Printable View
Всем доброго времени суток :)
Помогите пожалуйста разобраться что еще осталось в системе гадкого... Как комп включаешь в сетку, он подменяет собой DHCP сервер и начинает раздавать всем компам в локальной сети свои ip адреса и dns'ы...
Комп сканил касперским нашел кучу вирья - удалил, но проблема всё равно осталось, вот лог:
Читайте в правилах, какие логи нужны и как их обнародовать.
Вот:
Это Ваше? Если нет, то профиксить:
[CODe]O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.118,85.255.112.143
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.118,85.255.112.143
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.118,85.255.112.143[/CODE]
Не наше ) Наше только VNC из подозрительных программ...
Пофиксил, но DHCP на этом компе не пропало:
Значит кину то что выдается DHCPой с этого компа:
DHCPOFFER from server: 10.25.1.241 (ip этого зараженного компа)
yaiddr: 10.25.1.254 (это реальный наш шлюз)
option 53: DHCPOFFER
option 54: 10.25.1.254
option 51: 60mns
option 1: 255.255.255.0
option 3: 10.25.1.254
option 6: 69.42.88.21:69.42.88.22 (как я понимаю DNSы, в реальности они должны исходить другие)
option 244
option 153
Это лог программы iptools.. Такое впечатление, что этот зараженный компьютер пытается подменить собой реальный DHCP сервер... Все параметры такие какие должны быть кроме dns адрессов
Давайте сделаем так: установите в AVZ AVZPM, обновите базы AVZ и повторите логи.
Сделал:
Нашелся!!!
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\systemroot\system32\drivers\gaopdxtnksefybwuxtowfvpehefbesdoymltfm.sys','');
DeleteFile('\systemroot\system32\drivers\gaopdxtnksefybwuxtowfvpehefbesdoymltfm.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторить логи.
Если попадет в карантин, то прислать.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Если вдруг откажется удаляться, то надо будет его удалить Gmerom.
PavelA, спасибо!
Всё проблема исчезла ))) Больше IPшки не раздает :)
Примечательно, что с касперского лайв сиди с сегодняшними базами он нашел такой вот файлик:
10.04.2009 15:44:09 Обнаружено: Trojan-Spy.Win32.Agent.akwj C:\WINDOWS\system32\gaopdxkypixngsipbqkrxjkvstirorublfvhff.dll
10.04.2009 15:44:10 Удалено: Trojan-Spy.Win32.Agent.akwj C:\WINDOWS\system32\gaopdxkypixngsipbqkrxjkvstirorublfvhff.dll
Но тут еще и sys файл оказался, который касперский просмотрел :)
Еще интересно, что после избавление от sys файла при загрузки компьютера касперский предложил установится, ранее вирь блокировал установку походу...
Вобщем вот логи после избавления:
[URL="http://rapidshare.com/files/133061044/IceSword122en.zip.html "]Скачайте IceSword[/URL]
-Запустите программу.
-Внизу слева выберите меню File.Появится аналог проводника.
-Найдите в нём файл
[code]
C:\WINDOWS\system32\[B]gaopdxkypixngsipbqkrxjkvstirorublfvhff.dll[/B]
[/code]
-Нажмите по нему правой кнопкой мыши и выберите force delete.
-На запрос потверждения ответьте "да".
в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\gaopdxkypixngsipbqkrxjkvstirorublfvhff.dll','');
DeleteFile('C:\WINDOWS\system32\gaopdxkypixngsipbqkrxjkvstirorublfvhff.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Логи повторите.