Показано с 1 по 14 из 14.

RootKit kprof со товарищи (Lika) (заявка № 13027)

  1. #1
    Junior Member Репутация
    Регистрация
    04.09.2007
    Сообщений
    121
    Вес репутации
    34

    Thumbs up RootKit kprof со товарищи (Lika)

    И вновь - целая толпа монстров:
    Последний раз редактировалось Ивпал; 07.02.2008 в 15:27.

  2. Реклама
     

  3. #2
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    профиксить в hijackthis:
    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\idaw64.exe,
    Выполнить скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\WINDOWS\system32\kprof','');
    QuarantineFile('C:\WINDOWS\system32\poof','');
     QuarantineFile('C:\WINDOWS\system32\idaw64.exe','');
     QuarantineFile('C:\DOCUME~1\CCD4~1\LOCALS~1\Temp\winlogon.exe','');
     QuarantineFile('\??\C:\WINDOWS\system32\DefLib.sys','');
     BC_QrSvc('poof');
     BC_QrSvc('kprof');
     BC_DeleteFile('\??\C:\WINDOWS\system32\DefLib.sys');
     DeleteFile('C:\DOCUME~1\CCD4~1\LOCALS~1\Temp\winlogon.exe');
     BC_DeleteFile('C:\DOCUME~1\CCD4~1\LOCALS~1\Temp\winlogon.exe');
     BC_DeleteFile('C:\WINDOWS\system32\poof');
     BC_DeleteFile('C:\WINDOWS\system32\kprof');
     BC_DeleteSvc('poof');
     BC_DeleteSvc('kprof');
     BC_DeleteSvc('FCI');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки загрузить карантин и сделать новые логи.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  4. #3
    Junior Member Репутация
    Регистрация
    04.09.2007
    Сообщений
    121
    Вес репутации
    34
    Остался Trojan-Spy.Win32.Iespy.
    Последний раз редактировалось Ивпал; 07.02.2008 в 15:27.

  5. #4
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    А и где карантин после моего скрипта? Жалко, если его антивир съел, даже с ini-файламию
    Есть карантин только после выполнения логов.

    Осталось чуть больше зверей. Скрипт сейчас нарисую.
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('mswshl.dll','');
     QuarantineFile('C:\WINDOWS\svchost.exe','');
     DeleteFile('C:\WINDOWS\svchost.exe');
     BC_DeleteFile('C:\WINDOWS\svchost.exe');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Загрузить конкретно mswshl.dll и C:\WINDOWS\svchost.exe + C:\WINDOWS\system32\mswapi.dll
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  6. #5
    Junior Member Репутация
    Регистрация
    04.09.2007
    Сообщений
    121
    Вес репутации
    34
    Пардон, с карантином перемудрил, похоже.
    Сейчас выслал старый.

    Пошел скриптить...

  7. #6
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    Backdoor.Trojan - 'C:\WINDOWS\svchost.exe' (по Симантеку)

    А карантин опять не тот. Там минимум 5-файлов ini д.б.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  8. #7
    Junior Member Репутация
    Регистрация
    04.09.2007
    Сообщений
    121
    Вес репутации
    34
    Вот, нашел и такой, с пятью ini. Других больше нет

  9. #8
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    То, что нужно.

    Deflib.sys - Hacktool.Rootkit (по Симантеку)
    mswapi.dll - Trojan-Spy.Win32.Iespy.cb (новый по Касперскому)
    kpoof - Hacktool.Rootkit (по Симантеку)
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  10. #9
    Junior Member Репутация
    Регистрация
    04.09.2007
    Сообщений
    121
    Вес репутации
    34
    И что же с этой троицей делать?
    AVZ оять говорить про Trojan-Spy.Win32.Iespy.ag
    Последний раз редактировалось Ивпал; 07.02.2008 в 15:27.

  11. #10
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    Это для его удаления.
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\mswapi.dll');
    ExecuteSysClean;
    RebootWindows(true);
    end.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  12. #11
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Выполните скрипт в AVZ:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe','');
     QuarantineFile('C:\WINDOWS\system32\mswapi.dll','');
     DeleteFile('C:\WINDOWS\system32\mswapi.dll');
     DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
    BC_ImportDeletedList;
    BC_DeleteSvc('FCI');
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Если что-то попадет в карантин - пришлите по правилам.

    Пофиксите в HijackThis:
    Код:
    O2 - BHO: (no name) - {e3a729da-eabc-df50-1842-dfd682644311} - C:\WINDOWS\system32\mswapi.dll
    O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
    O20 - Winlogon Notify: reset6 - mswshl.dll (file missing)
    Сделайте новые логи.
    I am not young enough to know everything...

  13. #12
    Junior Member Репутация
    Регистрация
    04.09.2007
    Сообщений
    121
    Вес репутации
    34
    В Карантине пусто.
    Новые логи.
    Последний раз редактировалось Ивпал; 07.02.2008 в 15:27.

  14. #13
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    Что из этого не нужно? Можем помочь закрыть.
    >> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
    >> разрешена потенциально опасная служба TermService (Службы терминалов)
    >> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
    >> разрешена потенциально опасная служба Schedule (Планировщик заданий)
    >> Безопасность: разрешен автозапуск программ с CDROM
    >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
    >> Безопасность: к ПК разрешен доступ анонимного пользователя
    >> Безопасность: Разрешена отправка приглашений удаленному помошнику
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  15. #14
    Junior Member Репутация
    Регистрация
    04.09.2007
    Сообщений
    121
    Вес репутации
    34
    Первые 4 и последние 2. Закрою.
    Спасибо!

  • Уважаемый(ая) Ивпал, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Товарищи эксперты, гляньте плз
      От MaxMiller в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 28.08.2010, 16:57
    2. Siszyd32 и товарищи
      От Asiftrue в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 18.12.2009, 14:38
    3. C 1 мая,товарищи!
      От Sin(TEZ) в разделе Оффтоп
      Ответов: 2
      Последнее сообщение: 01.05.2009, 20:51
    4. Товарищи поделитесь пожалуйста
      От dolph2005 в разделе Оффтоп
      Ответов: 13
      Последнее сообщение: 20.10.2008, 16:54
    5. ntos и товарищи
      От Merlin в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 19.06.2008, 14:40

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01096 seconds with 20 queries