Printable View
Здравствуйте. У меня появилась проблема. После загрузки svchost.exe ломится по портам 25, 80, 443 на кучу разных сайтов (всплывает в аутпосле). На удивление ни DrWeb ни Касперский ни Ad-Aware ничего не находят. В аттачменте необходимые логи. Заранее спасибо, потому что это первый раз когда я сам не могу найти заразу.
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\Programs\Tools\Audit\Packers\ProcDump\vxdbody.kmd','');
QuarantineFile('w3svapi32.dll','');
QuarantineFile('firewall.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
Спасибо, карантин прислал. Только мне кажется что он нормально не создался ? Может я и ошибаюсь... C:\WINDOWS\system32\w3svapi32.dll - эта dll еще осталась. Она действительно странная, упакована UPX и судя по содержимому внедряеться в процессы DLL Injection'ом
Присланный карантин пустой.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\FMDriver.sys','');
QuarantineFile('D:\Programs\Tools\Audit\Packers\ProcDump\vxdbody.kmd','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\DUBE100B.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\hwmdr.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\GetBINFile.sys','');
QuarantineFile('c:\SmartNcode\V9.0\TeakLite\dspgapi.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\epcpuid.sys','');
QuarantineFile('C:\WINDOWS\system32\w3svapi32.dll','');
QuarantineFile('C:\WINCE420\PUBLIC\COMMON\OAK\TARGET\ARMV4\RETAIL\walker.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\SPTD7725.SYS','');
BC_ImportQuarantineList;
BC_QrSvc('FMDriver');
BC_QrSvc('epcpuid');
BC_QrSvc('dspgapi');
BC_QrSvc('GetBINFile');
BC_QrSvc('hwmdr');
BC_QrSvc('S1TRACE');
BC_QrSvc('DUBE100B');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=20656[/url] ).
Вот это Ваше? :
d:\my\delphi\projects\pw_ups\
d:\my\delphi\projects\ssv\release\ssv.exe
Спасибо, карантин отправил.
[QUOTE=kps;208321]
Вот это Ваше? :
d:\my\delphi\projects\pw_ups\
d:\my\delphi\projects\ssv\release\ssv.exe[/QUOTE]
Да это мое.
Могу еще остальные бегло описать.
1. FMDriver.sys - это драйвер прямого доступа к TV тюнеру для Axife FM Player
2. vxdbody.kmd - по-моему один из скриптов ProcDump'a
3. DUBE100B.sys - драйвер D-Link USB-LAN DUB E-100
4. hwmdr.sys - не знаю
5. GetBINFile.sys - не знаю
6. dspgapi.sys - часть отладчика для работы с JTAG
7. epcpuid.sys - не знаю
8. w3svapi32.dll - не знаю. подозрительная dll запакованная UPX
9. walker.exe - насколько помню часть отладчтка под WinCE
10. SPTD7725.SYS - Помниться драйвер прямого доступа к CD/DVD вроде от Alcohol.
w3svapi32.dll - [B]Trojan.Win32.Agent.jcn[/B],свежий.
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\w3svapi32.dll');
DeleteFile('w3svapi32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]
[CODE]O20 - Winlogon Notify: w3svapi32 - C:\WINDOWS\SYSTEM32\w3svapi32.dll[/CODE]
Повторите логи.
dspgapi.sys, DUBE100B.sys, epcpuid.sys, FMDriver.sys, GetBINFile.sys, hwmdr.sys, SPTD7725.SYS, vxdbody.kmd, walker.exe_-чистые.
firewall.exe поищите через AVZ,найдете пришлите согласно приложению 2 правил.
Логи приложил. firewall.exe не находиться, вот что пишет AVZ
[QUOTE]Ошибка карантина файла, попытка прямого чтения (firewall.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\firewall.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\firewall.exe)
Карантин с использованием прямого чтения - ошибка[/QUOTE]
Скажите какой антивирус находит этот вирус ? Не стоит ли сменить DrWeb на что-нибудь другое ?
firewall.exe искали так .... ?
[url]http://virusinfo.info/showthread.php?t=4567[/url]
[QUOTE=V_Bond;208585]firewall.exe искали так .... ?
[url]http://virusinfo.info/showthread.php?t=4567[/url][/QUOTE]
Именно так, и не только на системном а на всех дисках.
выполните скрипт ....
[code]
begin
DeleteFile('firewall.exe');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
обновите базы авз , повторите логи ...
Скрипт выполнил, базы обновил, логи прилагаю.
АВЗ самостоятельно удалила GetBINFile.sys >>>>> [b]Trojan-Spy.Win32.Banker.dvp[/b] и ещё кое-кого из System Volume Information. Я бы на Вашем месте отключил восстановление системы, что бы прибить законсервированных врагов.
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
Как поживает система?
Восстановление выключил, врагов прибил. GetBINFile.sys - многие антивири на него ругаются, но он идет на диске с фирменными дровами от материнки :) хотя конечно все может быть. Снес эту утилиту нафиг.
Спасибо, система перестала ломиться и-нет.
Нам интересно [url=http://virusinfo.info/showthread.php?t=19883]Ваше мнение[/url] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.
Советуем прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]37[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\w3svapi32.dll - [B]Trojan.Win32.Agent.jcn[/B] (DrWEB: Trojan.Maby.9)[/LIST][/LIST]