Показано с 1 по 12 из 12.

c:\windows\system32\svchost.exe:ext.exe:$DATA (заявка № 15940)

  1. #1
    Junior Member Репутация
    Регистрация
    03.01.2008
    Сообщений
    6
    Вес репутации
    33

    Thumbs up c:\windows\system32\svchost.exe:ext.exe:$DATA

    Добрый день.
    Пару дней как стали появляться вирусы на компе.

    Стоит подключиться к интернет как НОД 32 обнаруживает:

    03.01.2008 2144 Real-time file system protection file C:\WINDOWS\system32\DefLib.sys Win32/Rootkit.Agent.NCR trojan cleaned by deleting - quarantined NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\DOCUME~1\ADMIN\LOCALS~1\Temp\winlogon.exe.

    а так же

    "03.01.2008 21:44:48 HTTP filter file http://208.72.169.9/mm27nov.exe probably a variant of Win32/Obfuscated trojan connection terminated - quarantined NT AUTHORITY\SYSTEM Threat was detected upon access to web by the application: c:\windows\system32\svchost.exe."

    отрубаю инет, проверяю антивирусом все чисто, перезагрузка - все по новой.

    AVZ говорит что c:\windows\system32\svchost.exe:ext.exe:$DATA

    Опасно - исполняемый файл в потоке NTFS - возможно, маскировка исполняемого файла

    Прошу помочь с решением
    Вложения Вложения

  2. Реклама
     

  3. #2
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    выполните скрипт ...
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA');
     QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
     QuarantineFile('C:\WINDOWS\system32\LAA1E.tmp.exe','');
     QuarantineFile('c:\docume~1\admin\locals~1\temp\winlogon.exe','');
     DeleteFile('c:\docume~1\admin\locals~1\temp\winlogon.exe');
     DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
     BC_DeleteSvc('FCI');
     BC_DeleteSvc('smtpdrv');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    пришлите карантин согласно приложения 3 правил ....

  4. #3
    Junior Member Репутация
    Регистрация
    03.01.2008
    Сообщений
    6
    Вес репутации
    33
    карантин выслан согласно правилам

  5. #4
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    C:\WINDOWS\system32\LAA1E.tmp.exe HEUR/Crypted
    c:\docume~1\admin\locals~1\temp\winlogon.exe TR/Proxy.Small.IH
    выполните скрипт ...
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     DeleteFile('C:\WINDOWS\system32\LAA1E.tmp.exe');
     BC_ImportDeletedList;
     BC_DeleteSvc('helpsvcWmiApSrv');
     BC_Activate;
     ExecuteSysClean;
     RebootWindows(true);
    end.
    повторите логи ...

  6. #5
    Junior Member Репутация
    Регистрация
    03.01.2008
    Сообщений
    6
    Вес репутации
    33
    логи прикреплены
    Вложения Вложения

  7. #6
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для zerocorporated
    Регистрация
    23.09.2007
    Сообщений
    967
    Вес репутации
    836
    1.В avz выполнить скрипт:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\i386kd.exe','');
    BC_ImportALL;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    2.Выслать карантин согласно приложению 3 правил

  8. #7
    Junior Member Репутация
    Регистрация
    03.01.2008
    Сообщений
    6
    Вес репутации
    33
    По выполнению данного скрипта карантин не создается.
    Выполнил данный скрипт без перезагрузки компьютера, выдается сообщение что скрипт удачно выполнен, но вот что говорит лог:

    1.1 Поиск перехватчиков API, работающих в UserMode
    Анализ kernel32.dll, таблица экспорта найдена в секции .text
    Анализ ntdll.dll, таблица экспорта найдена в секции .text
    Анализ user32.dll, таблица экспорта найдена в секции .text
    Анализ advapi32.dll, таблица экспорта найдена в секции .text
    Анализ ws2_32.dll, таблица экспорта найдена в секции .text
    Анализ wininet.dll, таблица экспорта найдена в секции .text
    Анализ rasapi32.dll, таблица экспорта найдена в секции .text
    Анализ urlmon.dll, таблица экспорта найдена в секции .text
    Анализ netapi32.dll, таблица экспорта найдена в секции .text
    1.2 Поиск перехватчиков API, работающих в KernelMode
    Драйвер успешно загружен
    SDT найдена (RVA=082B80)
    Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000
    SDT = 80559B80
    KiST = 804E2D20 (284)
    Проверено функций: 284, перехвачено: 0, восстановлено: 0
    1.3 Проверка IDT и SYSENTER
    Анализ для процессора 1
    Проверка IDT и SYSENTER завершена
    1.4 Поиск маскировки процессов и драйверов
    Проверка не производится, так как не установлен драйвер мониторинга AVZPM
    Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\i386kd.exe)
    Карантин с использованием прямого чтения - ошибка
    Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\i386kd.exe)
    Карантин с использованием прямого чтения - ошибка

  9. #8
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для zerocorporated
    Регистрация
    23.09.2007
    Сообщений
    967
    Вес репутации
    836
    1.В avz выполнить скрипт:
    Код:
    begin
     DeleteFile('C:\WINDOWS\system32\i386kd.exe');
    ExecuteSysClean;
    BC_ImportALL;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    2.Пофиксить в HiJackThis
    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\i386kd.exe,
    O2 - BHO: (no name) - {140BD8E3-C167-11D4-B4A3-080000180323} - (no file)
    И повторите лог HiJackThis.

  10. #9
    Junior Member Репутация
    Регистрация
    03.01.2008
    Сообщений
    6
    Вес репутации
    33
    строчки
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDO WS\system32\i386kd.exe,

    в логе не было.

    O2 - BHO: (no name) - {140BD8E3-C167-11D4-B4A3-080000180323} - (no file)

    пофиксено.

    лог прилагается
    Вложения Вложения

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    538
    Чисто, проблемы решены?

  12. #11
    Junior Member Репутация
    Регистрация
    03.01.2008
    Сообщений
    6
    Вес репутации
    33
    ДА, все чисто. проблема решена.

  13. #12
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,550
    Вес репутации
    942

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 3
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\docume~1\\admin\\locals~1\\temp\\winlogon.exe - Trojan-Proxy.Win32.Small.ih (DrWEB: Trojan.Packed.573)
      2. c:\\windows\\system32\\laa1e.tmp.exe - Backdoor.Win32.IRCBot.ayk (DrWEB: BackDoor.IRC.Cemka)


  • Уважаемый(ая) magician73, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 4
      Последнее сообщение: 02.02.2010, 13:34
    2. Win32:Rootkit-gen [Rtk], windows\system32\svchost.exe
      От kerch в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 22.02.2009, 05:44
    3. Ответов: 7
      Последнее сообщение: 22.02.2009, 03:24
    4. Hidden object Процесс: C:\WINDOWS\system32\svchost
      От prekratite в разделе Помогите!
      Ответов: 15
      Последнее сообщение: 22.02.2009, 02:49
    5. Зараза в system32\svchost.exe:ext.exe:$DATA и что еще???
      От JohnDoe в разделе Помогите!
      Ответов: 13
      Последнее сообщение: 22.02.2009, 02:42

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01604 seconds with 23 queries