Printable View
Вчера вечером заходил к знакомым в их организацию, попросили посмотреть, что с компьютером.
Попробовал запустить CureIt - не запускается (или вываливается сразу при запуске). AVZ нашел перехваченные функции и маскировку процесса SVCHOST.EXE, известных вирусов не нашел.
AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\crsss.exe','');
QuarantineFile('C:\WINDOWS\system32\winlogon.exe','');
QuarantineFile('c:\windows\system32\mswn.exe','');
QuarantineFile('C:\WINDOWS\System32\ALSNDMGR.CPL','');
QuarantineFile('C:\WINDOWS\System32\szsvc.exe','');
QuarantineFile('C:\WINDOWS\System32\crsrs.exe','');
QuarantineFile('C:\WINDOWS\System32\winmsfw.exe','');
QuarantineFile('c:\windows\system32\msqe32.dll','');
QuarantineFile('c:\windows\system32\winmsfw.exe','');
QuarantineFile('C:\WINDOWS\System32\SVCHOST.EXE','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_copy.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
[B]boot_copy.log[/B]- из папки AVZ прикрепить к вашему следующему ответу
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11365[/url]
вот эти файлы поискать из safe mode через AVZ по 2 приложению правил и также прислать:
[B]anvninstall.hta
ebeelinstall.hta[/B]
Как можно скорее прислать, можете звонить вашим знакомым в организацию , чтобы быстрее прочитали и выполнили. Пока только для классификации и исследования .Потом будем удалять. Стоит проверить все компьютеры, для каждого создать новую тему.
Один из вариантов живущих на данном компьютере- это кейлоггер, записывает все(и/или )определённые нажатия клавиш на клавиатуре и отсылает создателю)Возможно заказной зверь;)Промышленный шпионаж в действии .Сообщить руководству организации немедленно.
P.S. Скачать последний релиз HijackThis(ссылка в правилах).Правила нужно читать перед каждым запросом о помощи.
P.P.S.Заплатки на решето кто будет ставить? Админ собственно где?
[QUOTE=drongo;125089]
Как можно скорее прислать, можете звонить вашим знакомым в организацию , чтобы быстрее прочитали и выполнили. Пока только для классификации и исследования .Потом будем удалять. Стоит проверить все компьютеры, для каждого создать новую тему.
Один из вариантов живущих на данном компьютере- это кейлоггер, записывает все(и/или )определённые нажатия клавиш на клавиатуре и отсылает создателю)Возможно заказной зверь;)Промышленный шпионаж в действии .Сообщить руководству организации немедленно.
P.S. Скачать последний релиз HijackThis(ссылка в правилах).Правила нужно читать перед каждым запросом о помощи.
P.P.S.Заплатки на решето кто будет ставить? Админ собственно где?[/QUOTE]
Вряд ли промшпионаж - бюджетники, больница, компов штук 5. Случайно, наверное, занесли - может с какими программами, а может, по инету. Админа как такового нет.
Сегодня вечером схожу и проделаю все действия.
[size="1"][color="#666686"][B]Добавлено через 6 часов 49 минут[/B][/color][/size]
[QUOTE=drongo;125089][B]boot_copy.log[/B]- из папки AVZ прикрепить к вашему следующему ответу
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11365[/url]
вот эти файлы поискать из safe mode через AVZ по 2 приложению правил и также прислать:
[B]anvninstall.hta
ebeelinstall.hta[/B]
[/QUOTE]
hta.zip - anvninstall.hta и ebeelinstall.hta
quarantin.zip - файлы карантина
В принципе, CrueIt запустился в защищенном режиме и начал лечить, так что, возможно, и проблем особых нет.
После лечения поставить SP2 и кучу заплаток после ;)
сделать новые логи для контроля.Скажите, чтобы поменяли пароли.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]27[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\anvninstall.hta - [B]Worm.Win32.Feebs.gen[/B] (DrWEB: Win32.HLLM.Graz)[*] c:\\windows\\system32\\msqe32.dll - [B]Worm.Win32.Feebs.kq[/B] (DrWEB: Win32.HLLM.Graz)[*] c:\\windows\\system32\\mswn.exe - [B]Worm.Win32.Feebs.kq[/B] (DrWEB: Win32.HLLM.Graz)[*] c:\\windows\\system32\\winmsfw.exe - [B]Backdoor.Win32.Rbot.bll[/B] (DrWEB: Win32.HLLW.MyBot.based)[*] \\ebeelinstall.hta - [B]Worm.Win32.Feebs.gen[/B] (DrWEB: Win32.HLLM.Graz)[/LIST][/LIST]