Printable View
Добрый день.
За последние 4 дня мне два раза взламывали часть сайтов и внедряли вредоносный код. Сайты на разных хостингах, поэтому есть большие подозрения на шпиона, который ворует пароли. Спасибо за помощь!
[ATTACH]431215[/ATTACH]
[ATTACH]431217[/ATTACH]
[ATTACH]431216[/ATTACH]
P.S. на всякий случай прикреплю код, который мне внедряют. Может вы сможете сказать, что он делает? В сети нашел много сайтов, пораженных им.
[ATTACH]431218[/ATTACH]
Уважаемый(ая) [B]Grimmo[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
Лог МВАМ.[ATTACH]431363[/ATTACH]
Да, видимо, действительно взламывали.
Закройте MBAM.
Выполните скрипт в AVZ:[code]begin
QuarantineFile('C:\Users\Дом\AppData\Local\Temp\dmp5107896947823152139.0mp', 'MBAM: Trojan.Ransom.FV');
QuarantineFile('C:\Users\Дом\AppData\Local\Temp\dmp6209466530659503894.0mp', 'MBAM: Trojan.Agent.SZ');
QuarantineFile('C:\Users\Дом\AppData\Local\Temp\~DF6901860350202837679.0mp', 'MBAM: Trojan.Zbot.RV');
QuarantineFile('C:\Users\Дом\AppData\Local\Temp\~dkf4516780841866378062.0mp', 'MBAM: Trojan.Zbot.RV');
QuarantineFile('C:\Users\Дом\AppData\Local\Temp\~tmp1852498692460822427.0mp', 'MBAM: Trojan.PWS.Zbot');
QuarantineFile('C:\Users\Дом\AppData\Local\Temp\~tpf2502012477658043846.0mp', 'MBAM: Trojan.FakeFlash.ED');
QuarantineFile('C:\Users\Дом\AppData\Local\Temp\~tpf4968545746706103919.0mp', 'MBAM: Trojan.FakeMS');
QuarantineFile('C:\Windows\kmsem\KMService.0xe', 'MBAM: Trojan.FakeAlert');
QuarantineFile('E:\К Н И Г И\Биз\street-marketing-pobednye-priemy-i-novye-resheniya.torrent.exe', 'MBAM: PUP.BundleInstaller.MB');
DeleteFile('C:\Users\Дом\AppData\Local\Temp\dmp5107896947823152139.0mp');
DeleteFile('C:\Users\Дом\AppData\Local\Temp\dmp6209466530659503894.0mp');
DeleteFile('C:\Users\Дом\AppData\Local\Temp\~DF6901860350202837679.0mp');
DeleteFile('C:\Users\Дом\AppData\Local\Temp\~dkf4516780841866378062.0mp');
DeleteFile('C:\Users\Дом\AppData\Local\Temp\~tmp1852498692460822427.0mp');
DeleteFile('C:\Users\Дом\AppData\Local\Temp\~tpf2502012477658043846.0mp');
DeleteFile('C:\Users\Дом\AppData\Local\Temp\~tpf4968545746706103919.0mp');
DeleteFile('C:\Windows\kmsem\KMService.0xe');
DeleteFile('E:\К Н И Г И\Биз\street-marketing-pobednye-priemy-i-novye-resheniya.torrent.exe');
ExecuteWizard('SCU',3,3,true);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Карантин выслал.
П.С. не знаю,относится ли к делу, но сейчас, если поставить Comodo в параноидальный режим, то при каждом действии (открытие программ, сохранении), и иногда даже без действия, он сигнализирует о том, что svhost.exe хочет создать файл в папке tmp. (скрин прилагаю)
[ATTACH=CONFIG]431385[/ATTACH]
На то этот режим и называется параноидальным ;) В нём работать просто невозможно. "Безопасный" - и настроить правила для всех используемых приложений, а неизвестные обрабатывать как подозрительные. Comodo при должной настройке - вполне бронебойное решение.
Кстати, TrustPort зачем установлен? Два антивируса в системе - лишние тормоза и конфликты.
Выполните скрипт в AVZ при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
:D Это я от собственной паранойи на время активировал параноидальный режим)
У меня не два антивируса. TrustPort - антивирус, Comodo - фаервол и проактивная защита. Хотя, может стоит купить Комодо антивирь и все делать одной программой...
Все уязвимости по логу устранил. Большое спасибо за уделенное мне время!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\дом\\appdata\\local\\temp\\~df6901860350202837679.0mp - [B]Trojan-Spy.Win32.Zbot.lwzf[/B] ( BitDefender: Trojan.GenericKD.1016730, AVAST4: Win32:Malware-gen )[*] c:\\users\\дом\\appdata\\local\\temp\\~dkf4516780841866378062.0mp - [B]Trojan-Spy.Win32.Zbot.mpyf[/B] ( BitDefender: Gen:Variant.Kazy.197867 )[*] c:\\users\\дом\\appdata\\local\\temp\\dmp5107896947823152139.0mp - [B]Trojan-Spy.Win32.Zbot.mcpe[/B] ( BitDefender: Trojan.GenericKDZ.21325, AVAST4: Win32:Malware-gen )[*] c:\\users\\дом\\appdata\\local\\temp\\dmp6209466530659503894.0mp - [B]Trojan-Spy.Win32.Zbot.mast[/B] ( BitDefender: Gen:Variant.Symmi.21072, AVAST4: Win32:Malware-gen )[*] c:\\users\\дом\\appdata\\local\\temp\\~tmp1852498692460822427.0mp - [B]Trojan-Spy.Win32.Zbot.nlkd[/B] ( BitDefender: Gen:Variant.Symmi.23083, AVAST4: Win32:Malware-gen )[*] c:\\users\\дом\\appdata\\local\\temp\\~tpf2502012477658043846.0mp - [B]Trojan-Spy.Win32.Zbot.nraw[/B] ( BitDefender: Gen:Variant.Symmi.26538, AVAST4: Win32:VBCrypt-CMB [Trj] )[*] c:\\users\\дом\\appdata\\local\\temp\\~tpf4968545746706103919.0mp - [B]Trojan-Spy.Win32.Carberp.xnb[/B] ( BitDefender: Gen:Variant.Kazy.207800, AVAST4: Win32:ZAccess-RY [Trj] )[*] e:\\к н и г и\\биз\\street-marketing-pobednye-priemy-i-novye-resheniya.torrent.exe - [B]not-a-virus:WebToolbar.Win32.MultiBarDownloader.q[/B][/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]