Показано с 1 по 13 из 13.

Rootkit.Win32.Agent.dp (заявка № 11949)

  1. #1
    Junior Member Репутация
    Регистрация
    27.08.2007
    Сообщений
    17
    Вес репутации
    34

    Thumbs up Rootkit.Win32.Agent.dp

    Добрый день!

    В субботу посетил сайт red.iskra-net.ru (собственный игровой ресурс, повидимому в недавнем времени был взломан), после чего был тотально заражен вирусами. Большинство вирусов было удалено с помощью AWG, SpyBot и NOD32, кроме одного...

    Не могу избавиться от
    C:\WINDOWS\system32\drivers\ip6fw.sys >>>>> Rootkit.Win32.Agent.dp

    Пытался удалить файл из под safe mode но он появляется заново.

    Кроме того, AVZ при проверке системы несколько раз пишет
    C:\WINDOWS\system32\svchost.exe:exe.exe:$DATA >>> Опасно - исполняемый файл в потоке NTFS - возможно, маскировка исполняемого файла

    Помогите пожалуйста!


    Вложения Вложения

  2. Реклама
     

  3. #2
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\svchost.exe:exe.exe','');
     QuarantineFile('C:\Documents and Settings\Pavel\Application Data\svchost.exe','');
     QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
     QuarantineFile('C:\Documents and Settings\Pavel\Главное меню\Программы\Автозагрузка\virtP.bat','');
     QuarantineFile('C:\DOCUME~1\Pavel\LOCALS~1\Temp\_uninstop.exe','');
     QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
     QuarantineFile('C:\WINDOWS\System32\drivers\runtime.sys','');
     QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
     QuarantineFile('C:\WINDOWS\system32\MailSpectre.exe','');
     DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
     BC_ImportQuarantineList;
     BC_DeleteSvc('Ip6Fw');
     BC_DeleteSvc('runtime');
     BC_DeleteSvc('runtime2');
     BC_DeleteSvc('ICF');
     BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
     BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys');
     BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
     BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
     BC_DeleteFile('C:\WINDOWS\system32\svchost.exe:exe.exe');
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил.
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    27.08.2007
    Сообщений
    17
    Вес репутации
    34
    Файл закачен

    Добавлено через 3 минуты

    Похоже ошибся, переслал не весь карантин. Перезакочать?
    Последний раз редактировалось DPS [CCCP]; 27.08.2007 в 17:36. Причина: Добавлено

  5. #4
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Кроме удаленных скриптом, определился:
    MailSpectre.exe - Trojan.Win32.Agent.bap

    Пофиксите в HijackThis:
    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\Pavel\Application Data\svchost.exe,
    O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
    O4 - HKLM\..\Run: [outpost_uninst] C:\DOCUME~1\Pavel\LOCALS~1\Temp\_uninstop.exe /u
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('c:\windows\system32\mailspectre.exe');
     BC_DeleteFile('c:\windows\system32\mailspectre.exe');
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки сделайте новые логи.

    Добавлено через 1 минуту

    В карантине не хватает:
    C:\Documents and Settings\Pavel\Application Data\svchost.exe
    C:\DOCUME~1\Pavel\LOCALS~1\Temp\_uninstop.exe
    Если есть, пришлите только их по правилам.
    Последний раз редактировалось Bratez; 27.08.2007 в 17:47. Причина: Добавлено
    I am not young enough to know everything...

  6. #5
    Junior Member Репутация
    Регистрация
    27.08.2007
    Сообщений
    17
    Вес репутации
    34
    Логи прикреплены, недостающие части карантина загружены (хотя в карантине пишеться что их размер равен нулю.
    Вложения Вложения

  7. #6
    Junior Member Репутация
    Регистрация
    27.08.2007
    Сообщений
    17
    Вес репутации
    34
    Также в Temp странные экзешники с именами 111890.exe, 166937.exe и т.п.

  8. #7
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Пофиксите в HijackThis:
    Код:
    O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
    Выполните такой скрипт:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys','');
    BC_ImportQuarantineList;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки добавьте в карантин пару-тройку этих экзешников из Temp и папку эту очистите. Также очистите временные файлы IE.
    Новый карантин пришлите по правилам.
    I am not young enough to know everything...

  9. #8
    Junior Member Репутация
    Регистрация
    27.08.2007
    Сообщений
    17
    Вес репутации
    34
    Еще в "процессах" заметил следующие вещи, которых вроде бы раньше небыло:
    wmiprvse.exe
    symlcsvc.exe

    Добавлено через 13 минут

    Новый карантин закачал
    Последний раз редактировалось DPS [CCCP]; 27.08.2007 в 18:51. Причина: Добавлено

  10. #9
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    smtpdrv.sys - свежая версия Trojan.Pandex aka Email-Worm.Win32.Agent.l.

    Выполните такой скрипт:
    Код:
    begin
     BC_DeleteSvc('smtpdrv');
     BC_DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
    BC_Activate;
    RebootWindows(true);
    end.
    Сделайте логи еще раз для контроля.
    На этом, надеюсь, лечение будет закончено.

    Поставьте себе антивирус, иначе нам придется ваш компьютер
    каждый день лечить
    Последний раз редактировалось Bratez; 28.08.2007 в 17:12. Причина: уточнение имени зверя
    I am not young enough to know everything...

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    62
    +1 вот список рекомендуемых нами антивирусов http://www.virusinfo.info/showthread.php?t=1550

  12. #11
    Junior Member Репутация
    Регистрация
    27.08.2007
    Сообщений
    17
    Вес репутации
    34
    Все сделал, вроде бы все вылечилось Компьютер стал загружаться\выключаться в разы быстрее, и работа стала быстрее и стабильнее
    Спасибо большое!!!

    Прикладываю финальные логи...
    Вложения Вложения

  13. #12
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Теперь все чисто. Я бы еще удалил ошметки от Symantec, например так:
    Код:
    begin
     DeleteFile('C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcrst.dll');
     DeleteFile('C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe');
     DeleteFile('C:\WINDOWS\system32\drivers\symlcbrd.sys');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    (выполнять из безопасного режима)
    I am not young enough to know everything...

  14. #13
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,530
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 3
    • Обработано файлов: 14
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\documents and settings\\pavel\\local settings\\temp\\111890.exe - Email-Worm.Win32.Agent.l (DrWEB: Trojan.MailSpectre)
      2. c:\\documents and settings\\pavel\\local settings\\temp\\166937.exe - Email-Worm.Win32.Agent.l (DrWEB: Trojan.MailSpectre)
      3. c:\\documents and settings\\pavel\\local settings\\temp\\185312.exe - Email-Worm.Win32.Agent.l (DrWEB: Trojan.MailSpectre)
      4. c:\\windows\\system32\\drivers\\ip6fw.sys - Rootkit.Win32.Agent.dp (DrWEB: Trojan.NtRootKit.319)
      5. c:\\windows\\system32\\drivers\\smtpdrv.sys - Email-Worm.Win32.Agent.l (DrWEB: Trojan.NtRootKit.360)
      6. c:\\windows\\system32\\mailspectre.exe - Trojan.Win32.Agent.bap (DrWEB: Trojan.MailSpectre)
      7. c:\\windows\\system32\\svchost.exe:exe.exe - Trojan-Downloader.Win32.Agent.aii (DrWEB: BackDoor.Bolg)


  • Уважаемый(ая) DPS [CCCP], наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 7
      Последнее сообщение: 22.02.2009, 07:44
    2. Ответов: 11
      Последнее сообщение: 22.02.2009, 02:51
    3. Ответов: 16
      Последнее сообщение: 22.02.2009, 02:43
    4. Rootkit.win32.Agent.jp Trojan-Downloader.Win32.Agent.acl
      От clyde в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 22.02.2009, 02:43
    5. Win32/Rootkit.Agent.DP, Win32/Rootkit.Agent.EY и Win32/WigonX
      От vook в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 22.02.2009, 01:53

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00548 seconds with 22 queries