Printable View
После инфицирования компьютера вирусом, который показывает информер File Downloader и самостоятельного его удаления было замечен подозрительный обмен пакетами при включенном интернете и выключенных всех известный мне программ.
Обмен пакетами происходит постоянно, вероятно это вирус или измененные настройки, полученные от удаленной вышеуказанной программы.
Пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [servises] C:\WINDOWS.1\system32\servises.exe
O4 - HKCU\..\Run: [servises] C:\WINDOWS.1\system32\servises.exe
O4 - HKLM\..\Policies\Explorer\Run: [servises] C:\WINDOWS.1\system32\servises.exe
O4 - HKCU\..\Policies\Explorer\Run: [servises] C:\WINDOWS.1\system32\servises.exe
[/code]
Сделайте [URL="http://virusinfo.info/showthread.php?t=40118"]лог gmer[/URL].
Фикс с 4-мя эксешками помог решить проблему не полностью. После фикса, примерно за час наблюдения, сформировался такой неопознанный трафик:
Отправлено - ~35Мб
Принято - ~50Мб
Хочу уточнить, что это, примерно, в два раза меньше, чем до фикса сервисных эксешек.
Браузеры и другой софт мною не использовался в процессе анализа.
Ранее такого никогда не было...
Требуемый лог в аттач.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS.1\system32\drivers\tslkf.sys','');
DeleteFile('C:\WINDOWS.1\system32\drivers\tslkf.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RegKeyResetSecurity( 'HKLM', 'SYSTEM\CurrentControlSet\Services\tslkf');
RegKeyResetSecurity( 'HKLM', 'SYSTEM\ControlSet001\Services\tslkf');
RegKeyResetSecurity( 'HKLM', 'SYSTEM\ControlSet002\Services\tslkf');
RegKeyResetSecurity( 'HKLM', 'SYSTEM\ControlSet004\Services\tslkf');
RegKeyDel( 'HKLM', 'SYSTEM\CurrentControlSet\Services\tslkf');
RegKeyDel( 'HKLM', 'SYSTEM\ControlSet001\Services\tslkf');
RegKeyDel( 'HKLM', 'SYSTEM\ControlSet002\Services\tslkf');
RegKeyDel( 'HKLM', 'SYSTEM\ControlSet004\Services\tslkf');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=63591[/url]).
Повторите п.2 раздела [I]Диагностика [/I]и лог gmer.
готово
Выложили старый лог gmer'a.
Нет, старый был удален заблаговременно. По времени сохранения файла это видно. Наверное, не помогло ничего, раз нет изменений в логе после выполнения скрипта.
К сожелению, также нет и решения искомой проблемы.
P.S.
прежний файл - Rootkit scan 2009-12-14 17:42:59
последний файл - Rootkit scan 2009-12-14 20:09:58
[size="1"][color="#666686"][B][I]Добавлено через 1 час 7 минут[/I][/B][/color][/size]
Возможно это поможет в поиске решения.
У этого файла tslkf.sys имеется характерная особенность - он появляется при загрузке и имеет всегда атрибут "дата/время изменения файла" согласно с установленной датой/временем на зараженном компьютере.
Зараза лезет к Вам из сети
[QUOTE]Platform: Windows XP [B]SP2[/B] (WinNT 5.01.2600)
MSIE: Internet Explorer [B]v7.00[/B] (7.00.6000.20733)[/QUOTE]
Обновляйтесь
[QUOTE]Logfile of Trend Micro HijackThis v2.0.3 (BETA)[/QUOTE]Более древней версии утилиты не нашлось?
[QUOTE=thyrex;534851]
Более древней версии утилиты не нашлось?[/QUOTE]
В топ10 Google новее ничего нет:). Помогите плиз с линком на нужную версию.
С остальным - сейчас обновлюсь. Но не думаю, что он лезет из сети, т.к. я его удаляю с выключенным кабелем, перегружаюсь и вновь без кабеля смотрю, а он на месте и никак не отвяжется...
[QUOTE='restore;534892']В топ10 Google новее ничего нет. Помогите плиз с линком на нужную версию.[/QUOTE]Неужели в [URL="http://virusinfo.info/showthread.php?t=1235"]правилах[/URL] ссылку не нашли? :)
[QUOTE=thyrex;534919]Неужели в [URL="http://virusinfo.info/showthread.php?t=1235"]правилах[/URL] ссылку не нашли? :)[/QUOTE]
Видел перед тем, как писать предыдущий пост и у Вас в подписи покликал, но был убежден, что версия v2.0.3 более новая (пусть и бета), нежели v2.0.2.
Спасибо за линк, логика подвела значит меня :)
[QUOTE='restore;534942']версия v2.0.3 более новая (пусть и бета), нежели v2.0.2.[/QUOTE]Упс, это меня память подвела:( У Вас новее, но все же лучше стабильная версия, чем бета
Давайте попробуем так:
1. Выполните этот скрипт:
[CODE]begin
SetAVZGuardStatus(True);
SetServiceStart('tslkf', 4);
RebootWindows(true);
end.[/CODE]
2. После перезагрузки - снова скрипт из сообщения #4.
Потом повторите лог гмер.
Передача пакетов остановлена, огромное спасибо!
лог гмер в аттач.
Согласно рекомендациям специалистов этого форума, провел глобальные обновления :)
- поставил SP3, обновился на 100%
- установил IE8 со всеми обновлениями
- Aвире Премиум вынес жесткий вердикт, заменив на более дорогой KIS-2010
- Поставил заплавки на все уязвимости, на которые ругался KIS-2010
Вероятно, из-за настроек KIS на высокую безопасность, при открытии папок с большим кол-вом файлов - виснит такое окно и отсреливается только в диспечере задач.
Достаточно ли использовать дефолтные настройки KIS-2010 для обеспечения высокой безопасности?
В логе чисто, враг побежден :)
Дефолтных настроек для начала достаточно, потом разберетесь в нюансах, подкрутите настройки для себя.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]