Похоже на Бласт!

**Crystaliyes** · 27.03.2009, 12:57

через пару часов работы выдает ошибку NT Authority system и происходит остановка службы services.. таймер и через 60 секунд перезагрузка. Проблема началась после перевода машин на другую сетку (вывод из домена, замена симантек на аваст)..
Проблема на 3 компах ХР - 2 компа СП3 и 1 СП2..

Когда делал логи не смог выгрузить аваст, просто остановил...

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**PavelA** · 27.03.2009, 13:16

Сразу предупрежу: разные компы в разные темы.
В логах только кусочек Симантека виден, от него у Вас что-то работает?
Выполнить:

Код:

begin
 QuarantineFile('%systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs','');
end.

Пришли карантин по http://virusinfo.info/upload_virus.php?tid=42651

**Crystaliyes** · 27.03.2009, 13:33

Нет! Стоял симантек, терь его нету!

Добавлено через 13 минут

после выполнения скрипта карантин пустой! Пишет что скрипт выполнен без ошибок.
могу файл прислать!

**PavelA** · 27.03.2009, 13:47

В карантин же AVZ autorun.inf засунул с диска D. Как же его там нет?

Через AVZ поиском по диску поищи файл,указанный в скрипте. Если найдется, то в карантин его и сюда на исследование.

**Crystaliyes** · 27.03.2009, 14:10

Интересная вестчь...Файл на диске есть....AVZ через поиск его находит, выделяю (галочкой), жму "Копировать отмеченные файлы в карантин@, а в карантине тока авторан с диска D.....или я где-то туплю??

**PavelA** · 27.03.2009, 14:59

Выполнить:

Код:

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('%systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);

end.

После перезагрузки пришли карантин.

**Crystaliyes** · 27.03.2009, 15:26

отправил

**PavelA** · 27.03.2009, 15:32

autorun.inf - Trojan-GameThief.Win32.OnLineGames.zll
Выполнить скрипт:

Код:

begin
DeleteFile('e:\t.com');
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('%systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs');
 DeleteService('SYMIDSCO');
 DeleteFile('C:\PROGRA~1\COMMON~1\SYMANT~1\SymcData\SCFIDS~1\20060807.097\symidsco.sys');
 DeleteFile('C:\Documents and Settings\slim\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
 DeleteFile('E:\autorun.inf');
 
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Профиксить:

Код:

O4 - HKUS\S-1-5-18\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs" (User 'Default user')

Сделать заново логи.

**Crystaliyes** · 27.03.2009, 16:12

сделал
ой...сорри! не пофиксил....ща перешлю лог

**Crystaliyes** · 27.03.2009, 16:17

вот!

**PavelA** · 27.03.2009, 17:14

В AVZ установить AVZPM, перезагрузиться и повторить логи.

**Crystaliyes** · 27.03.2009, 17:48

Включил

**Crystaliyes** · 27.03.2009, 19:19

вот нашел такую же проблему!
http://virusinfo.info/showthread.php...ght=1073741819

Добавлено через 33 минуты

Сам файл services.exe отличается по размеру от аналогичного файла на стабильно работающей машины... Может есть вероятность его подмены???

**PavelA** · 27.03.2009, 19:34

В предыд логе была вот такая строчка:
>>>> Обнаружена маскировка процесса 2268 C:\WINDOWS\system32\wuauclt.exe

В последних она исчезла. Это мне не нравится.

Файл services.exe м.б. разным, там же разные СП стоят. Кстати, после установки СП3
часто данная ошибка исчезает.

**Crystaliyes** · 27.03.2009, 19:39

с СП 3 некорректно работают интерфейсы некоторых сетевых принтеров... с СП 2 таких проблем нет, по этому СП 3 не могу поставить...
А так ниче сделать нельзя?

**Гриша** · 27.03.2009, 19:55

Пришлите его согласно приложению 2 правил...

**Crystaliyes** · 27.03.2009, 20:01

Кого "Его"?

**Гриша** · 27.03.2009, 20:02

services.exe

**Crystaliyes** · 27.03.2009, 20:39

Во! Подловил! Короче ошибка следующая:
Инструкция по адресу 0x6f95baec обратилась к памяти по адресу 0x027e0328. Память не может быть "read"...

После того, как я сейчас нажму OK выскачет окошко с ошибкой, которое я описывал в самом начале! сейчас делаю скрипт №3! Попробую остановить перезагрузку и сделать еще 1 лог! Или не надо?