Показано с 1 по 7 из 7.

Непонятные перехватчики (заявка № 22517)

  1. #1
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    08.04.2008
    Сообщений
    27
    Вес репутации
    42

    Exclamation Непонятные перехватчики

    Внезапно начали падать одна за другой программы с ошибкой доступа к памяти. Снял винт, на другой машине прогнал свежий CureIt, он нашёл ntos.exe и ещё парочку файлов и все их удалил. После этого машина ведёт себя с виду нормально, но AVZ пишет странную вещь в логе при проверке:

    1. Поиск RootKit и программ, перехватывающих функции API
    1.1 Поиск перехватчиков API, работающих в UserMode
    Анализ kernel32.dll, таблица экспорта найдена в секции .text
    Анализ ntdll.dll, таблица экспорта найдена в секции .text
    Функция ntdll.dll:NtResumeThread (297) перехвачена, метод CodeHijack (метод не определен)
    >>> Код руткита в функции NtResumeThread нейтрализован
    Анализ user32.dll, таблица экспорта найдена в секции .text
    Анализ advapi32.dll, таблица экспорта найдена в секции .text
    Анализ ws2_32.dll, таблица экспорта найдена в секции .text
    Функция ws2_32.dll:WSARecv (71) перехвачена, метод CodeHijack (метод не определен)
    >>> Код руткита в функции WSARecv нейтрализован
    Функция ws2_32.dll:WSASend (76) перехвачена, метод CodeHijack (метод не определен)
    >>> Код руткита в функции WSASend нейтрализован
    Функция ws2_32.dll:closesocket (3) перехвачена, метод CodeHijack (метод не определен)
    >>> Код руткита в функции closesocket нейтрализован
    Функция ws2_32.dll:connect (4) перехвачена, метод CodeHijack (метод не определен)
    >>> Код руткита в функции connect нейтрализован
    Функция ws2_32.dll:recv (16) перехвачена, метод CodeHijack (метод не определен)
    >>> Код руткита в функции recv нейтрализован
    Функция ws2_32.dll:send (19) перехвачена, метод CodeHijack (метод не определен)
    >>> Код руткита в функции send нейтрализован
    Анализ wininet.dll, таблица экспорта найдена в секции .text
    Анализ rasapi32.dll, таблица экспорта найдена в секции .text
    Анализ urlmon.dll, таблица экспорта найдена в секции .text
    Анализ netapi32.dll, таблица экспорта найдена в секции .text

    В процессах и в драйверах вроде ничего подозрительного. Теряюсь в догадках.
    Вложения Вложения

  2. Реклама
     

  3. #2
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    Это нормально,выполните в AVZ:

    Код:
    begin
    QuarantineFile('C:\WINDOWS\SYSTEM32\Userinit.exe','');
    end.
    Прислать карантин согласно приложения 3 правил .
    Загружать по ссылке:http://virusinfo.info/upload_virus.php?tid=22517

  4. #3
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    08.04.2008
    Сообщений
    27
    Вес репутации
    42
    Файл сохранён как 080506_084726_virus_4820616e5a1a4.zip
    Размер файла 31902
    MD5 5e059f7c328ea3d3ff0765892e78fe5f
    А если не секрет, кто перехватывает функции? Просто интересно.

  5. #4
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    Все по-немножку,средства защиты и прочее программы,Userinit.exe у вас подмененный,его нужно заменить на чистый из дистрибутива

  6. #5
    Junior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    08.04.2008
    Сообщений
    27
    Вес репутации
    42
    Хм. Поменял userinit на дистрибутивный, перезагрузился, и сразу странные перехваты пропали. Похоже, он и был злодеем.

    На всякий случай ещё лог сделал.
    Вложения Вложения

  7. #6
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    В логе чисто...

  8. #7
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,548
    Вес репутации
    941

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 1
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\userinit.exe - Rootkit.Win32.Agent.aiv (DrWEB: Trojan.PWS.Lich)


  • Уважаемый(ая) a1822, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 4
      Последнее сообщение: 06.10.2010, 16:57
    2. Ответов: 10
      Последнее сообщение: 11.09.2009, 22:55
    3. Непонятные процессы
      От v.v.y. в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 18.01.2009, 07:40
    4. Ответов: 1
      Последнее сообщение: 31.05.2008, 20:33
    5. Ответов: 2
      Последнее сообщение: 12.02.2008, 15:11

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01560 seconds with 21 queries