c:\windows\system32\svchost.exe:ext.exe:$DATA

Printable View

03.01.2008, 22:36
magician73

Вложений: 3

c:\windows\system32\svchost.exe:ext.exe:$DATA

Добрый день.
Пару дней как стали появляться вирусы на компе.

Стоит подключиться к интернет как НОД 32 обнаруживает:

03.01.2008 21:20:44 Real-time file system protection file C:\WINDOWS\system32\DefLib.sys Win32/Rootkit.Agent.NCR trojan cleaned by deleting - quarantined NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\DOCUME~1\ADMIN\LOCALS~1\Temp\winlogon.exe.

а так же

"03.01.2008 21:44:48 HTTP filter file [URL]http://208.72.169.9/mm27nov.exe[/URL] probably a variant of Win32/Obfuscated trojan connection terminated - quarantined NT AUTHORITY\SYSTEM Threat was detected upon access to web by the application: c:\windows\system32\svchost.exe."

отрубаю инет, проверяю антивирусом все чисто, перезагрузка - все по новой.

AVZ говорит что [COLOR=#800080]c:\windows\system32\svchost.exe:ext.exe:$DATA[/COLOR]

Опасно - исполняемый файл в потоке NTFS - возможно, маскировка исполняемого файла

Прошу помочь с решением
03.01.2008, 22:46
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\LAA1E.tmp.exe','');
QuarantineFile('c:\docume~1\admin\locals~1\temp\winlogon.exe','');
DeleteFile('c:\docume~1\admin\locals~1\temp\winlogon.exe');
DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
BC_DeleteSvc('FCI');
BC_DeleteSvc('smtpdrv');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
03.01.2008, 23:23
magician73

карантин выслан согласно правилам
03.01.2008, 23:32
V_Bond

C:\WINDOWS\system32\LAA1E.tmp.exe [B]HEUR/Crypted[/B]
c:\docume~1\admin\locals~1\temp\winlogon.exe [B]TR/Proxy.Small.IH[/B]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\LAA1E.tmp.exe');
BC_ImportDeletedList;
BC_DeleteSvc('helpsvcWmiApSrv');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи ...
04.01.2008, 12:07
magician73

Вложений: 3

логи прикреплены
04.01.2008, 12:28
zerocorporated

1.В avz [URL="http://virusinfo.info/showthread.php?t=7239"]выполнить скрипт[/URL]:
[CODE]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\i386kd.exe','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.

2.Выслать карантин согласно приложению 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL]
04.01.2008, 13:08
magician73

По выполнению данного скрипта карантин не создается.
Выполнил данный скрипт без перезагрузки компьютера, выдается сообщение что скрипт удачно выполнен, но вот что говорит лог:

1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=082B80)
Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000
SDT = 80559B80
KiST = 804E2D20 (284)
Проверено функций: 284, перехвачено: 0, восстановлено: 0
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\i386kd.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\i386kd.exe)
Карантин с использованием прямого чтения - ошибка
04.01.2008, 13:21
zerocorporated

1.В avz [URL="http://virusinfo.info/showthread.php?t=7239"]выполнить скрипт[/URL]:
[CODE]
begin
DeleteFile('C:\WINDOWS\system32\i386kd.exe');
ExecuteSysClean;
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.

2.[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL] в HiJackThis
[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\i386kd.exe,
O2 - BHO: (no name) - {140BD8E3-C167-11D4-B4A3-080000180323} - (no file)
[/CODE]

И повторите лог HiJackThis.
04.01.2008, 14:03
magician73

Вложений: 1

строчки
[COLOR=black][FONT=Courier New]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\i386kd.exe,[/FONT][/COLOR]

в логе не было.

[COLOR=black][FONT=Courier New]O2 - BHO: (no name) - {140BD8E3-C167-11D4-B4A3-080000180323} - (no file)[/FONT][/COLOR]

пофиксено.

лог прилагается
04.01.2008, 17:20
rubin

Чисто, проблемы решены?
05.01.2008, 00:09
magician73

ДА, все чисто. проблема решена.
22.02.2009, 03:17
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\docume~1\\admin\\locals~1\\temp\\winlogon.exe - [B]Trojan-Proxy.Win32.Small.ih[/B] (DrWEB: Trojan.Packed.573)[*] c:\\windows\\system32\\laa1e.tmp.exe - [B]Backdoor.Win32.IRCBot.ayk[/B] (DrWEB: BackDoor.IRC.Cemka)[/LIST][/LIST]