Printable View
Проблема такова: др. Вебом находится ip6fw.sys инфицированный каким то трояном - удаляется, но после перезагрузки появляется снова. С помощью Gmer (антитроян) обнаруживается скрытый сервис runtime2.sys и процесс IEXPLORE.EXE. В интернете при этом летит входящий и иcходящий трафик. Прошу о помощи. Заранее благодарю!
1. Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_QrFile('C:\WINDOWS\system32\ntos.exe');
BC_DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
2. Сразу после выполнения первого и перезагрузки - выполнить:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DelCLSID('33331111-1111-1111-1111-615111193427');
QuarantineFile('C:\Program Files\MATLAB704\toolbox\vipblks\vipmex\sviphoughlines.dll',''); SetAVZGuardStatus(true);
QuarantineFile('\SystemRoot\System32\drivers\hl_mull.SYS','');
QuarantineFile('\SystemRoot\System32\DRIVERS\smtpdrv.sys','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
ClearHostsFile;
BC_ImportALL;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)
3. После выполнения всего вышеуказаного - сделайте логи заново.
Прикрепил карантин. Вставляю новые логи...
Что скажете?
[B]C:\WINDOWS\System32\DRIVERS\smtpdrv.sys[/B] - [COLOR="Blue"]Email-Worm.Win32.Agent.l [/COLOR]
(по Касперскому),второй файл оторый попал в карантин чистый
[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
SetServiceStart('RemoteRegistry', 4);
DeleteFile('\SystemRoot\System32\DRIVERS\smtpdrv.sys');
BC_DeleteFile('\SystemRoot\System32\DRIVERS\smtpdrv.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
[/CODE]
Повторите логи
Все сделал, но почему то не получается прикрепить логи через управление вложениями, пишет "ошибка загрузки". Как прикрепить по другому?
удалите более ранние логи и попробуйте ...
Прикрепил новые логи...
в логах ничего подозрительного не вижу ....
из этого что вам нужно ?
[I]Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
[/I]будем закрывать потенциальные уязвимости?
Перечисленные службы поотключал через панель управления-администрирование-службы. А вот это:
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
будем закрывать потенциальные уязвимости?
Где эти доступы закрыть можно? что-то не найду
да в логе же, который приложили всё уже готово- только нажать надо ;)
[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.[/code]
Все сделал, большое спасибо за помощь!
Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL])"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить,[URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!
Удачи!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\smtpdrv.sys - [B]Email-Worm.Win32.Agent.l[/B] (DrWEB: Trojan.NtRootKit.360)[/LIST][/LIST]