Показано с 1 по 6 из 6.

эксперименты со злом (заявка № 11053)

  1. #1
    Junior Member Репутация
    Регистрация
    14.07.2007
    Сообщений
    3
    Вес репутации
    35

    Question эксперименты со злом

    Здравствуйте,

    Мой сайт в интернете был взломан. В индекс страницу был внедрен зашифрованный javascript, который, используя дыру в эксплорере подкачивал на компьютер жертвы кучу троянов. Моя попытка, используя сторонние программы для расшифровки скрипта и определение ip адреса с которого подгружалось зло, закончилась инфицированием моего компьютера.
    Большинство троянов, как мне кажется, было обнаружено антивирусными программами, но что-то все-таки проникло в систему. Сумантек антивирус при полной проверки компьютера молчит. Однако часто при загрузке компьютера сообщает о Troyan.Horse 2.tmp (и подобных файлах) появляющихся в папке Local Settings/Temp
    Диагностика утилитой от DrWeb -CuteIT обнаружила грабер троян winload.dll в системной папке windows и удалила его.
    Однако по прежнему куча процессов стучаться в фаервол и требует интернета.

    Буду признателен, если поможете разобраться кто еще остался в системе.
    Вложения Вложения

  2. Реклама
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    967
    AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\Program Files\Altova\XMLSpy2006\spy.htm','');
     QuarantineFile('C:\Program Files\CERN\Privbar\Privbar.dll','');
     QuarantineFile('C:\WINNT\system32\winload.dll','');
     QuarantineFile('C:\WINNT\system32\ntos.exe','');
     QuarantineFile('C:\DOCUME~1\pavel\LOCALS~1\Temp\winlogon.exe','');
     QuarantineFile('C:\WINNT\system32\PЛјd','');
     QuarantineFile('C:\WINNT\system32\wups2.dll','');
     QuarantineFile('C:\WINNT\system32\wuaueng.dll','');
     QuarantineFile('C:\WINNT\system32\mscoree.dll','');
     QuarantineFile('c:\program files\cern\nicealerter\nntp.dll','');
     QuarantineFile('C:\Program Files\CERN\NiceAlerter\NiceAlerter.exe','');
     QuarantineFile('C:\Program Files\CERN\CMF\Temp\PluginsCache\CERN Alerter\Interop.Microsoft.Feeds.Interop.dll','');
     QuarantineFile('C:\Program Files\CERN\CMF\Temp\PluginsCache\CERN Alerter\CERN.Win.Alerter.dll','');
    BC_ImportQuarantineList;
    BC_LogFile(GetAVZDirectory + 'boot_copy.log');
    BC_Activate;
    RebootWindows(true);
    end.
    boot_copy.log- из папки AVZ прикрепить к вашему следующему ответу

    Прислать карантин согласно приложения 3 правил .
    Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=11053

  4. #3
    Junior Member Репутация
    Регистрация
    14.07.2007
    Сообщений
    3
    Вес репутации
    35
    файл virus.zip отправил по ссылке.
    не нашел следующие файлы не в корантине не на диске:
    QuarantineFile('C:\WINNT\system32\winload.dll','') ; (Этот возможно был удален при диагностике DrWeb -CuteIT)
    QuarantineFile('C:\WINNT\system32\ntos.exe','');
    QuarantineFile('C:\DOCUME~1\pavel\LOCALS~1\Temp\wi nlogon.exe',''); (есть только в папке c:\WINNT\System32)
    QuarantineFile('C:\WINNT\system32\PЛјd','');

    boot_copy.log приатачил.
    Вложения Вложения

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    967
    Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )
    Код:
    O2 - BHO: COM+ Service - {2BDEC973-B5AC-4e5b-8AB3-5A0500880DA2} - C:\WINNT\system32\winload.dll (file missing)
    O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
    O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
    O4 - HKUS\.DEFAULT\..\Run: [userinit] C:\WINNT\system32\ntos.exe (User 'Default user')
    O4 - HKUS\S-1-5-18\..\Run: [userinit] C:\WINNT\system32\ntos.exe (User 'SYSTEM')
    O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
    O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
    systemroot%\Installer\TSClientMsiTrans\tscuinst.vb s- надеюсь вы знаете что в этом файлике, на всякий случай пришлите в архиве zip с паролем: virus
    по ссылке в шапке.

    P.S.По подробнее пожалуйста, что говорит файрвол , про какие файлы ?

  6. #5
    Junior Member Репутация
    Регистрация
    14.07.2007
    Сообщений
    3
    Вес репутации
    35
    К сожалению не могу выслать этот файл, у меня его не оказалось на компьютере. Искал вдоль и поперек...
    Описание которое нашел в инете:

    overclock.net/networking-security/154501-tscuinst-vbs.html

    freshmeat.net/projects/tsclient/

    С файрволом вроде тоже все нормально. Видно после запуска AVZ или даже раньше по какой-то причине, список доверенных программ в файрволе был испорчен и он фактически был недоволен любым запросом в интернет. После обновления списка, он успокоился. И пока молчит...
    Если что-то подозрительное опять будет замечено, буду дополнять этот пост.
    Спасибо огромное за вашу помощь!

  7. #6
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,513
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 9
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) alexAa, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. IBM начала эксперименты с микросхемами на молекулах ДНК
      От Шапельский Александр в разделе Высокие технологии
      Ответов: 0
      Последнее сообщение: 17.08.2009, 20:54

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01489 seconds with 21 queries