Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 22.

Большой исходящий траффик (заявка № 11836)

  1. #1
    Junior Member Репутация
    Регистрация
    20.08.2007
    Сообщений
    11
    Вес репутации
    34

    Thumbs up Большой исходящий траффик

    При установлении соединения с инетом (адсл) комп начинает рассылать почту, это видно по значку Spider Mail - бегут проверяемые письма.
    Кому, что шлёт - непонятно.
    Dr Web определил заразу как Email-Worm.Win32.Zhelatin.gm, что-то вылечил, что-то удалил, но проблема осталась.

    AVZ в нормальном режиме при выполнении скрипта лечения выбрасывет синий экран, посему сделал лог в сэйф моде.

    Проверял Лавасофтовским Ад Аваром - ноль реакции.
    Помогите.
    Вложения Вложения

  2. Реклама
     

  3. #2
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    выполните скрипт
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     QuarantineFile('\SystemRoot\System32\Drivers\pe717emu.SYS','');
     QuarantineFile('Dert69.sys','');
     QuarantineFile('\SystemRoot\System32\DRIVERS\fsksnt.sys','');
     BC_ImportQuarantineList;
     BC_Activate;
     RebootWindows(true);
    end.
    пришлите карантин согласно приложения 3 правил ....

  4. #3
    Junior Member Репутация
    Регистрация
    20.08.2007
    Сообщений
    11
    Вес репутации
    34
    Цитата Сообщение от V_Bond Посмотреть сообщение
    выполните скрипт...

    ...пришлите карантин согласно приложения 3 правил ....
    Скрипт в нормальном режиме повесил комп, выполнил в сэйфмоде.
    Карантин выслал, как описано в алгоритме высылки.
    Сорри, но как узнать, пришёл ли к Вам файл с карантином?

    ЗЫ. Да, кстати...PE717emu.sys это файлик к Project Expert 7.17

  5. #4
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    выполните скрипт ...
    Код:
    begin
     ClearQuarantine;
     SetAVZGuardStatus(true);
     QuarantineFile('Dert69.sys','');
     BC_ImportQuarantineList;
     BC_Activate;
     RebootWindows(true);
    end.
    пришлите карантин согласно приложения 3 правил ....

  6. #5
    Junior Member Репутация
    Регистрация
    20.08.2007
    Сообщений
    11
    Вес репутации
    34
    Пока жду ответа пытаюсь найти этот dert69.sys...
    по всем правилам, через AVZ-Сервис-поиск файлов на диске...без результата. В реестре тоже не видно...замаскировался сильно.
    Виден он только через AVZ-Сервис-модули пространства ядра

    Побаловался с последним скриптом, после отсылки Вам карантина выполнил его без строчки RebootWindows(true);

    Так вот - при включённом AVZGuard'е адсл соединение не устанавливается. Пишет, что модем занят.

    Так, соврал...в реестре есть раздел с dert69, я думал что поиск повис, а он искал оказывается...

    вот экспорт ветки...
    Windows Registry Editor Version 5.00

    [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet005\Enum\Root\ LEGACY_DERT69]
    "NextInstance"=dword:00000001

    [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet005\Enum\Root\ LEGACY_DERT69\0000]
    "Service"="Dert69"
    "Legacy"=dword:00000001
    "ConfigFlags"=dword:00000000
    "Class"="LegacyDriver"
    "ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
    "DeviceDesc"="Dert69"
    "Capabilities"=dword:00000000

    [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet005\Enum\Root\ LEGACY_DERT69\0000\Control]
    "ActiveService"="Dert69"

    Добавлено через 1 час 16 минут

    Посмотрел архив карантина, который вам выслал - а там размер этого dert69 указан как 0. Изучать, имхо, нечего.

    Это я затупил и сделать карантин ещё раз или проблема в другом?
    Последний раз редактировалось Cash123; 20.08.2007 в 23:56. Причина: Добавлено

  7. #6
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    да в карантине его нет ... RKU просканируйте ... программа бывает виснет ... но иногда бывает весьма эффективна ...
    Последний раз редактировалось V_Bond; 21.08.2007 в 00:50. Причина: поставил сcылку с сайта программы

  8. #7
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Numb
    Регистрация
    04.10.2005
    Сообщений
    2,118
    Вес репутации
    843
    В дополнение к тому, что предложил V_Bond, пожалуйста,сделайте логи, о которых написано здесь: http://virusinfo.info/showthread.php?t=10387
    Последний раз редактировалось Numb; 21.08.2007 в 00:16. Причина: Убран скрипт карантина

  9. #8
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    12.02.2007
    Адрес
    Минск, Беларусь
    Сообщений
    569
    Вес репутации
    559
    Выполнить скрипт:
    Код:
    begin
     SearchRootkit(false, true);
     RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Dert69', 'Start');
     RebootWindows(true); 
    end.
    После выполнения скрипта и перезагрузки найти в этом каталоге System32\DRIVERS\ файл Dert69.sys заархивировать и прислать. После архивации его удалите. Повторите логи.
    anti-malware.ru

  10. #9
    Junior Member Репутация
    Регистрация
    20.08.2007
    Сообщений
    11
    Вес репутации
    34
    Цитата Сообщение от V_Bond Посмотреть сообщение
    да в карантине его нет ... RKU просканируйте ... программа бывает виснет ... но иногда бывает весьма эффективна ...
    У меня не повисла, но сканила очень долго. Результат во вложении. Странно, что подозрительные файлы она нашла в System Volume Information - отключил же восстановление системы как описано в правилах...

    Процесс Dert69 видит и AVZ и RKU, но не удаляет ни тот ни другой. Оба могут задампить.

    Раздел из реестра с Dert69 не удаляется никак.
    Вложения Вложения
    Последний раз редактировалось Cash123; 21.08.2007 в 03:45. Причина: ещё инфа

  11. #10
    Junior Member Репутация
    Регистрация
    20.08.2007
    Сообщений
    11
    Вес репутации
    34
    Цитата Сообщение от Numb Посмотреть сообщение
    В дополнение к тому, что предложил V_Bond, пожалуйста,сделайте логи, о которых написано здесь: http://virusinfo.info/showthread.php?t=10387
    Скрипт # 1 из стандартного набора - "поиск и нейтрализация RootKit UserMode и KernelMode" в нормальном режиме загрузки отправляет комп на перезагруз. Выполнил в сэйфмоде, лог avz_logScript#1 в аттаче.
    Явно сбоит на этой заразе, dert69.


    Сделал также и пункт 2 Вашего алгоритма - 2. Файл/Исследование системы - переключить "Только активные службы и драйверы" на "Все службы и драйверы" -Пуск/Сохранить протокол.
    Вложения Вложения

  12. #11
    Junior Member Репутация
    Регистрация
    20.08.2007
    Сообщений
    11
    Вес репутации
    34
    Цитата Сообщение от vaber Посмотреть сообщение
    Выполнить скрипт:
    Код:
    begin
     SearchRootkit(false, true);
     RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Dert69', 'Start');
     RebootWindows(true); 
    end.
    После выполнения скрипта и перезагрузки найти в этом каталоге System32\DRIVERS\ файл Dert69.sys заархивировать и прислать. После архивации его удалите. Повторите логи.
    Скрипт выполнил, но та же история, что и со скриптом # 1 из стандартного набора (Совет от Numb). В нормале уходит на перезагрузку во время выполнения скрипта, в сэйфмоде выдаёт ошибку обмена с драйвером.

    После выполнения скрипта в сэйфмоде искал Dert69 в указанной Вами директории, не нашёл - хотя зараза явно там сидит.
    Вложения Вложения

  13. #12
    Junior Member Репутация
    Регистрация
    20.08.2007
    Сообщений
    11
    Вес репутации
    34
    2All

    Ура, товарищи . Маленькая локальная победа - под утро меня осенило, загрузился с компакта, и зараза показалась там где Вы её угадали - C:\windows\system32\drivers

    заархивил, выслал.

    Была возможность, когда был загружен с компакта, авастовским регедитом удалить раздел с Dert69 из реестра винды которая на C:\windows, но не рискнул.

    Сейчас загрузился с винта, файл Dert69.sys опять исчез.

    Dr.Web пишет что это Trojan.Spambot.2400

    И как его грамотно кильнуть?
    Последний раз редактировалось Cash123; 21.08.2007 в 04:35. Причина: Dr Web

  14. #13
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    давайте из безопасного режима

    AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".
    Код:
    begin
    SetAVZGuardStatus(True);
     DeleteFile('\SystemRoot\System32\DRIVERS\Dert69.sys');
     BC_DeleteFile('\SystemRoot\System32\DRIVERS\Dert69.sys');
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.
    и попробуйте сделать логи в обычном режиме
    PS. а почему вы не удалили драйвер когда загрузились с диска?

  15. #14
    Junior Member Репутация
    Регистрация
    20.08.2007
    Сообщений
    11
    Вес репутации
    34
    Цитата Сообщение от Muzzle Посмотреть сообщение
    PS. а почему вы не удалили драйвер когда загрузились с диска?
    Испугался, что винда не загрузится с C:\windows
    Опыта у меня мало, поэтому решил не рисковать. Вдруг этот спамбот изменил какой-нить оригинальный файлик винды...
    Возможно что перестраховался - но это я всегда сделать успею.


    Ваш скрипт выполнился успешно, причём даже не в сэйфмоде. Комп ушёл на перезагруз.

    А потом опять фигня...
    Начал делать логи, скрипт # 3 из AVZ-файл-стандартные скрипты в нормальном режиме опять вешает комп...а в сэйфмоде пишет про ошибку обмена данных с драйвером...лог работы в сэйфмоде сделал...

    лог скрипта # 1 и хайджека в аттаче.
    Зараза, видимо, осталась.

    Может, не мучиться, загрузиться с компакта и удалить с него?
    Вложения Вложения
    Последний раз редактировалось Cash123; 21.08.2007 в 06:04.

  16. #15
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    зловред остался, загрузитесь с диска и попробуйте удалить руками , затем удалите и раздел реестра....
    Последний раз редактировалось V_Bond; 21.08.2007 в 09:08.

  17. #16
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    12.02.2007
    Адрес
    Минск, Беларусь
    Сообщений
    569
    Вес репутации
    559
    Тут есть несколько вариантов:
    1) загрузиться с Live-CD и убить указанный мною файл в указанном каталоге.
    2) Скачать по этой ссылке антируткит http://www.trendmicro.com/ftp/produc...rv1.6-1055.zip
    распаковать и запустить сканирование. В результате он обнаружит замаскированные ключи автозагрузки этого драйвера и их можно будет удалить. После ребута к и в случае моего скрипта - заархивировать и удалить.
    Второй вариант куда проще.
    anti-malware.ru

  18. #17
    Junior Member Репутация
    Регистрация
    20.08.2007
    Сообщений
    11
    Вес репутации
    34
    2Vaber
    К сожалению я под утро пошёл по наименьшему сопротивлению, по первому пути. Всю ночь не спал, решил уже сделать, потому как жена на утро комп заказывала починенный. А Ваша ссылка трохи опоздала...сорри, хотя интересно конечно, справилась бы эта прога или нет.

    В реестре упоминаний этой заразы было штук 8, всё вычистил, а AVZ отложенно кильнул dert69. AVZ с винта загрузился, под винду с компакта.

    Сейчас траф не бежит, скрипты выполняются без зависов.
    Выслал на всякий пожарный свежие логи, посмотрите, плиз, всё ли убралось.

    И такой вопрос - почему AVZ не смог этот процесс "зарезать"?
    Это мои кривые ручки или слишком хитрый руткит?
    Вложения Вложения

  19. #18
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    рукит хитрый .... но прибит уже.... в логах чисто...

  20. #19
    Junior Member Репутация
    Регистрация
    20.08.2007
    Сообщений
    11
    Вес репутации
    34
    а набросайте плиз ссылок - что почитать, чтоб такое не ловить...
    а то ж страшно жить - и антивир есть, и для адварок есть что-то, но не помогает, как видно...
    мы вроде по порнушным сайтам не лазим, комп только для почты-аськи и скайпа, броузер опера, не ие....

    или нет шансов?

  21. #20
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    Рекомендую работать под пользователем с ограниченными правами.
    По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
    Советуем прочитать электронную книгу)"Безопасный Интернет. Универсальная защита для Windows ME - Vista".

  • Уважаемый(ая) Cash123, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Страница 1 из 2 12 Последняя

    Похожие темы

    1. Идет большой исходящий траффик
      От alexjv в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 01.09.2009, 16:05
    2. Большой исходящий траффик
      От Boriasik в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 12.03.2009, 15:15
    3. Большой исходящий траффик
      От NecroMaster в разделе Помогите!
      Ответов: 27
      Последнее сообщение: 22.02.2009, 01:46
    4. Временами большой исходящий траффик.
      От wanderer в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 31.05.2007, 11:05
    5. Большой исходящий траффик
      От Mutant в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 14.05.2007, 15:41

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01552 seconds with 23 queries