Обнаружен вирус Hacktool.Rootkit!! Что делать?

Printable View

29.12.2007, 22:35
putnik82

Вложений: 3

Обнаружен вирус Hacktool.Rootkit!! Что делать?

Антивирь обнаружил вирус Hacktool.Rootkit в зараженном файле wincab.sys. Удалить не может. Вернее удаляет и тут же зависает! При следующей перезагрузке компа повторяется то же самое (вирус обнаруживается, удалаяется и Симантек зависает). Также при включении и выключении компа стало появлятся сообщение об ошибке приложения amvo.exe следующего содержания: "Инструкция по адресу "0х10013f72" обратилась к памяти по адресу "0х000000ff". Память не может быть "read". Такая же вещь происходит и на рабочем ноутбуке. Подскажите пожалуйста как справится с этой проблемой.Для начала выкладываю логи с домашнего компа.
29.12.2007, 22:39
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=15803"]этой[/URL] ссылке. Повторите логи.
30.12.2007, 00:30
putnik82

Вложений: 3

Карантин загрузил по ссылке. Для карантина только пароль на архив должен быть "virus" или также такое же имя архива? Если что-то не так с карантином, то загружу по новой. Выкладываю повторно логи после выполнения скрипта.
30.12.2007, 01:34
putnik82

Что дальше нужно делать?
30.12.2007, 08:26
Bratez

В карантине:
amvo0.dll, amvo.exe - [b]Worm.Win32.AutoRun.bfs[/b]

Поищите с помощью AVZ - Сервис - Поиск файлов на диске
файл [b]usdeiect.com[/b].
Пришлите один экземпляр по правилам.
У себя удалите везде, где найдется.

Посмотрите, нужно ли вам что-то из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Лишнее отключим.

[quote]
>> Нарушение ассоциации PIF файлов
>> Нарушение ассоциации SCR файлов
[/quote]
Это можно исправить в AVZ через "Мастер поиска и устранения проблем".
30.12.2007, 13:24
putnik82

Вложений: 3

usdeiect.com нигде не детектится. Сегдня с утра появилась новая проблема Симантик обнаружил W32.Gammia. Сделал проверку Симантиком в безопасном режиме - был удален Downloader amvo1.dll в system32. После этого Симантик вроде бы успокоился. Но не работает функция "показывать скрытые файлы" (отключилась). Как ее восстановить? Выкладываю новые логи, высылаю карантин и жду ответа и подсказки что необходимо предпринимать дальше.
30.12.2007, 13:34
Bratez

Выполните такой скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\amvo.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.[/code]
Потенциально опасные сервисы будем отключать?
30.12.2007, 13:44
putnik82

Выполнил скрипт. Показ скрытых файлов заработал. Насчет потенциально опасных сервисов можно поподробнее?? Я просто не в курсе что можно отключить, а что нет. Комп испульзуется дома без локальной сети
30.12.2007, 13:50
Bratez

Вот скрипт для отключения ненужного:
[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
(оставил только автозапуск CD).

[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]

Сделайте новые логи, начиная с п.10 правил.
30.12.2007, 14:01
putnik82

Ок. Скрипт выполнил. Логи выложу ближе к вечеру.
30.12.2007, 22:18
putnik82

Вложений: 2

Выкладываю 2 лога. Лог "virusinfo_syscheck.zip" AVZ не выдает и после выполнения стандартного скрипта №2 закрывается без сохранения данного лога. В ходе проверки обнаруживает два подозрительных файла:
1 - dpl100.dll.BAK в system32,
2 - winrar.exe.bak в папке C:\Program Files\WinRAR.
Также высылаю карантин.
30.12.2007, 22:27
V_Bond

пофиксите ...
[code]
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\Program Files\ASWPro\SSS.sys','');
QuarantineFile('C:\WINDOWS\system32\Filt\ASWFilt.dll','');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
30.12.2007, 22:35
putnik82

Код:
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
прога Hijackthis не находит поэтому пофиксить не могу. Скрипт выполнять?
30.12.2007, 22:41
V_Bond

да ...
30.12.2007, 22:54
putnik82

Скрипт выполнил. Карантин отослал. Комп после выполнения скрипта сам перезагрузится не смог-завис. Пришлось жестоко с кнопки перезагрузить((.
30.12.2007, 23:21
V_Bond

SSS.sys- поищите при помощи avz .... если найдется пришлите по правилам
30.12.2007, 23:33
putnik82

Неа - SSS.sys при помощи avz нигде не определился. Повторная перезагрузка компа прошла успешно!! После нового гда обращусь за помощью по удалению руткитов с рабочего ноута. Спасибо за помощь! С Наступающим 2008-м!!:smile: И удачи всем хэлперам, администраторам,модераторам, пользователям данного сайта и всем-всем-всем, кто читает данное сообщение!!
30.12.2007, 23:45
rubin

Если файла нет, почистим мусор:
[code]begin
BC_DeleteFile('C:\Program Files\ASWPro\SSS.sys');
BC_DeleteSvc('AntiSpyWareProFilter');
BC_Activate;
RebootWindows(true);
end.[/code]
С Наступающим! :smile:
31.12.2007, 00:11
putnik82

Ок. Почистил!
22.02.2009, 03:17
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Worm.Win32.AutoRun.bhx[/B] (DrWEB: Win32.HLLW.Autoruner.1053)[*] c:\\windows\\system32\\amvo.exe - [B]Worm.Win32.AutoRun.bfs[/B] (DrWEB: Trojan.PWS.Wsgame.2387)[*] c:\\windows\\system32\\amvo0.dll - [B]Worm.Win32.AutoRun.bfs[/B] (DrWEB: Trojan.PWS.Wsgame.2387)[*] d:\\autorun.inf - [B]Worm.Win32.AutoRun.bhx[/B] (DrWEB: Win32.HLLW.Autoruner.1053)[/LIST][/LIST]