В логах показывает "модификация машинного кода"

**Gordon Shumway** · 24.10.2007, 13:27

Добрый день!
Была проблема с заражением троянами, был постоянный исходящий трафик на 25 порту. С помощью avz были выявлены трояны и вроде бы вылечены, по крайней мере паразитный трафик прекратился.
Но ноут периодически уходит в перезагрузку с появлением на пару секунд синего экрана. В логах avz присутствуют две следующие строчки:
Функция NtEnumerateKey (47) - модификация машинного кода. Метод JmpTo. jmp F835CF4EFfbb34.sys
Функция NtOpenKey (77) - модификация машинного кода. Метод JmpTo. jmp F835CCBAFfbb34.sys

К сожалению, не получается выполнить все предписания по проверке, т.к. при выполнении первого скрипта, ноут уходит в перезагрузку с синим экраном.

Можно ли как-то это исправить?
Заранее спасибо.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**PavelA** · 24.10.2007, 13:46

Грузиться в безопасном и делать логи из него.

**Gordon Shumway** · 24.10.2007, 14:24

Просканировал из безопасного режима, но вышеуказанных срок этом режиме уже нет.
Логи прилагаю.

**PavelA** · 24.10.2007, 15:18

Выполнить скрипт в безопасном режиме:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\windres.exe','');
 QuarantineFile('Ffbb34.sys','');
 BC_DeleteFile('Ffbb34.sys');
 BC_DeleteFile('C:\WINDOWS\system32\windres.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Прислать карантин.

Сделать новые логи в обычном режиме.

**Gordon Shumway** · 24.10.2007, 16:13

Карантин выслал.
Выполнить скрипты в обычном режиме снова не удалось, т.к. уходит в перезагрузку с синим экраном. Сделал в безопасном режиме.

**PavelA** · 24.10.2007, 16:22

Профиксить hijackthis:

Код:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\windres.exe,

Выполнить в защищенном:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteFile('C:\WINDOWS\system32\drivers\Ffbb34.sys');
 BC_DeleteFile('C:\WINDOWS\system32\windres.exe');
BC_Activate;
RebootWindows(true);
end.

Сделать лог из п.8.

**Gordon Shumway** · 24.10.2007, 16:52

Все выполнил.

**Bratez** · 24.10.2007, 17:06

Выполните такой скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Попробуйте теперь сделать все логи в нормальном режиме.

**PavelA** · 24.10.2007, 17:14

В карантин ничего не попало.

**Gordon Shumway** · 24.10.2007, 17:35

Логи из обычного режима. Кажется, все стало чисто!

**PavelA** · 24.10.2007, 18:00

Выполнить скрипт:

Код:

begin
 BC_DeleteSvc('ICF');
 BC_Activate;
 RebootWindows(true);
end.

Там еще в "Планировщике" задание от Симантека болтается. Он используется? Если нет, то задание удалить.

**Gordon Shumway** · 24.10.2007, 19:01

Все сделал.

Bratez
PavelA

Спасибо огромное!

**PavelA** · 24.10.2007, 19:43

Повтори лог Hijackthis.

Дырки надо зыкрывать:
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

Можем помочь скриптом, только укажи что используется.

**Gordon Shumway** · 25.10.2007, 14:59

Планировщик не нужен, автозапуск с CD тоже,
NetMeeting Remote Desktop Sharing - я даже не знаю что это

Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола) - этим вроде тоже не пользуюсь.

Про все остальное даже не знаю толком что это

**Bratez** · 25.10.2007, 15:59

Вот скрипт для отключения ненужного:

Код:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.

* Если компьютер в локальной сети с использованием общего доступа к файлам и принтерам, то уберите из скрипта первую строчку после begin.