неубиваемый процесс l33t.exe

Printable View

Показывать 40 сообщений этой темы на одной странице

05.10.2007, 12:38
gomez

Вложений: 3

неубиваемый процесс l33t.exe

Добрый день. Прошу помочь.
Никак не могу убить вирус.

Система: winXP sp2 лицензия
Антивирус: nod32 (c последним обновлением)

nod32 после каждой загрузки обнаруживает вирус, который идентифицирует как win32/TrojanDownloader.Agent.BRK троян

в процессах после каждой перезагрузки появляется процесс l33t.exe

Проблемы, которые доставляет: вырубило драйвера: сетевуху, аудиоустройства.
Не могу соединиться по dialup-у... пишет ошибку 633. типа com1 уже используется...

Систему сносить НЕЛЬЗЯ, иначе уже бы всё переустановил.

ОЧЕНЬ прошу помочь в решении проблемы!
05.10.2007, 12:41
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\bn.dll','');
QuarantineFile('C:\WINDOWS\system32\l33t.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
05.10.2007, 13:01
gomez

[quote=Bratez;139943]
Карантин из сообщения уберите, его загружать по ссылке вверху темы.[/quote]

не понял...
Всё... понял...
Сделал...

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Файл сохранён как 071005_040102_virus_4705fd4e60260.zip
Размер файла 35598
MD5 976508d76c46f8c6f1316e410b1994ae
05.10.2007, 13:03
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\bn.dll');
DeleteFile('C:\WINDOWS\system32\l33t.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Пофиксите в HijackThis:
[code]
O20 - Winlogon Notify: bnreg - C:\WINDOWS\
[/code]
Сделайте новые логи.
05.10.2007, 13:07
gomez

[quote=Bratez;139949]
Пофиксите в HijackThis:
[code]
O20 - Winlogon Notify: bnreg - C:\WINDOWS\
[/code][/quote]

Как сделать это?
Уже нашел... Делаю...
05.10.2007, 13:11
Bratez

[url]http://virusinfo.info/showthread.php?t=4491[/url]
05.10.2007, 13:38
gomez

Вложений: 3

после перезагрузки процесс l33t.exe не появился :)

после перезагрузки процесс l33t.exe не появился :)

При сканировании AVZ откопал в папках /clent/ и /1/client/ пару файлов и поместил их в карантин.

Дело в том, что это папки системы клиент-банк.

Но с модемом осталась таже проблема... Не хочет соединяться... Пишет, что сom1 порт занят...
05.10.2007, 14:03
gomez

to Bratez...
Какие теперь мои действия?
Жду ответа.
05.10.2007, 14:09
PavelA

O23 - Service: l33t - Unknown owner - C:\WINDOWS\system32\l33t.exe (file missing)

Вот это надо подчистить, желательно в защищ. режиме:
[CODE]
begin
BC_DeleteSvc('l33t');
BC_Activate;
RebootWindows(true);
end.[/CODE]
05.10.2007, 14:19
Bratez

1. Упс! Упустили мы с вами важный момент - восстановление системы надо отключить, там могли остаться копии зловредов.

2. Что-то новенькое в логах. Выполните такой скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\smh.dat','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите новый карантин по правилам.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

3. Пока мы будем карантин смотреть, подумайте, что вам реально нужно из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Что не нужно - будем отключать.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote]При сканировании AVZ откопал в папках /clent/ и /1/client/ пару файлов и поместил их в карантин.
Дело в том, что это папки системы клиент-банк[/quote]
Помещение в карантин - это просто копирование, а не изъятие файла, так что за Банк-клиент не беспокойтесь.
05.10.2007, 14:29
gomez

[quote=PavelA;139969]O23 - Service: l33t - Unknown owner - C:\WINDOWS\system32\l33t.exe (file missing)

Вот это надо подчистить, желательно в защищ. режиме:
[code]
begin
BC_DeleteSvc('l33t');
BC_Activate;
RebootWindows(true);
end.[/code][/quote]

сделал

[size="1"][color="#666686"][B][I]Добавлено через 41 секунду[/I][/B][/color][/size]

[quote=Bratez;139973]1. Упс! Упустили мы с вами важный момент - восстановление системы надо отключить, там могли остаться копии зловредов.

2. Что-то новенькое в логах. Выполните такой скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\smh.dat','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите новый карантин по правилам.
[/quote]

сделал

[size="1"][color="#666686"][B][I]Добавлено через 44 секунды[/I][/B][/color][/size]

готово:
Файл сохранён как 071005_052708_virus_4706117cee9e7.zip
Размер файла 586
MD5 631edaacc99b959afa3084b790c32b48

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр) не нужно
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов) не нужно
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP) не нужно
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий) не нужно
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing) не нужно
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола) не нужно
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM не нужно
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...) нужно... Хотя не до конца понимаю что это...
>> Безопасность: к ПК разрешен доступ анонимного пользователя нужно
>> Безопасность: Разрешена отправка приглашений удаленному помошнику не нужно
05.10.2007, 14:32
Bratez

Файл в карантин не попал, хотя он однозначно существует.
Попробуйте найти вручную [b]C:\WINDOWS\system32\smh.dat[/b].
05.10.2007, 14:34
gomez

такого файла нет...
05.10.2007, 14:35
Bratez

[quote]нужно... Хотя не до конца понимаю что это... [/quote]
Это значит, что зная ваш пароль администратора, можно по локалке открыть ваши диски. А если пароля Администратора нет, значит просто можно.
05.10.2007, 14:43
gomez

понял... знасит НУЖНО :D

Какие действия дальше?
05.10.2007, 14:50
Bratez

Лишние сервисы отключаем скриптом:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
Скрипт карантина из сообщения #10 выполните в безопасном режиме, может все-таки попадет (он там есть 100%).
05.10.2007, 14:59
gomez

[quote=Bratez;139994]Лишние сервисы отключаем скриптом:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
Скрипт карантина из сообщения #10 выполните в безопасном режиме, может все-таки попадет (он там есть 100%).[/quote]

сделал
05.10.2007, 15:03
Bratez

Файл попал в карантин?
05.10.2007, 15:11
gomez

по-моему нет... сделал всё как Вы и советовали в safe mode-е.

Файл сохранён как 071005_060816_virus_47061b208f9da.zip
Размер файла 586
MD5 eda78e0c454a2a937fc012dd178dd7dc

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Для меня САМЫЙ главный вопрос... Почему может не работать dial-up?... Нужен для client-bank...
Пишет ошибку 633, что com1 порт занят...
переустановка драйвера модема и порта не помогла... :(
Я думал, что проблема связана с вирусом...
Что-нибудь вообще можно сделать?
05.10.2007, 15:22
Bratez

Я тут погуглил... этот файл видимо от SuperUtilities, так что оставим его в покое. На этом наверно всё... Сделайте для контроля логи, начиная с п.10 правил.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

А SuperUtilities вы давно поставили? Его не было в первых логах...

Показывать 40 сообщений этой темы на одной странице