Printable View
Словил какой-то руткит на КД. Наблюдается паразитный трафик порядка 50-100 МБ/день. Установленный Нод ничего не находил, полная проверк а КурИтом результатов не дала. Зайцев детектит маскировку процессов, но зловреда не находит. Необходимый комплект прилагаю.
На всякий случай, программа AVZ - файл - выполнить скрипт - выполните скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\LMIRfsClientNP.sys','');
QuarantineFile('C:\WINDOWS\system32\LMIRfsClientNP.dll','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\55229736.sys','');
QuarantineFile('c:\program files\lsi logic corp\spy\spyser.exe','');
QuarantineFile('c:\repl\service\rplsrv.exe','');
BC_ImportquarantineList;
BC_Activate;
RebootWindows(true);
end.[/code] [b]Внимание! Машина обязательно должна быть перезагружена после выполнения скрипта[/b]. После перезагрузки, карантин AVZ загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=43774[/url] , как написано в прил.3 правил. В дополнение, проверьте, задачи, установленные в планировщике, все ваши?
[QUOTE=Numb;387136]
QuarantineFile('C:\WINDOWS\system32\DRIVERS\LMIRfsClientNP.sys','');
QuarantineFile('C:\WINDOWS\system32\LMIRfsClientNP.dll','');
[/QUOTE]
Это удаленка ЛогМеИна, но нафиг сейчас не нужна, оставил в скрипте.
[QUOTE=Numb;387136]
QuarantineFile('c:\program files\lsi logic corp\spy\spyser.exe','');
QuarantineFile('c:\repl\service\rplsrv.exe','');
[/QUOTE]
Дрова рейда и репликатор нашей базы, соответственно. Последний исключил из скрипта.
[QUOTE=Numb;387136]
QuarantineFile('C:\WINDOWS\system32\DRIVERS\55229736.sys','');
[/QUOTE]
А вот этого слона я не заметил.
Карантин приложил, запустил АВЗ. Маскирующиеся процессы всё еще присутствуют.
В планировщике всё норм, это тоже для базы.
Скрипт ничего не удаляет, только пытается скопировать файлы в карантин. Впрочем, если все эти файлы вам известны, то и присылать их бесполезно, скорее всего.
C:\WINDOWS\system32\DRIVERS\55229736.sys в карантин не попал. Попробуйте скопировать его в карантин руками через AVZ - сервис - модули пространства ядра. Если не скопируется, оттуда же сделайте дамп памяти данного модуля.
Еще, видна библиотека Ati2evxx.dll - обычно идет в составе драйверов для видеокарт от ATI/AMD. Если ничего подобного на сервере нету - ее тоже стоит проверить. Красные записи о процессах, скорее всего, ни о чем ни говорят - это особенность создания логов на серверной ОС.
Из скрипта для карантина зря удалили, м.б. бы базу "чистых" немного пополнили.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]