файла такого в системе нет :-(((

**PavelA** · 18.06.2007, 13:37

Это хорошо.

Значит, охота не удалась.

Надо думать. Не нравяться мне эти скрытые процессы. Попробуй снять список процессов всех по совету Bratez о доп. логе (см. раздел "Чаво")

Кстати, вот еще что. Не видно в логах Guard от OfficeScan. экзешничек такой, с номерами вместо имени.

**temichl** · 18.06.2007, 13:48

Сообщение от PavelA

Это хорошо.

Значит, охота не удалась.

Надо думать. Не нравяться мне эти скрытые процессы. Попробуй снять список процессов всех по совету Bratez о доп. логе (см. раздел "Чаво")

Кстати, вот еще что. Не видно в логах Guard от OfficeScan. экзешничек такой, с номерами вместо имени.

Как было написано, отключил антивирусник. да. постоянно создаютя файлы с хитрым именем и цифрами. лежат в TEMP и изображение собаченции имеют. это ТрендМИкровские.

**temichl** · 18.06.2007, 14:02

вот файлик.

попробую прислать набор файлов с другого сервака, может он что прояснит.

**drongo** · 18.06.2007, 14:34

каждая система- новая тема ! Перенёс: http://virusinfo.info/showthread.php?t=10468

**drongo** · 18.06.2007, 14:41

c:\winnt\temp\rh70f6.exe - или от тренд микро- или зверь под него косит, такое тоже возможно.на всякий случай запаковать ZIP с паролем virus и прислать по шапке вверху.

**temichl** · 18.06.2007, 15:36

сделано...

**PavelA** · 18.06.2007, 15:39

@Drongo Файлик в карантине, то наверное с собачкой. В смысле иконка.

**drongo** · 18.06.2007, 15:58

Сообщение от PavelA

@Drongo Файлик в карантине, то наверное с собачкой. В смысле иконка.

с первого взгляда чистый, хотя собака безродная, то есть нет подписи никакой

http://www.virustotal.com/vt/en/resu...9181568fdc7ebf

**temichl** · 19.06.2007, 13:57

Сообщение от drongo

с первого взгляда чистый, хотя собака безродная, то есть нет подписи никакой

http://www.virustotal.com/vt/en/resu...9181568fdc7ebf

Извини, но страница не открывается...

**pig** · 19.06.2007, 14:19

У неё время жизни несколько часов.

**temichl** · 19.06.2007, 14:49

Жаль, хотелось бы взглянуть... или скажите, что искать, сам поищу.

**temichl** · 20.06.2007, 09:06

Итак.. продолжаем битву титанов мысли.
На одном из серваков был отключен ТрендМикро (процесс с собачкой пропал сам), восстановлены стандартные права.
на удивление в течении ВСЕГО дня права не были сброшены. однако утром все же EVERYONE появился ...
чтобы такого сделать?

**temichl** · 21.06.2007, 10:18

Победил, но странным способом...
Выставил права на корень диска С, как в 2003 серваке... (в 2000-ке по умолчанию everyone )
И все. сутки в норме.
НО причина все еще не найдена. :-(