Показано с 1 по 10 из 10.

Неудаляемый руткит в MBR, нужна консультация. (заявка № 182576)

  1. #1
    Junior Member Репутация
    Регистрация
    25.04.2015
    Сообщений
    10
    Вес репутации
    6

    Thumbs up Неудаляемый руткит в MBR, нужна консультация.

    Доброго Всем времени суток! Прошу за беспокойство.
    Очень нужна Ваша консультация по удалению руткита, сидящего на HDD в MBR. Предполагаю, что компьютер взломали.
    Примерно в декабре прошлого года заметил, что Windows XP стала работать медленно, замедлилась скорость доступа в сеть (всё как-бы через фильтр), постоянно изменяется размер файлов входа в систему- winlogon.exe, csrss.exe, smss.exe, появляются и всплывают в procexp какие-то случайные DLL. Проверка на заражённой машине TDSSKiller результата не дала. AVZ видимо обрубает корни этому руту, но он вновь восстанавливается из MBR, "расшаривает" сетевые службы удалённого доступа, что-то пытается сам качать через порты (видно по трафику, хотя автообновление везде отключено). Переустановка Win XP не помогла решить проблему, при установке всплывают предупреждения, система ставится очень долго (проверка из MBR руткитом?)-

    Поставщик HiPerfCooker_v1 зарегистрирован в пространстве имен WMI Root\WMI с правами локальной системы. Это может привести к нарушениям зашиты, если поставщику не удастся олицетворить запрос пользователя.
    Поставщик CmdTriggerConsumer зарегистрирован в пространстве имен WMI Root\cimv2 с правами локальной системы. Это может привести к нарушениям зашиты, если поставщику не удастся олицетворить запрос пользователя.
    Поставщик Rsop Planning Mode Provider зарегистрирован в пространстве имен WMI root\RSOP, но не указал свойство HostingModel. Для запуска поставщика будет использоваться учетная запись LocalSystem. Это привилегированная учетная запись, и если поставщику не удастся олицетворить запрос пользователя, это может привести к нарушению безопасности. Проверьте, что поставщик не угрожает безопасности, и обновите свойство регистрации поставщика HostingModel до учетной записи с наименьшими привилегиями, необходимые для данной функциональности.

    Чистка MBR сторонними программами не помогла, восстановление системы из AVZ на время решает проблему- размер winlogon.exe, csrss.exe, smss.exe становится меньше, система работает быстрее, но после перезагрузки- всё на круги своя. Возможно-ли удаление какой-то программой или всё-же необходимо резервное копирование данных и низкоуровневое форматирование HDD с очисткой MBR.
    Уже читал вот тут, проблема не нова, пришлось человеку проводить низкоуровневое форматирование и даже пререшивать BIOS- http://www.securitylab.ru/forum/forum27/topic18217/ .

    Очень нуждаюсь в Ваших советах, как далее поступать, какую программу использовать, дабы убить его корни в MBR. Логи сканирования прилагаю. Очень бы не хотелось делать резервную копию всего HDD и последующее низкоуровневое форматирование.
    Заранее благодарю.
    Изображения Изображения
    Вложения Вложения
    Последний раз редактировалось Андрей 777; 25.04.2015 в 19:28.

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,268
    Вес репутации
    325
    Уважаемый(ая) Андрей 777, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. Info_bot получил(а) благодарность за это сообщение от


  5. #3
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,229
    Вес репутации
    1022
    Внимание !!! База поcледний раз обновлялась 31.12.2014 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
    Обновите базы AVZ. Сделайте новые логи.

    6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
    В базе 317 описаний портов
    На данном ПК открыто 2 TCP портов и 1 UDP портов
    Настройки AVZ крутить не нужно!
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  6. mike 1 получил(а) благодарность за это сообщение от


  7. #4
    Junior Member Репутация
    Регистрация
    25.04.2015
    Сообщений
    10
    Вес репутации
    6
    Свежие логи, базы обновил. User & Kernel-Mode блокировку не включал.
    Забыл отметить- имя пользователя в диспетчере задач скрыто, "игры" с реестром не помогли.
    Вложения Вложения
    Последний раз редактировалось Андрей 777; 26.04.2015 в 12:28.

  8. #5
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,229
    Вес репутации
    1022
    Логи AVZ не те прислали.
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  9. mike 1 получил(а) благодарность за это сообщение от


  10. #6
    Junior Member Репутация
    Регистрация
    25.04.2015
    Сообщений
    10
    Вес репутации
    6
    Вот видимо те, простите, запутался уже просто.... Думал достаточно текстовых отчётов.

    - - - - -Добавлено - - - - -

    Кстати, после сканирования и всех манипуляций заметил, что размер файлов winlogon.exe, csrss.exe, smss.exe ещё увеличился ~ на 4 кб. Имя всех пользователей в диспетчере задач также скрыто, не отображается значок сетевое подключение на панели инструментов, хотя выход в сеть есть.
    Изображения Изображения
    Вложения Вложения
    Последний раз редактировалось Андрей 777; 26.04.2015 в 23:37.

  11. #7
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,229
    Вес репутации
    1022
    Логи в порядке.

    • Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
    • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
    • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
    • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
    • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  12. mike 1 получил(а) благодарность за это сообщение от


  13. #8
    Junior Member Репутация
    Регистрация
    25.04.2015
    Сообщений
    10
    Вес репутации
    6
    Выходит рутник самоликвидировался, просто как-то загадочно?
    Спасибо, тем не менее, что уделили мне, столь скромному пользователю, часть своего драгоценного времени.
    Вложения Вложения

  14. #9
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mike 1
    Регистрация
    05.11.2011
    Адрес
    Москва
    Сообщений
    41,229
    Вес репутации
    1022
    Я думаю у вас и не было никакого руткита, хотя ваша система дырявая как решето. Обновите:

    Service Pack 2 Внимание! Скачать обновления
    Internet Explorer 6.0.2900.2180 Внимание! Скачать обновления
    Автоматическое обновление отключено
    Автоматическое обновление (wuauserv) - Служба остановлена
    Центр обеспечения безопасности (wscsvc) - Служба работает
    Восстановление системы отключено
    ---------------------------- [ Antivirus_WMI ] ----------------------------
    AntiVir Desktop
    Антивирус обновлен
    ---------------------- [ AntiVirusFirewallInstall ] -----------------------
    Avira AntiVir Personal - Free Antivirus v.10.0.0.67
    --------------------------- [ OtherUtilities ] ----------------------------
    CCleaner v.4.07
    Spybot - Search & Destroy v.1.6.2
    --------------------------- [ AdobeProduction ] ---------------------------
    Adobe Flash Player 11 Plugin v.11.1.102.55 Внимание! Скачать обновления
    ------------------------------- [ Browser ] -------------------------------
    Mozilla Firefox 19.0 (x86 ru) v.19.0 Внимание! Скачать обновления
    --------------------------- [ RunningProcess ] ----------------------------
    C:\Program Files\Mozilla Firefox\firefox.exe v.19.0.0.4794
    ------------------------------ [ MS Office ] ------------------------------
    Уязвимости взяты из скрипта: http://dataforce.ru/~kad/ScanVuln.txt
    Уязвимость компонента Microsoft Graphics делает возможным удаленное выполнение кода Скачать обновления
    Для установки этого обновления требуется установить SP3 для Office 2003 Скачать обновления

    Советы и рекомендации после лечения компьютера
    Инструкции выполняются в том порядке, в котором они вам даны.
    Вы можете отблагодарить нас так или так
    А вы совершаете эти 4 ошибки на форумах? Оставить отзыв Обучение на VirusInfo
    Бесплатная защита на 45 дней => https://goo.gl/3BfqlS
    Защита от неизвестных троянцев-шифровальщиков => FixSecurity, Kaspersky Anti-Ransomware Tool

  15. mike 1 получил(а) благодарность за это сообщение от


  16. #10
    Junior Member Репутация
    Регистрация
    25.04.2015
    Сообщений
    10
    Вес репутации
    6
    Я думаю у вас и не было никакого руткита
    Буду надеяться, что так оно и есть. Смутили HiPerfCooker_v1, CmdTriggerConsumer, Rsop Planning Mode Provider в WMI-Root при установке, самораскрытие сетевых служб удалённого доступа, отчего и решил- модификация MBR!!! Информации в сети мало, по всем признакам похоже на рут. Спасибо Вам ещё раз, поживём- понаблюдаем за системой.

  • Уважаемый(ая) Андрей 777, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. нужна консультация
      От Инара Жамалетдинова в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 23.06.2012, 11:16
    2. Нужна консультация
      От LittleBudda в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 04.03.2012, 18:46
    3. Нужна консультация
      От ngkf в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 20.10.2010, 09:12
    4. Нужна консультация
      От Andel в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 01.10.2010, 08:24
    5. Нужна консультация
      От enrgm в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 23.06.2008, 19:07

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00096 seconds with 21 queries