Вложений: 3
Win32/Alman.C RootKit vir! (nvmini.sys...)
Как вылечить систему от Win32/Alman.C - ???
У меня таких машинок несколько- симптомы одни и те-же.
система везде установлена WinXP-PRO SP2 и на двух машинка - WinXP-Home-SP2.
Конкретный подопытный - WinXP-PRO SP2.
эта тварь постоянно записывает два файла [B]\WinDir\system32\drivers\nvmini.sys[/B] и [B]\WinDir\linkinfo.dll[/B]
и не дает их удалить! (в Safe-mode - nvmini.sys удаляется, но после перезагрузки появляется снова)
Далее эта тварь заражает все EXE файлы на рассшаренных дисках в сети (увеличивая их размер) а также
при подключении USB-флешки записывает туда 2 файла. AUTORUN.INF и boot.exe (который при подключении к другой машине, сразуже устанавливает новое оборудование на уровне драйверов)
Она также прописала себя в реестр во многих местах.
----
[LIST][*][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_NVMINI\0000][*][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_NVMINI\0000][*][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\nvmini][*][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\nvmini\Security][*][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_NVMINI][*][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_NVMINI\0000][*][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NVMINI][*][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NVMINI\0000][/LIST]
(Для данной машинки если надо, то есть полный Ескпорт этих веток в ТХТ-файл)
[B]Теперь по поводу описанной методики проверки! [/B]
Выполнил все пункты с той только разницей, что невозможно было загрузиться в SAFE-MODE и выполнить DrWeb-CureIt- (его пришлось погнать в нормальном режиме) Машина при попытке загрузиться в безопасном режиме --- почти доходит до графического режима и вылетает с синим экраном на секунду, затем идет на перезагрузку.
Мои действия были следующими!
(Все проходило в нормальном режиме!!! не в безопасном)
1. Отключил все Антивири и все, что не обьязательно...
2. Отключил востановление Системы!
3. Запустил развернутый DrWeb (c CD!) с последним обновлением на предмет лечить и проверить все диски! Нашел кучу всего и либо вылечил либо удалил! (Лог Файл есть, если надо вышлю.)
4. Запустил DrWeb-CureIt. сохранил лог.
5. Запустил AVZ - (Как в пункте 8. инструкции)
6. Перезагрузился.
7. Выполнил пункт 10-инструкции.
8. Выполнил пункт 12 - инструкции.
после всех этих пунктов...(которые я проделал по инструкции) файлы [B]\WinDir\system32\drivers\nvmini.sys[/B] и [B]\WinDir\linkinfo.dll[/B]
исчезли - вродебы-??? (по крайней мере после 3-х перезагрузок, они не появились на своих местах и Total-Commander их нигде не нашел) но записи в реестре остались нетронутыми..
(это все на данной конкретной машинке)
вот теперь дошол до 14-го пункта инструкци и высылаю требуемые файлы!
(желательно найти решение подходящее для всех остальных машин с этими-же симтомами)
с ув. [I][B]Il@k[/B][/I].:?
nvmini.sys пропал со всех зараженных машин! (Он что Мутирует ????)
Выполнил, все по указанным пунктам!
Карантин выслал, Указанную строку пофиксил!
Выслал по ссылке в шапке архив с содержимым еще двух архивов с вирями!
В архиве два варианта зараженных файлов с 2-х разных машинок,
так как на подопытном кролике еще после вчерашних базовых манипуляций пропали оба файла!
Сегодня искал файл nvmini.sys везде, на всех зараженных машинках,
он просто исчез со всех зараженных машин,
(толи он мутирует, толи как переименовал себя не знаю...) поэтому высылаю то, что удалось откопать в своей сети!
а это именно файлы linkinfo.dll которые на обеих машинках антивирусы распознали как ТРОЯН!
но называли их сосвсем по разному! На обеих машинках как и на подопытном, остались записи в реестре насчет nvmini!
Какаято еще другая гадость сидит в подопытном, периодически открывает IE-и вызывает какуюто КИТАЙСКУЮ страницу,
хотя в системе бровзером по Дефолту- указана Мозила!
Ссылку запомнить не удалось, но похоже, это было связано с той строчкой которую пофиксили...
так как счас уже 30 минут как не всплывает IE с этой страницей!
что дальше :? ... жду инструкций!
[size="1"][color="#666686"][B]Добавлено через 30 минут[/B][/color][/size]
Неа! Толькочто вспла IE-со страницей [url]hXXp://www.cydf.org.cn[/url]
Предварительный скриптик выполнил
После поФиксиння перезагрузился и проверил HijackThis
строка: O20 - AppInit_DLLs: 49400M.49400
не появилась!
[B]Cпасибо Огромное! [/B]
[I][B]Жду дальнейших команд![/B][/I]
Насчет паролей! Я уже приказал всем своим сменить пароли везде (как в сети, так и кто-куда лазит) Это было первое, что я сделал, как только обнаружил первый зараженный комп и прочитал, что это за гадость. !
С понедельника, кто у меня сам не сменил пароль, тот принудительно будет отстранен на пару дней от компа, а за не выполненую свою работу, будет отчитываться перед нашим генеральным директором. ;) ...
Но я так смотрю, что еще не одну тему придется открыть, прежде чем я смогу считать, что вычистил свою сетку как минимум на 99%. :?:P
Надо будет в конце этой темы составить какой-то общий алгоритм для проверки и лечения всех моих машинок, так как они наверное заражены очень похоже на друг-друга... тоесть то! что мы нашли на этой машине, с большой вероятностью присутствует и на других! (Они все почти открывают одни и теже документы с одной и тойже общей папки и запускают одни и теже приложения на сервере!).
И затем уже открывать темы только для тех машин, на которых при повторном анализе будут найдены подозрительные расхождения!
с ув. [B]Il@k.[/B]
[size="1"][color="#666686"][B]Добавлено через 2 минуты[/B][/color][/size]
Да! что значит:
[QUOTE]
описания вашей компании не нашёл,
[/QUOTE]
Где не нашел??? Если надо могу дать наши реквизиты для проверки! но в PM.
Не вижу поправленного скрипта в 21:07 !!!
Я прогнал последним тот который видел! а именно:
[QUOTE]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINXPSP2\49400M.49400');
DeleteFile('c:\program files\common files\error report\svdll.dll');
DeleteFile('C:\WINXPSP2\system32\drivers\mxdispdr.sys');
DeleteFile('C:\WINXPSP2\system32\drivers\acpidisk.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[/QUOTE]
Так, что не знаю это тот подправленный или нет!
Зато с утра на одном из обьектов удалось поймать [B]nvmini.sys [/B]
что я и сделал и переслал как запрошенный файл (по ссылке в шапке) в архиве в месте с его linkinfo.dll -кой! -с того-же компа.
Надеюсь теперь ребятам удасться разобраться с логикой этой гадости! :P
с ув. [B][I]Il@k[/I][/B]
[size="1"][color="#666686"][B]Добавлено через 4 минуты[/B][/color][/size]
Пардон! Кажется я понял.. это разница в часе! у меня отображается, что Вы редактировали последний раз в 20:07!
Но я кажется прогонял этот скрипт гораздо позже! Но на всяк случай счас прогоню еще раз!
Сориентируйте меня! как обстоят дела ???
Сориентируйте меня плииз! как обстоят дела с разбором полетев этой гадости!!! ???
Я не тороплю никого, просто хочу сориентироваться, когда ждать окончательного приговора с чисткой реестра!
Мне надо запланировать глобальную чистку машинок, а это связано с полным отключением их от сети!!!
И хотелось бы уже иметь метод чистки реестра от тех записей! а с суботы начиная на мои посты не было никаких реакций!
Спасибо за понимание!
