Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 25.

Проблемка с руткитом (заявка № 31206)

  1. #1
    Junior Member Репутация
    Регистрация
    01.10.2008
    Сообщений
    12
    Вес репутации
    30

    Проблемка с руткитом

    При перезагрузке компа в каталоге Windows/temp создаются файлы типа 1.tmp, 2.sys, 1.dll и тд, которые определяются как вирусы. *.sys определяются как Backdoor.Win32.IRCBot.csk, *.tmp как Trojan-Mailfinder.Win32.Small.ae,*.dll как Trojan.Win32.Agent.aebb. Кроме того, часто при перезагрузке после появления окна выбора профилей пользователей происходит сбой, при котором выводится сообщение с абракадаброй в которой можно только разобрать winlogon (наверное потому, что оно по-английски).
    Лечение не помогает - вирусы кроме тех что в temp, не обнаруживаются даже если проверять из другой винды (у меня установлены 2 ХП одна, в которой обычно работаю, заражена, другая чистая).
    Вложения Вложения

  2. Реклама
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    967
    Отключите
    - ПК от интернета/локалки
    - Антивирус и Файрвол.
    - Выполните скрипт @avz (на той системе откуда логи )
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('F:\WINDOWS\Temp\5.tmp','');
     QuarantineFile('F:\WINDOWS\Temp\1.tmp','');
     QuarantineFile('f:\windows\temp\1.tmp','');
     QuarantineFile('F:\WINDOWS\system32\ieudinit.exe','');
     DelBHO('{35A6E2B1-27A9-47D2-913C-559E1EF1D034}');
     QuarantineFile('F:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
     QuarantineFile('MIDIDEF.EXE','');
     QuarantineFile('F:\WINDOWS\P17Def.Exe','');
     QuarantineFile('F:\WINDOWS\system32\ntsim.sys','');
     QuarantineFile('F:\WINDOWS\system32\DRIVERS\13225262.sys','');
     QuarantineFile('F:\WINDOWS\system32\drivers\p17filt.sys','');
     QuarantineFile('F:\WINDOWS\system32\Drivers\appdrv01.sys','');
     DeleteFile('F:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
     DeleteFile('f:\windows\temp\'*');
     DeleteFile('F:\WINDOWS\Temp\1.tmp');
     DeleteFile('F:\WINDOWS\Temp\5.tmp');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    executerepair(5);
    executerepair(6);
    executerepair(8);
    executerepair(9);
    RebootWindows(true);
    end.
    После перезагрузки:
    -Сделайте повторные логи по правилам.
    -Закачайте карантин по ссылке http://virusinfo.info/upload_virus.php?tid=31206 (Приложение 3 правил).

  4. #3
    Junior Member Репутация
    Регистрация
    01.10.2008
    Сообщений
    12
    Вес репутации
    30
    Скрипт выполнил, но пришлось редактировать 17 строку (скрипт не запускался):
    было DeleteFile('f:\windows\temp\'*');
    стало DeleteFile('f:\windows\temp\*');

    Файлы карантина закачал.
    Вложения Вложения

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2996
    Закройте все открытые приложения, кроме АVZ и Internet Explorer.
    Отключите
    - ПК от интернета/локалки
    - Антивирус и Файрвол.
    - Системное восстановление.

    - Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('F:\WINDOWS\system32\DRIVERS\PowerManager.sys','');
     QuarantineFile('PowerManager.sys','');
     QuarantineFile('F:\WINDOWS\Temp\1.tmp','');
     DeleteFile('F:\WINDOWS\Temp\1.tmp');
     DeleteFile('PowerManager.sys');
     DeleteFile('F:\WINDOWS\system32\DRIVERS\PowerManager.sys');
    BC_ImportAll;
    ExecuteSysClean;
    BC_DeleteSvc('PowerManager');
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки:
    - Очистите темп-папки, кэш проводников и корзину.
    - Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
    - Сделайте повторные логи по правилам.
    - Включите Антвирус и Файрволл
    - Подключите ПК к интернету/локалке
    - Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 правил).
    - Прикрепите логи к новому сообщению.

  6. #5
    Junior Member Репутация
    Регистрация
    01.10.2008
    Сообщений
    12
    Вес репутации
    30
    Скрипт выполнил.
    Папки очистил, но один файл с вирусом в папке Windows/temp не удаляется - сообщение что он используется.
    Карантин закачал, новые логи прилагаю.
    ПС: Вы просите выключать антивирус. У меня НОД32, убрал его из автозагрузки, но своё ядро он всё равно грузит. Ничего с ним сделать не могу.
    Вложения Вложения

  7. #6
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DelBHO('{35A6E2B1-27A9-47D2-913C-559E1EF1D034}');
     QuarantineFile('F:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
     QuarantineFile('ForcewareWebInterface.sys','');
     QuarantineFile('nSvcLog.sys','');
     QuarantineFile('nSvcIp.sys','');
     DeleteFile('F:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
     DeleteFile('F:\WINDOWS\Temp\6.tmp');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    пришлите карантин согласно приложения 3 правил

  8. #7
    Junior Member Репутация
    Регистрация
    01.10.2008
    Сообщений
    12
    Вес репутации
    30
    После выполнения скрипта в логе AVZ:

    Ошибка карантина файла, попытка прямого чтения (ForcewareWebInterface.sys)
    Карантин с использованием прямого чтения - ошибка
    Ошибка карантина файла, попытка прямого чтения (nSvcLog.sys)
    Карантин с использованием прямого чтения - ошибка
    Ошибка карантина файла, попытка прямого чтения (nSvcIp.sys)
    Карантин с использованием прямого чтения - ошибка

    Этих файлов в карантине нет.

  9. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    попробуйте их прислать согласно приложения 2 правил

  10. #9
    Junior Member Репутация
    Регистрация
    01.10.2008
    Сообщений
    12
    Вес репутации
    30
    Искал ForcewareWebInterface.sys, nSvcLog.sys, nSvcIp.sys на диске при помощи AVZ. Не нашёл

  11. #10
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    тогда логи повторите ....

  12. #11
    Junior Member Репутация
    Регистрация
    01.10.2008
    Сообщений
    12
    Вес репутации
    30
    Новые логи
    Вложения Вложения

  13. #12
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1497
    выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     BC_DeleteSvc('nSvcLog');
     BC_DeleteSvc('nSvcIp');
     BC_DeleteSvc('ForcewareWebInterface');
     DeleteFile('f:\windows\temp\3.tmp');
     DeleteFile('F:\WINDOWS\Temp\1.tmp');
     DeleteFileMask('%Tmp%', '*.*', true);
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    повторите логи

  14. #13
    Junior Member Репутация
    Регистрация
    01.10.2008
    Сообщений
    12
    Вес репутации
    30
    Новые логи.
    Вложения Вложения

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2996
    Закройте все открытые приложения, кроме АVZ и Internet Explorer.
    Отключите
    - ПК от интернета/локалки
    - Антивирус и Файрвол.
    - Системное восстановление.

    - Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('F:\WINDOWS\Temp\9.tmp','');
     QuarantineFile('F:\WINDOWS\Temp\7.tmp','');
     QuarantineFile('F:\WINDOWS\Temp\5.tmp','');
     QuarantineFile('F:\WINDOWS\Temp\1.tmp','');
     DeleteFile('F:\WINDOWS\Temp\1.tmp');
     DeleteFile('F:\WINDOWS\Temp\5.tmp');
     DeleteFile('F:\WINDOWS\Temp\7.tmp');
     DeleteFile('F:\WINDOWS\Temp\9.tmp');
    BC_ImportAll;
    ExecuteSysClean;
    BC_DeleteSvc('PowerManager');
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки:
    - Очистите темп-папки, кэш проводников и корзину.
    - Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
    - Сделайте повторные логи по правилам.
    - Включите Антвирус и Файрволл
    - Подключите ПК к интернету/локалке
    - Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 правил).
    - Прикрепите логи к новому сообщению.

  16. #15
    Junior Member Репутация
    Регистрация
    01.10.2008
    Сообщений
    12
    Вес репутации
    30
    Новые логи.
    Карантин залил.
    Маленькие заметки:
    Удалять файлы из windows/temp можно, но кроме одного .tmp - того который был создан после последней перезагрузки. Его нельзя удалить никак. При просмотре утилитой процессвьюер видно что он используется только winlogon.
    Даже если очистить папку windows/temp при загрузке из другой винды, они всё равно воскресают. Но при загрузке из другой системы в данной папке обнаруживается ещё файл .dll (при загрузке заражённой системы его нет, есть только файлы .tmp и .sys - кстати, и нод32 и онлайн проверка на сайте касперского однозначно определяют .sys как вирус, а AVZ его игнорирует)
    Вложения Вложения

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2996
    - Выполните скрипт
    Код:
    begin
    SetAVZPMStatus(True);
    RebootWindows(true);
    end.
    После перезагрузки:
    - Сделайте повторные логи по правилам.

  18. #17
    Junior Member Репутация
    Регистрация
    01.10.2008
    Сообщений
    12
    Вес репутации
    30
    Новые логи.
    Вложения Вложения

  19. #18
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2996
    http://virusinfo.info/showthread.php?t=15927 - нужно выполнить.
    http://www.gmer.net/index.php - скачайте и сделайте полную проверку. Лог-в студию.
    http://www.download.com/Malwarebytes...-10804572.html -скачайте и сделайте полную проверку. Лог-в студию.

  20. #19
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    12.02.2007
    Адрес
    Минск, Беларусь
    Сообщений
    569
    Вес репутации
    559
    Посмотрите, если ли у Вас такие каталоги, и, если есть, то напишите имена файлов, которые там есть:
    F:\Settings\
    F:\documents and settings\all users\Documents\settings\
    Каталоги и файлы в нем имеют атрибут "скрытый", поэтому если отключена, активируйте опцию показа скрытых системных файлов.
    anti-malware.ru

  21. #20
    Junior Member Репутация
    Регистрация
    01.10.2008
    Сообщений
    12
    Вес репутации
    30
    Программы качаю - как скачаю и протестирую сообщу результаты.

    Каталога F:\Settings\ нет, в F:\documents and settings\all users\Documents\settings\ сейчас только desktop.ini, но когда-то там был обнаружен (и убит) какой-то вирь. Файл назывался что-то типа ABC (если память не изменяет). Но это было давно и после этого в этом каталоге ничего не появлялось.

  • Уважаемый(ая) Suslik's, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Страница 1 из 2 12 Последняя

    Похожие темы

    1. проблема с руткитом
      От n256 в разделе Помогите!
      Ответов: 14
      Последнее сообщение: 26.02.2012, 09:22
    2. Помогите с руткитом
      От Бусидо в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 27.05.2010, 01:00
    3. Проблема с неизвестным руткитом.
      От t0stre в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 05.11.2009, 18:28
    4. Очередной комп с руткитом
      От smeley в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 18.09.2009, 16:25
    5. Неравный бой с руткитом
      От SHRIKE в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 04.06.2009, 18:00

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00809 seconds with 23 queries