Printable View
Добрый день, заметил на почтовом сервере подозрительные процессы [COLOR=#333333]SecureSurf.Browser.Client и SecureSurf.Browser.Shell. Также были созданы два скрытых пользователя с админскими правами. Их я убил.
Есть следы попытки запуска вируса-шифровальщика. Прошу помощи в удалении вируса.[/COLOR]
Уважаемый(ая) [B]Роман Тарасов[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe');
TerminateProcessByName('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\spoolsv.exe');
TerminateProcessByName('C:\Program Files\Common Files\microsoft shared\System\webisida.browser.exe');
QuarantineFile('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe', '');
QuarantineFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\spoolsv.exe', '');
QuarantineFile('C:\Program Files\Common Files\microsoft shared\System\webisida.browser.exe', '');
QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\System\settings.exe', '');
QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\Systema\svchost.exe', '');
QuarantineFile('C:\CCleaner64.exe', '');
QuarantineFile('C:\Windows\system32\NLS.bat', '');
QuarantineFile('C:\Windows\system32\drivers\106F4E209E51.sys', '');
QuarantineFile('C:\Windows\SYSWOW64\seth.exe', '');
QuarantineFileF('C:\Program Files\MinerGate-service', '*.exe, *.bat, *.vbs, *.js', true, '', 0, 0);
DeleteFile('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe', '32');
DeleteFile('C:\Program Files\Common Files\microsoft shared\System\webisida.browser.exe', '32');
DeleteFile('C:\CCleaner64.exe', '32');
DeleteFile('C:\Windows\system32\NLS.bat', '32');
DeleteFile('C:\Windows\SYSWOW64\seth.exe', '32');
DeleteFile('C:\MinerGate-service-5.10-win64.exe', '32');
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\System\settings.exe', '32');
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\Systema\svchost.exe', '32');
DeleteFileMask('C:\Program Files\Common Files\Microsoft Shared\Systema', '*', true);
DeleteFileMask('C:\Program Files\MinerGate-service', '*', true);
DeleteFileMask('c:\program files\common files\microsoft shared\system', '*', true);
DeleteDirectory('C:\Program Files\Common Files\Microsoft Shared\Systema');
DeleteDirectory('C:\Program Files\MinerGate-service');
DeleteDirectory('c:\program files\common files\microsoft shared\system');
ExecuteFile('schtasks.exe', '/delete /TN "Adobe Reader" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "GoogleUpdateTask" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "GoogleUpdateTaskMashine" /F', 0, 15000, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(9);
end.[/code]
Перезагрузите сервер.
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
Меняйте админские пароли и пароkи тех, кто имеет доступ по RDP.
Образ автозапуска
Скопируйте скрипт из окна "код" ниже в буфер обмена:
[CODE];uVS v3.87.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v388c
OFFSGNSAVE
; C:\WINDOWS\INF\NETLIBRARIESTIP\000D\1049\5.0\SQL\SSMS.EXE
zoo %SystemRoot%\INF\NETLIBRARIESTIP\000D\1049\5.0\SQL\SSMS.EXE
addsgn 1ADE289A5583C58CF42B254E3143FE54A6EF00F6DA7142680018B0BB631698D62317C301BDAE993B5E0DF763C3E03D94F692E4F910D23A3CAEB7A0AC0602A6A1 8 Trojan.Reconyc [VBA32]
; C:\WINDOWS\INF\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\SPOOLSV.EXE
addsgn 1A0E299A5583C58CF42B254E3143FE54A6EF00F6DA7142680018B0BB631698D62317C301BDAE993B5E0DF763C3E03D94F692E4F910D23A3CAEB7A0AC0602A6A1 8 Trojan ( 004e28701 ) [K7GW]
zoo %SystemRoot%\INF\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\SPOOLSV.EXE
chklst
delvir
zoo %SystemDrive%\USERS\TARASOV_RP\DOWNLOADS\WINCLIENT (3).EXE
zoo %SystemDrive%\USERS\TARASOV_RP\DESKTOP\WINCLIENT.EXE
delref %Sys32%\DRIVERS\106F4E209E51.SYS
delref %SystemDrive%\PROGRAM FILES\MINERGATE-SERVICE\SRVANY.EXE
delref %SystemDrive%\PROGRAM FILES\MICROSOFT\EXCHANGE SERVER\V15\FIP-FS\BIN\UPDATESERVICE.EXE
czoo
deltmp[/CODE]
Закройте все броузеры, запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Перезагрузите сервер.
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Проверьте, в папке c:\windows\inf\netlibrariestip и её подпапах ничего вашего нет? если нет - удалите.
Удалите все установленные версии Java, они устаревшие и со множеством критических уязвимостей.
Если Java вообще нужна для каких- либо приложений, игр (и Вы точно знаете, для каких именно) - установите [URL="http://www.java.com/ru/download/"]Java 8 Update 121[/URL].
Готово. В указанной папке вроде ни чего нужного нет, для перестраховки засунул ее в архив и грохнул. Яву удалил.
[QUOTE]uVS запущен под пользователем: RBH\tarasov_rp[/QUOTE]
А я просил через script.cmd запускать. Прав не на всё хватило, через script.cmd запускался бы от имени системы. Но не критично.
Пароли поменяли?
Система обновляется?
Пароли поменял, доступ по рдп закрыл. Система обновления ищет, но вроде пока их просто нет. Буду смотреть. Спасибо.
Есть еще один сервер со сходной проблемой, открыть новую тему или продолжить в этой?
Один компьютер - одна тема. Эту закрывать?
да, огромное спасибо!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\common files\microsoft shared\system\webisida.browser.exe - [B]not-a-virus:RiskTool.MSIL.Sidaweb.q[/B] ( BitDefender: Gen:Variant.MSILPerseus.2843 )[/LIST][/LIST]