Показано с 1 по 14 из 14.

Net-worm.Win32.Kido.ih с новым способом проникновения (заявка № 47445)

  1. #1
    Junior Member Репутация
    Регистрация
    08.06.2009
    Сообщений
    7
    Вес репутации
    28

    Thumbs up Net-worm.Win32.Kido.ih с новым способом проникновения

    Здравствуйте.

    Нашу локальную сеть поразила новая модификация Kido.
    Антивирус Касперского 6.0.3.837 с обновлениями сигнатур от 06.06.2009 детектирует в файле C:/Windows/System32/lpbfunw.s (на других компьютерах- другие названия файла) вирус Net-Worm.Win32.Kido.ih Также создается задания в планировщике задач на запуск этого файла с помощью rundll32 (это делает стандартный процесс svchost с ключем netsvcs, который отвечает за сетевые службы и в том числе службу планировщика задач, видимо ему по сети как-то приходит команда на создание задачи)

    Последний KidoKiller 3.4.7 вроде бы детектирует kido и удаляет его, но через некоторое время файл с kido снова создается на компьютере. При попытке отслеживание создания зараженного файла с помощью FileMon не удается увидеть момента создания этого файла, и какой процесс его создает, а удаление этого файла (которое делает KAV) в логах FileMon видно.

    При этом рекомендуемая заплатка
    (http://www.microsoft.com/technet/sec.../MS08-067.mspx)
    была установлена еще во время первой волны 13 января 2009 и в сети настроены регулярные обновления для всех Windows систем.

    Вопрос в том, каким образом зараза попадает на компьютер? Видимо какая-то новая уязвимость в одном из стандартных виндовых сервисов. Вобщем прошу помощи в защите сети, как закрыть сеть от распространения заразы?
    Вложения Вложения
    Последний раз редактировалось Abark; 09.06.2009 в 08:59.

  2. Реклама
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2996
    - Выполните скрипт
    Код:
    begin
     QuarantineFile('C:\WINDOWS\system32\drivers\REGSYS.SYS','');
    end.
    - Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
    - Повторите логи из локальной сессии.
    - Сделайте лог gmer (см. инструкцию в Чаво).

  4. #3
    Junior Member Репутация
    Регистрация
    08.06.2009
    Сообщений
    7
    Вес репутации
    28
    Файл REGSYS.SYS не удается найти, это видимо был драйвер, который загружал на время работы Sysinternals Process Explorer, который я запускал до запуска AVZ.

    Переделал логи из локальной сессии (прикреплены к первому посту вместо старых),
    сделал лог с помощью gmer.

    (судя по логам gmer, на машине присутствует скрытая служба(ы) - "gftym" и "xecag" - и root-kit активность)

  5. #4
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Aleksandra
    Регистрация
    13.01.2007
    Сообщений
    7,662
    Вес репутации
    2817
    1. Отключите восстановление системы и антивирус.
    2. Выполните скрипт в AVZ:

    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteService('gftym');
     DeleteService('xecag');
     QuarantineFile('C:\WINDOWS\system32\lpbfunw.dll','');
     DeleteFile('C:\WINDOWS\system32\lpbfunw.dll');
     RegKeyParamDel('HKLM','SYSTEM\CurrentControlSet\Services\gftym','Description');
     RegKeyParamDel('HKLM','SYSTEM\CurrentControlSet\Services\xecag','Description');
     RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\gftym');
     RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\xecag');
    BC_ImportAll;
    ExecuteSysClean;
    BC_DeleteSvc('gftym');
    BC_DeleteSvc('xecag');
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится!
    Пришлите карантин согласно приложению 3 правил.
    Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=47445

    3. Сохраните содержимое как start.bat в каталоге с gmer, запустите и после перезагрузки повторите лог gmer.

    Код:
    gmer.exe -del service gftym
    gmer.exe -del service xecag
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gftym@DisplayName"                                                                                                                            
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gftym@Type"                                                                                                                    
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gftym@Start"                                                                                                                        
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gftym@ErrorControl"                                                                                                                             
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gftym@ImagePath"                                                                                                                            
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gftym@ObjectName"                                                                                                                
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gftym@Description"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gftym\Parameters"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gftym\Parameters@ServiceDll"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xecag@DisplayName"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xecag@Type"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xecag@Start"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xecag@ErrorControl"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xecag@ImagePath"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xecag@ObjectName"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xecag@Description"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xecag\Parameters"
    gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xecag\Parameters@ServiceDll"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gftym@DisplayName"                                                                                                                            
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gftym@Type"                                                                                                                    
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gftym@Start"                                                                                                                        
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gftym@ErrorControl"                                                                                                                             
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gftym@ImagePath"                                                                                                                            
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gftym@ObjectName"                                                                                                                
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gftym@Description"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gftym\Parameters"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gftym\Parameters@ServiceDll"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xecag@DisplayName"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xecag@Type"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xecag@Start"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xecag@ErrorControl"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xecag@ImagePath"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xecag@ObjectName"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xecag@Description"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xecag\Parameters"
    gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xecag\Parameters@ServiceDll"
    gmer -reboot
    Последний раз редактировалось Aleksandra; 09.06.2009 в 09:40.
    Наша служба, будто сердце, отдыха не знает никогда.

  6. #5
    Junior Member Репутация
    Регистрация
    08.06.2009
    Сообщений
    7
    Вес репутации
    28
    Закачал содержимое карантина.

    Запустил start.bat для gmer.
    При отработке команд на удаление ключей реестра практически на каждой команде выскакивал message box с текстом,
    Код:
    "DeleteKey: Произошел сбой в программе инициализации библиотеки динамической компоновки (DLL)"
    . не понятно, так и должно быть (например потому что avz при выполнении своего скрипта уже все это удалил) или это говорит о какой-то неожиданной ошибке ?

    Выслал новый лог gmer.


    Способ лечения отдельно взятой машины в общем понятен, главный вопрос в том, как закрыть машину от повторного заражения из сети ?

    После всего проделанного и удаления файла с вирусом (C:\WINDOWS\system32\lpbfunw.dll), а также удаления скрытых служб через некоторое время снова появляется файл (C:\WINDOWS\system32\lpbfunw.s) и включенный KAV детектирует в нем Kido.ih
    Загнал этот файл тоже в карантин и могу выслать по вашему требованию.

    Получается что вирус снова как-то просачивается на компьютер. Вопрос как это остановить?

    Причем компьютер уже на всякий случай отключен от локальной сети.
    Вложения Вложения
    • Тип файла: log gmer2.log (185.7 Кб, 5 просмотров)
    Последний раз редактировалось Rene-gad; 09.06.2009 в 15:09.

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2996
    http://support.kaspersky.ru/faq/?qid=208636215 - скачайте и запустите.

  8. #7
    Junior Member Репутация
    Регистрация
    08.06.2009
    Сообщений
    7
    Вес репутации
    28
    Про результаты применения KK (KidoKiller) 3.4.7 я писал в первом сообщении. Он видит только задачи создаваемые вирусом в планировщике задач и прибивает их. В процессах он вируса не находит.

    Из трех рекомендованных заплаток у меня точно стояла одна, а две других наверно тоже уже проходили при регулярном обновлении Windows. Установил их все три еще раз на всякий случай.
    Но к сожалению это не помогает, стоит машине побыть 15-20 минут подключенной к сети, на ней снова появляется вирусный файл (c:\windows\system32\lpbfunw.s или lpbfunw.dll), который KAV тут же детектирует и предлагает лечить/удалить, лечение не выходит, а удалять вроде бы удаляет.

    Вопрос "как закрыть комп от сетевого заражения?" все еще актуален.

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2996
    Цитата Сообщение от Abark Посмотреть сообщение
    Вопрос "как закрыть комп от сетевого заражения?" все еще актуален.
    Давим!

  10. #9
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    Заблокировать доступ к TCP-портам: 445 и 139 с помощью сетевого экрана.
    Сделали?

  11. #10
    Junior Member Репутация
    Регистрация
    08.06.2009
    Сообщений
    7
    Вес репутации
    28
    Закрыть указанные порты в локальной сети нельзя, поскольку они нужны для служб netbios, используемых файл-сервером, и администрирования сети.

    Отдельный компьютер отключенный от сети вполне вылечивается, но по возвращении в сеть снова заражается несмотря на все установленные заплатки.

  12. #11
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Aleksandra
    Регистрация
    13.01.2007
    Сообщений
    7,662
    Вес репутации
    2817
    Лог Gmer после лечения чистый.

    Цитата Сообщение от Abark Посмотреть сообщение
    Отдельный компьютер отключенный от сети вполне вылечивается, но по возвращении в сеть снова заражается несмотря на все установленные заплатки.
    Прочитайте http://virusinfo.info/showpost.php?p=390614&postcount=3
    Наша служба, будто сердце, отдыха не знает никогда.

  13. #12
    Junior Member Репутация
    Регистрация
    08.06.2009
    Сообщений
    7
    Вес репутации
    28
    Большое спасибо Alexandra за полезную ссылку.

    Да лог gmer на отдельной машине чистый.

    Взгляд на парк серверов показал что там не везде стоят заплатки, и учитывая административные привелегии серверов видимо зараза рассылается по сети оттуда. Будем лечить сервера. О результатах отпишусь через день-два.

  14. #13
    Junior Member Репутация
    Регистрация
    08.06.2009
    Сообщений
    7
    Вес репутации
    28
    После накатывания патчей и обновлений на все сервера (было в частности забыто обновить свежеустановленный сервер), а также установки антивируса на некоторые машины пользователей (выявить которые удалось с помощью снифера и централизованной админской консоли KAV) вирус практически полностью изведен, и не подает признаков жизни уже сутки.
    Вывод из случившегося: не нужно искать хитрых способов распространения вируса, когда есть дырявые сервера и включены сервисы администрирования Windows, для вируса этого вполне достаточно. Хорошо хоть KAV в резидентном режиме сразу определял появляющиеся зараженные файлы и предлагал их прибить.

    Огромное всем спасибо.

  15. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,511
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 3
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\windows\system32\lpbfunw.dll - Net-Worm.Win32.Kido.ih ( DrWEB: Win32.HLLW.Autoruner.5555, BitDefender: Win32.Worm.Downadup.Gen )


  • Уважаемый(ая) Abark, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Net-Worm.Win32.Kido.ih и Worm.Win32.AutoRun.ezt
      От zagraba в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 06.12.2009, 11:53
    2. Ответов: 24
      Последнее сообщение: 12.04.2009, 00:10
    3. Net-Worm.Win32.Kido.dv
      От Oldmans в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 24.02.2009, 16:31
    4. Net-Worm.Win32.Kido.dl
      От squirrel_55 в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 22.02.2009, 10:17
    5. Net-Worm.Win32.Kido.bt
      От patryk в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 03.02.2009, 17:17

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00260 seconds with 23 queries