Атаковали трояны и еще кто то

Printable View

25.03.2006, 20:30
AndjeyP

Вложений: 3

Атаковали трояны и еще кто то

Недавно подключил и-нет и на тебе Trojan.NtRootKit.61 в Windows\system32\rdriv.sys и как я уже читал в этом форуме не у меня одного такая проблема, но дело в том что я в отличии от других не могу себе позволить переустановить WinXP. Пробовал в безопасном режиме антивирусом - удалил, перезагрузился в нормальном режиме и троян на том же месте и не удаляется. Потом посыпались BackDoor.IRC.Sdbot и еще что-то было но я уже не мог уследить, но они удаляются.
Пока писал это сообщение появился Trojan.DownLoader.3689 в Windows\system32\dll.exe. Помогите пожайлуста !!!!!!!
25.03.2006, 21:31
RiC

Пришлите, как написано в правилах -
C:\WINDOWS\win32ssr.exe
C:\WINDOWS\MSmedia.exe
c:\windows\system32\mmsvc32.exe
c:\windows\system32\spools.exe

После их-же из AVZ Файл-> "Отложенное удаление" выбрать поочереди

Перезагрузиться.

Запустите Hijack и [url=http://virusinfo.info/showthread.php?t=4491]пофиксите[/url] строки -
O4 - HKLM\..\Run: [Microsoft Network Services Controller] C:\WINDOWS\System32\mmsvc32.exe
O4 - HKLM\..\Run: [Spools Service Controller] C:\WINDOWS\System32\spools.exe
O23 - Service: MicroSoft Media Tools - Unknown owner - C:\WINDOWS\MSmedia.exe
O23 - Service: Win32Sr - Unknown owner - C:\WINDOWS\win32ssr.exe

Перезагрузиться.

Повторить логи с п. 11 на проверку.
26.03.2006, 14:03
AndjeyP

Вложений: 2

[quote]
Пришлите, как написано в правилах -
C:\WINDOWS\win32ssr.exe
C:\WINDOWS\MSmedia.exe
c:\windows\system32\mmsvc32.exe
c:\windows\system32\spools.exe
[/quote]
К сожалению win32ssr.exe направляю после работы AVZ, не до конца прочел правила отправки файлов.
Не хочет загружать virus.zip говорит не указана ссылка на тему ???? вроде указываю. Что я не так делаю?
[quote]
Запустите Hijack и [URL="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/URL] строки -
O4 - HKLM\..\Run: [Microsoft Network Services Controller] C:\WINDOWS\System32\mmsvc32.exe
O4 - HKLM\..\Run: [Spools Service Controller] C:\WINDOWS\System32\spools.exe
O23 - Service: MicroSoft Media Tools - Unknown owner - C:\WINDOWS\MSmedia.exe
O23 - Service: Win32Sr - Unknown owner - C:\WINDOWS\win32ssr.exe

[/quote]
O4 - HKLM\..\Run: [Microsoft Network Services Controller] C:\WINDOWS\System32\mmsvc32.exe
O4 - HKLM\..\Run: [Spools Service Controller] C:\WINDOWS\System32\spools.exe
- этих двух строк не было
26.03.2006, 15:38
RiC

[QUOTE=AndjeyP]К сожалению win32ssr.exe направляю после работы AVZ, не до конца прочел правила отправки файлов.
Не хочет загружать virus.zip говорит не указана ссылка на тему ???? вроде указываю. Что я не так делаю?[/QUOTE]
Ссылку нужно указывать в таком виде - [url]http://virusinfo.info/showthread.php?p=69361[/url]

[QUOTE=AndjeyP]O4 - HKLM\..\Run: [Microsoft Network Services Controller] C:\WINDOWS\System32\mmsvc32.exe
O4 - HKLM\..\Run: [Spools Service Controller] C:\WINDOWS\System32\spools.exe
- этих двух строк не было[/QUOTE]
АВЗ при отложенном удалении при эвристической зачистке убрал.

Пришлите ещё если найдете -
bot.exe
C:\WINDOWS\System32\taskdir.exe
потом можете их стирать.

Hijack - пофиксить -
O4 - HKLM\..\Run: [Windows ASN2 Services] bot.exe
O4 - HKLM\..\RunServices: [Windows ASN2 Services] bot.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

Эту программу сами ставили ? Если не секрет что это ?
c:\program files\srcc\terra3\server\srccserv.exe
Если сами не знаеете или пришлите нам, или закачайте на [url]www.virustotal.com[/url] и сообщите результаты проверки.

Надо ещё поправить файл "c:\windows\system32\drivers\etc\hosts" можно блокнотом.
содержимое эталонного файла -
[code]
# Copyright (c) 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

127.0.0.1 localhost
[/code]
остальное - излишки.

Визуально проблемы ещё есть ?

Сделайте после всего этого ещё раз логи (с п. 11) на проверку.
26.03.2006, 15:50
AndjeyP

При копировании в карантин bot.exe выдает следующее:
C:\Program Files\DrWeb\Антивирусы\avz4\Quarantine\2006-03-26\avz00006.dta инфицирован Win32.HLLW.MyBot.based
26.03.2006, 15:57
RiC

Ну тогда ещё сканером от Web`a каталог c:\Windows проверьте.
26.03.2006, 16:00
AndjeyP

[QUOTE]Результат загрузки
Ошибка загрузки.
Не указана ссылка на тему. Должен быть линк на существующую тему на форуме[/QUOTE]
Ну никак не хочет
26.03.2006, 16:06
Geser

Вообще-то тена должна быть указана так:
[url]http://virusinfo.info/showthread.php?t=5092[/url]
26.03.2006, 16:47
AndjeyP

[quote]Эту программу сами ставили ? Если не секрет что это ?
c:\program files\srcc\terra3\server\srccserv.exe[/quote]
ПК ЕГРЗ Т.03.015.07.2, Филиал «ФКЦ «Земля» по ЮФО, 15.07.2005 (Програмный Комплекс Единый Государственный Реестр Земель)
[quote]
Вообще-то тена должна быть указана так:
[URL="http://virusinfo.info/showthread.php?t=5092"][COLOR=#800080]http://virusinfo.info/showthread.php?t=5092[/COLOR][/URL]
[/quote]
Спасибо, все отправлено

После выполнения всех действий, последняя проверка Web`ом показала отсутствие вирусов, тьфу, тьфу.
Подскажите какую нибудь ссылку где можно взять информацию о наиболее оптимальных настройках системы с целью защиты от вирусов.
ЕПРСТ пока писал Spider выдал:
[quote]
C:\WINDOWS\system32\eraseme_52417.exe инфицирован BackDoor.IRC.Sdbot.475
[/quote]
Как защитить систему? Подскажите?
26.03.2006, 17:25
RiC

[QUOTE=AndjeyP]Как защитить систему? Подскажите?[/QUOTE]
Сделайте ещё раз логи напроверку и поставьте фаервол - [url]http://virusinfo.info/showthread.php?t=3721[/url] + вот эту заплатку - [url]http://www.microsoft.com/downloads/details.aspx?FamilyID=0c1b4c96-57ae-499e-b89b-215b7bb4d8e9&DisplayLang=ru[/url]
Это минимум.

Но лучше поставить не пиратский Windows + Антивирус + Фаервол + [url=http://virusinfo.info/showthread.php?t=1342]Заплатки безопасности[/url]
28.03.2006, 07:45
AndjeyP

Вложений: 3

[quote]Сделайте ещё раз логи напроверку и поставьте фаервол - [URL="http://virusinfo.info/showthread.php?t=3721"]http://virusinfo.info/showthread.php?t=3721[/URL] + вот эту заплатку - [URL="http://www.microsoft.com/downloads/d...DisplayLang=ru"]http://www.microsoft.com/downloads/d...DisplayLang=ru[/URL][/quote]
Спасибо, все сделал. Осталось фаерволом научиться пользоваться :)
Хотел поддержать ваш сайт, но боюсь расплачиваться в инете. Подскажите как это сделать безопасно.
28.03.2006, 07:57
anton_dr

[QUOTE=AndjeyP]Хотел поддержать ваш сайт, но боюсь расплачиваться в инете. Подскажите как это сделать безопасно.[/QUOTE]
[url]http://virusinfo.info/showthread.php?t=1739[/url]

Или же не денюжкой, а безопасными файлами

[url]http://virusinfo.info/index.php?page=upload_clean[/url]
28.03.2006, 08:11
Shu_b

[QUOTE=AndjeyP]Хотел поддержать ваш сайт, но боюсь расплачиваться в инете. Подскажите как это сделать безопасно.[/QUOTE]
или так: [url]http://virusinfo.info/showpost.php?p=50742&postcount=34[/url]
28.03.2006, 09:59
RiC

[QUOTE=AndjeyP]Спасибо, все сделал. Осталось фаерволом научиться пользоваться :)
Хотел поддержать ваш сайт, но боюсь расплачиваться в инете. Подскажите как это сделать безопасно.[/QUOTE]

Продолжение "банкета"

Перезагрузится в режиме защиты от сбоев и стереть -
c:\windows\system32\mmsvc32.exe
bot.exe

После в Hijack пофиксить
O4 - HKLM\..\Run: [Windows ASN2 Services] bot.exe
O4 - HKLM\..\Run: [Microsoft Network Services Controller] C:\WINDOWS\System32\mmsvc32.exe
O4 - HKLM\..\RunServices: [Windows ASN2 Services] bot.exe

+ повторить манипуляции с файлом hosts

Перегрузиться и повторить логи с п. 11 правил.

Прислать для проверки -
C:\WINDOWS\system32\NeroCheck.exe
C:\PROGRA~1\ICQ\ICQNet.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\PROGRA~1\COMMON~1\INSTAL~1\UPDATE~1\isuspm.exe
C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe
29.03.2006, 10:42
AndjeyP

Так надеялся что все подчистил, что с чистой совестью поехал в командировку. А не тут то было :embarasse
В субботу продолжу действовать согласно вашим рекомендациям по проведению "банкета".
Всем спасибо.
31.03.2006, 23:45
AndjeyP

Вложений: 2

[QUOTE]Перегрузиться и повторить логи с п. 11 правил.

Прислать для проверки -
C:\WINDOWS\system32\NeroCheck.exe
C:\PROGRA~1\ICQ\ICQNet.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\PROGRA~1\COMMON~1\INSTAL~1\UPDATE~1\isuspm.exe
C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe[/QUOTE]
C:\WINDOWS\system32\NeroCheck.exe
C:\PROGRA~1\ICQ\ICQNet.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe

не хотят добавлятся в карантин, никак!
01.04.2006, 09:32
RiC

[QUOTE=AndjeyP]
не хотят добавлятся в карантин, никак![/QUOTE]
Ну значит действительно чистые и значатся у Олега в базе безопасных.
В последних логах чисто, ещё проблемы остались ?
01.04.2006, 09:39
AndjeyP

Вроде все чисто. Антивирусы и фаерволы молчат.
Спасибо за помощь!