Printable View
Подсунули мне ASUS-ик с печально знаменитым Sector17
...с останками NOD32.
Все ехе-шки запускаются только один раз. (ну или почти все)
Regedit, taskmanager и SafeBoot, как водится - в ауте
Смог содрать лог RSIT и Removal Tool
Помогает IceSword - реестр и файловая система доступны
Так можно ли грохнуть какой-то ключевой файлик, дабы "законтрацептить" эту штуку?
Выполните скрипт в AVPTool:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('G:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ipswuio.sys','');
QuarantineFile('C:\DOCUME~1\antivir\LOCALS~1\Temp\esihdrv.sys','');
QuarantineFile('C:\DOCUME~1\antivir\LOCALS~1\Temp\cpuz.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ilhnpm.sys','');
DeleteService('abp470n5');
DeleteFile('C:\WINDOWS\system32\drivers\ilhnpm.sys');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
ExecuteRepair(17);
ExecuteRepair(11);
RebootWindows(true);
end.
[/code]После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)
За скрипт - спасибо!
Попробовать, к сожалению, смогу только в понедельник.
Если сработает полиморф AVZ! (Он [B]должен[/B] сработать??? А то обычный ни с винта, ни с флэшки не идет)
А если esihdrv.sys "убить" IceSword`ом? Не вариант?
[COLOR="Blue"]...и, ежели все-таки скриптом - нужен ли ExecuteRepair(10); ?[/COLOR]
а что, safe mode не работает ?
[QUOTE]Если сработает полиморф AVZ! (Он должен сработать??? А то обычный ни с винта, ни с флэшки не идет)[/QUOTE]
Ну логи же вы сняли через Kaspersky® Virus Removal Tool, в нем можно и скрипт выполнить по идее, раз программа запускается...
[QUOTE]А если esihdrv.sys "убить" IceSword`ом? Не вариант?[/QUOTE]
Желательно сначала попробовать скрипт, он должен взять копию зверя на будущее изучение
[CODE]QuarantineFile('E:\tools\$TOOLS\SystemObserver.exe','');[/CODE]
это одна из альтернатив taskmgr
видится с CD-Drive
её и впрямь не любят антивирусы
Сейчас спрошу у вирустотал :)
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Невиновен!!! [URL]http://www.virustotal.com/ru/analisis/3d95e04df307f480129306c04522f4386586bc4d9f6d3db72732a7345eff94ff-1255795319[/URL]
[CENTER][QUOTE]Файл SystemObserver.exe
получен 2009.10.17 16:01:59 (UTC)
Загрузка ...в очереди
ожидание
проверка
Текущий статус: законченоНЕ НАЙДЕНО
ОСТАНОВЛЕНО
[/QUOTE][/CENTER]
[QUOTE]
[IMG]http://www.virustotal.com/img/loader.gif[/IMG]
Результат: [COLOR=red]0[/COLOR]/41 (0%)
[/QUOTE][CENTER]
[/CENTER]
я видел, что это аналог taskmgr, на всякий случай проверил :)
[QUOTE=rubin;487973]а что, safe mode не работает ?
[QUOTE]Regedit, taskmanager и SafeBoot, как водится - в ауте[/QUOTE]
Ну логи же вы сняли через Kaspersky® Virus Removal Tool, в нем можно и скрипт выполнить по идее, раз программа запускается...
[/QUOTE]
А вот об этом - не подумал :D
Вроде как: для скриптов AVZ, а про VRT и не вспомнил
VRT - по функционалу аналогична AVZ :)
[QUOTE=rubin;487992]VRT - по функционалу аналогична AVZ :)[/QUOTE]
Упс!
Я считал эту утилитку сигнатурным одноразовым антивирусом, с добавленными функциями из АВЗ
Теперь - задумался....
то есть и AVZGuard, и AVZPM, и BC, - весь функционал подвязан??:O
VRT = AVZ + сигнатуры KAV
[QUOTE=rubin;487995]VRT = AVZ + сигнатуры KAV[/QUOTE]
-(минус) интерфейс:
все функции - только через скрипт
скрипт немного обновил, спасибо thyrex
А вот тут - не понял...
[CODE]DeleteFile('C:\DOCUME~1\antivir\LOCALS~1\Temp\esihdrv.sys');
DeleteService('abp470n5');
DeleteFile('C:\WINDOWS\system32\drivers\ilhnpm.sys');[/CODE]по логу abp470n5 - не запущен, но мы его останавливаем
тогда и 'esihdrv' нужно 'DeleteService'??? Или он не маскируется и так убъется??
PS: [I]ни в коем разе не критика, а лишь желание понять...[/I]
За советы - огромное спасибо!
можно и esihdrv делать с deleteservice, можно было и без DeleteService('abp470n5'), т.к. executesysclean все равно зачистит службы... просто ткнул и кнопку удаления службы, невелика разница :)
Тогда последний вопрос, на сон грядущий...
про драйвер abp470n5 уже читал в сети - наш клиент - Sality`вский :),
а этот -
[CODE]C:\DOCUME~1\antivir\LOCALS~1\Temp\esihdrv.sys[/CODE]
за личные знакомства? ;)
или "гугленьем" вычислен?
то есть - понял - не фиг делать *.sys во временной папке ?
Ну чтож!
Спасибо огромное!
Похоже вот это:
[CODE]DeleteService('abp470n5');
DeleteFile('C:\WINDOWS\system32\drivers\ilhnpm.sys');[/CODE]
и есть "контрацептив" для Sality (конечно файлы могут быть разными. Например вот, с другой системы:
C:\WINDOWS\system32\drivers\konkpg.sys)
После этого скрипта все пошло проще....
тьфу-тьфу-тьфу...завтра поглядим!!!
На тему вот этого посмотри:
C:\WINDOWS\system32\csrsc.exe
F:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\autorunme.exe
Они в логе RSIT засветились.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]