Printable View
[COLOR=black]Здравствуйте еще раз![/COLOR]
[COLOR=black]Дошли руки до остальных компьютеров из сети.[/COLOR]
[COLOR=black]Ранее был проверен основной компьютер - шлюз, (оказался чистым)[/COLOR]
[COLOR=black]через который кто-то из нашей сети открывает соединения на порту 25 (так сказал провайдер).[/COLOR]
[COLOR=black]Теперь отрываю новую тему, данные с компа, вызывающего наибольшие подозрения, в данный момент интернет ему перекрыт,[/COLOR]
[COLOR=black](на момент скриптов открывался).[/COLOR]
СП1 уже давно устарел. Нужно ставить СП2.
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\kprof','');
QuarantineFile('C:\WINDOWS\System32\poof','');
DeleteFile('C:\WINDOWS\System32\kprof');
DeleteFile('C:\WINDOWS\System32\poof');
BC_ImportAll;
BC_DeleteSvc('kprof');
BC_DeleteSvc('poof');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Загрузить карантин.
Эх, опередили... ;)
После скрипта сделайте новые логи.
Продолжаем разговор.
Карантин отсюда надо убрать. Здесь ему не место.
[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]
kprof - Hacktool.Rootkit (по Симантеку)
Профиксить:
[CODE]O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users.WINDOWS\Документы\Settings\arm32.dll (file missing)[/CODE]
Файл сохранён как 070913_102158_virus_46e955963c2cd.zip
Размер файла 20483
MD5 f7128dcd3b18c85d833d5a41f860299f
Нужно и след. карантин тоже загрузить. Там от Питона что-то интересное попало.
Активного заражения больше нет.
Вот это посмотрите:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> разрешена потенциально опасная служба Messenger (Служба сообщений)
>> разрешена потенциально опасная служба Alerter (Оповещатель)
>> разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX[/code]
Что не используется - надо поправить.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
И обязательно "фиксить" это:
[quote]
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
[/quote]
т.е. ставить SP2 + последующие обновления,
чем скорее, тем лучше.
[quote=Bratez;134391]Активного заражения больше нет.[/quote]
А из чего это следует и надо ли еще что-то делать?
[quote=Bratez;134391]И обязательно "фиксить" это:
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) [/quote]
Не нашел я этогого в Хиджеке.
+100 :) :) ;)
Это сервиспак от Майкрософт. Фиксится путем захода на сайт Microsoft Update, либо поиском СД с ним.
Грешно смеятся над пользователями больных компьютеров.
Мне с этим компом какие-нибудь еще манипуляции производить?
Мне грустно, а не смешно.
Если СП2 не будет установлен, то скорее всего через пару недель или ранее Вы будете снова лечится в этом разделе.
В соседней теме так и произошло. См. про то, что было с Not
[quote=Bratez;134391]>> Безопасность: к ПК разрешен доступ анонимного пользователя[/quote]
А как его отключить?
Можно через Панель управления -- администрирование -- упр-е компьютером -- отключить запись Гостя (Guest).
Отключил.
А СП2 ставить боюсь ибо у меня 1С лицензионная.
Если после установки СП она слетит меня сотрудники прибьют.
2 KIS6.0 на шлюзе и на этом компе надолго оттянут агонию?
[QUOTE='VladYur;134633']А СП2 ставить боюсь ибо у меня 1С лицензионная.
Если после установки СП она слетит меня сотрудники прибьют.[/QUOTE]
Не должна слететь. Тем более - лицензионная. Значит, и ключ есть, и дистрибутив. Конфигурацию и базы можно заархивировать во избежание. Даже не можно, а нужно, и не разово, а ежедневно - мало ли что.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\kprof - [B]Trojan-Proxy.Win32.Wopla.ag[/B] (DrWEB: Trojan.NtRootKit.219)[*] c:\\windows\\system32\\poof - [B]Trojan-Proxy.Win32.Wopla.ag[/B] (DrWEB: Trojan.NtRootKit.218)[/LIST][/LIST]