Printable View
Привет,
Третий день вылетает от Касперского сообщение:
[B]"Network attack Intrusion.Win.DCOM.exploit........was succesfully repelled"[/B]
[B]Outpost [/B]эти аттаки вообще не видит,[B]i.p. [/B]при каждом подключении меняется,но аттаки продолжаются,сделал всё как описано у вас,потом подключился к интернету и опять пару раз вылетело сообщение,в прошлые разы я только и делал что видел это сообщение,а сейчас вроде-бы тихо.
Помогите пожалуйста.
Необходимо поставить все заплатки через Windows Update.
Мусора много, через hijackthis пофиксить:
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - D:\WINDOWS\2_0_1browserhelper2.dll (file missing)
O2 - BHO: NLS UrlCatcher Class - {AEECBFDA-12FA-4881-BDCE-8C3E1CE4B344} - D:\WINDOWS\System32\nvms.dll (file missing)
O2 - BHO: CB UrlCatcher Class - {CE188402-6EE7-4022-8868-AB25173A3E14} - D:\WINDOWS\System32\mscb.dll (file missing)
O2 - BHO: HTML Source Editor - {1E1B2879-88FF-11D2-8D96-D7ACAC95951F} - D:\WINDOWS\System32\hth.dll (file missing)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
O16 - DPF: {0191ABF4-9421-435E-9FFD-CD827A2A82D8} (SBITAX7Ctrl Class) - [url]http://directplugin.com/tl7000.dll[/url]
O16 - DPF: {0733B8F9-8B52-4693-A9FA-829E12D27F78} (preload control) - [url]http://www.thepaymentcentre.com/build/preload2.cab[/url]
O16 - DPF: {12398DD6-40AA-4C40-A4EC-A42CFC0DE797} (Installer Class) - [url]http://www.xxxtoolbar.com/ist/softwares/v4.0/0006_regular.cab[/url]
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - [url]http://public.windupdates.com/get_file.php?bt=ie&p=f32ea71f93289f61b4dbf30a04a6a1144dbe14cda02fcaaa9fafbced2952791a768a1a41688817425fa5c9751a6be7b24046:f22d67e45739a8712f7edadac81f3fd5[/url]
O16 - DPF: {346685E3-C383-11CF-A5A4-00AA00A45705} (ActiveX Control) - [url]http://web-imd.gonext.co.il/gonext/zazabox/pc/SISActiveX.cab[/url]
O16 - DPF: {469C7080-8EC8-43A6-AD97-45848113743C} - [url]http://akamai.downloadv3.com/binaries/IA/nethv32_EN_XP.cab[/url]
O16 - DPF: {B7E4C5B5-75C6-4B69-9F85-12AC1BD7F7FE} (SGC.SGCCtrl.1) - [url]https://www.stargame.com/sgc.cab[/url]
O16 - DPF: {DD7C9B9F-6534-464B-AFF0-A3D9439A3A18} (TCM3Control Control) - [url]http://video.gonext.co.il/TCM3Control.cab[/url]
O16 - DPF: {EF86873F-04C2-4A95-A373-5703C08EFC7B} (Installer Class) - [url]http://www.xxxtoolbar.com/ist/softwares/v3.0/0006_cracks.cab[/url]
O23 - Service: NTLOAD - Unknown owner - D:\WINDOWS\SYSTEM\DRIVER\ntsrv.exe (file missing)
O23 - Service: NTSVCMGR - Unknown owner - D:\WINDOWS\SYSTEM\DRIVER\ntsrv.exe (file missing)
O23 - Service: Messenger - Unknown owner - D:\WINDOWS\services.exe" /s "Messenger (file missing)
на анализ пришлите
D:\WINDOWS\SYSTEM\DRIVER\ntuser.exe
D:\Windows\System32\wsaupdater.exe
D:\WINDOWS\System32\iakdhw.exe
D:\Program Files\WindowsSA\omniscient.exe
D:\Program Files\BullsEye Network\bin\bargains.exe
D:\Program Files\ProxyWay\proxyway.exe, если сами не ставили
d:\program files\windowssa\omniscient.exe
F:\ATR1.exe
Папку d:\program files\windowssa лучше даже целиком, потому как это, скорее всего, - ADWARE BLAZE
Сделал Fix,всему на что вы указали,перезапустил систему опять аттака...,хотя перед фиксом когда AVZ включал,аттаки прекратились.
[QUOTE]Необходимо поставить все заплатки через Windows Apdate.[/QUOTE]
В каком смысле,скачать с тех ссылок что вы дали и поставить?,если да то если можно объясните как именно это сделать или просто сделать Update Windows.
[B]Некоторые ссылки неработают:[/B]
[url]http://directplugin.com/tl7000.dll[/url]
[url]http://www.thepaymentcentre.com/build/preload2.cab[/url]
[url]http://public.windupdates.com/get_file.php?bt=ie&p=f32ea71f93289f61b4dbf30a04a6a1144dbe14cda02fcaaa9fafbced2952791a768a1a41688817425fa5c9751a6be7b24046:f22d67e45739a8712f7edadac81f3fd5[/url]
[QUOTE]D:\Program Files\ProxyWay\proxyway.exe, если сами не ставили[/QUOTE]
Я ставил сам и там просто пустая папка сейчас осталась,есть proxyway.exe что-бы заново проинсталлировать.
[QUOTE]D:\Program Files\WindowsSA\omniscient.exe и d:\program files\windowssa\omniscient.exe[/QUOTE]
Это одно и тоже,просто два раза написали и один раз с маленькой,а другой с большой букв?
[QUOTE]F:\ATR1.exe[/QUOTE]
Это CD Burner и диска в нем небыло...?
[QUOTE]D:\Program Files\BullsEye Network\bin\bargains.exe[/QUOTE]
Такой папки у меня вообще нет и [B]bargains.exe[/B] ненашёл.
[QUOTE]D:\Windows\System32\wsaupdater.exe[/QUOTE]
[QUOTE]D:\WINDOWS\System32\iakdhw.exe[/QUOTE]
Найти не смог ни так ни поиском.
[QUOTE]D:\WINDOWS\SYSTEM\DRIVER\ntuser.exe[/QUOTE]
Есть ntuser в формате для Elecard MPEG2 Player,ntuser[B].exe[/B] нету.
Посылаю только ntuser и windowssa папку целиком,искал хорошо,но ненашёл,как ещё искать?
[QUOTE=Stain]
В каком смысле,скачать с тех ссылок что вы дали и поставить?,если да то если можно объясните как именно это сделать или просто сделать Update Windows.
[/QUOTE]
НИЧЕГО с этих ссылока качать не нужно - было же написано, что их нужно пофиксить! с них к вам на компьютер и попадают троянцы.
[QUOTE=Stain]
Это одно и тоже,просто два раза написали и один раз с маленькой,а другой с большой букв?
[/QUOTE]
поскольку мы не знаем, сколько именно папок и с символами каких кодировок у вас на диске, потому и написали два раза
[QUOTE=Stain]
Посылаю только ntuser и windowssa папку целиком,искал хорошо,но ненашёл,как ещё искать?[/QUOTE]
искать нужно из программы AVZ
d:\program files\windowssa\WindowsSA\omniscient.exe - Adware.BlazeFind (DrWeb)
d:\program files\windowssa\WindowsSA\omniscienthook.dll - Adware.BlazeFind
Удалите их через отложенное удаление AVZ.
Ждем остальные запрошенные файлы...
Я удалил d:\program files\windowssa\WindowsSA\omniscienthook.dll - Adware.BlazeFind и d:\program files\windowssa\WindowsSA\omniscient.exe - Adware.BlazeFind (DrWeb) через AVZ.
Сейчас вылетело сообщене:
"Приложению не удалось запуститься,поскольку omniscienthook.dll не был найден.Повторная установка приложения может исправить эту проблему."
Ребята объясните пожалуйста как остальные файлы вытащить из AVZ,зайти в Infected или Карантин и нажать "Добавить в архив" или как?,если так то они потом просят пароль.
[quote=Stain]Ребята объясните пожалуйста как остальные файлы вытащить из AVZ,зайти в Infected или Карантин и нажать "Добавить в архив" или как?,если так то они потом просят пароль.[/quote]
Да, так, они и должны пароль просить.
Папку D:\Program Files\WindowsSA можно удалить целиком.
[QUOTE]Папку D:\Program Files\WindowsSA можно удалить целиком.[/QUOTE]
Папку удалил,остальные файлы загрузил,аттак пока небыло.
Присланные файлы по DrWeb:
d:\windows\system\driver\ntuser.exe - BackDoor.IRC.Elmer
D:\Program Files\WindowsSA\OmniscientHook.dll - Adware.BlazeFind
d:\program files\windowssa\omniscient.exe - Adware.BlazeFind
Лечим BackDoor.IRC.Elmer:
1. Закройте все программы.
2. Запустить AVZ.
3. Включите AVZGuard. (на всякий случай)
4. Удалить файл
D:\Windows\System32\wsaupdater.exe
через AVZ меню Файл->«Отложенное удаление». Скопируйте строку с именем файла в диалог «Отложенное удаление» и нажмите кнопку ОК.
5. Перезагрузите компьютер не выходя из AVZ.
[QUOTE=Stain]
В каком смысле,скачать с тех ссылок что вы дали и поставить?,если да то если можно объясните как именно это сделать или просто сделать Update Windows.
[/QUOTE]
Просто обновиться через Windows Update
[QUOTE]
Я ставил сам и там просто пустая папка сейчас осталась,есть proxyway.exe что-бы заново проинсталлировать.
[/QUOTE]
Нет, ставить не надо, можно пофиксить строку
O4 - HKCU\..\Run: [ProxyWay] D:\Program Files\ProxyWay\proxyway.exe
[quote]
F:\ATR1.exe
Это CD Burner и диска в нем небыло...?
[/quote]
Однако ATR1.exe с этого диска сидит в автозагрузке, если диска такого нет, то смело можно пофиксить и строки
O4 - Startup: Product Registration.lnk = F:\ATR1.exe
O4 - Startup: Sid Registration.lnk = F:\ATR1.exe
Поскольку остальных файлов/папок проводником найти не удалось, то есть два варианта, либо их раньше удалил антивирус, оставив следы в реестре, либо они прячутся:
Попробуем найти файлы с помощью AVZ
1. Запустите AVZ
2. Включите AVZGuard
3. Попробуйте найти файлы
bargains.exe на диске в папке D:\Program Files
wsaupdater.exe, iakdhw.exe, ntuser.exe в папке D:\Windows
4. Если удасться, что нибудь найти, то шлите их на анализ, как присылали раньше другие файлы.
Выполнять ТОЛЬКО если не удалось найти НИ ОДИН файл указанным выше способом.
5. Если найти ничего не удасться, то пофиксите в Hijackthis следующие строки:
O4 - HKLM\..\Run: [BullsEye Network] D:\Program Files\BullsEye Network\bin\bargains.exe
O4 - HKLM\..\Run: [nnfcaltvucup] D:\WINDOWS\System32\iakdhw.exe
O23 - Service: NTBOOTMGR (NTBOOT) - Unknown owner - D:\WINDOWS\SYSTEM\DRIVER\ntuser.exe
После выполнения указанных действий перезагрузиться, сделать новые логи и прислать их нам, для проверки результатов лечения
[QUOTE]O4 - HKCU\..\Run: [ProxyWay] D:\Program Files\ProxyWay\proxyway.exe
O4 - Startup: Product Registration.lnk = F:\ATR1.exe
O4 - Startup: Sid Registration.lnk = F:\ATR1.exe[/QUOTE]
Все эти профиксил,аттаки продолжаются.
Искал так как вы сказали,нашёл только ntuser.exe,его сейчас пошлю вам.
Так-же искал в:"Поиск данных в реестре",он там всех их нашёл,если надо пришлю протоколы.
живите спокойно - это Касперский сообщает о том, что кто-то пытается заразить ваш компьютер по сети. (т.е. тем же провайдером пользуется кто-то зараженный вирусом). если у вас стоят все сервис паки и другие обновления, то бояться нечего.
Да,но эта тварь жить не даёт,каждую секунду вылетает сообщение об этом и просто уж кто-то больно настойчивый,это уже 4-ый день почти без передыхов.
И вопрос обычно Outpost сообщает об аттаке,но сейчас молчит как партизан?
Спасибо за помощь :)
[QUOTE=Stain]Да,но эта тварь жить не даёт,каждую секунду вылетает сообщение об этом и просто уж кто-то больно настойчивый,это уже 4-ый день почти без передыхов.
И вопрос обычно Outpost сообщает об аттаке,но сейчас молчит как партизан?
[/QUOTE]
у Касперского в окне с предупреждением можно поставить галочку "Больше не предупреждать в текущем сеансе работы" (или как-то так).
молчание Аутпоста может быть объяснено разными причинами, например отсутствием атак или какой конфигурацией, когда он на это не реагирует
D:\WINDOWS\system\DRIVER\ntuser.exe - троян, удаляйте (например отложенным удалением в AVZ)
вот как он детектируется:
Complete scanning result of "avz00001.dta", received in VirusTotal at 10.08.2006, 17:11:17 (CET).
Antivirus Version Update Result
AntiVir 7.2.0.25 10.06.2006 BDS/Iroffer.14b2.B
Authentium 4.93.8 10.06.2006 W32/Backdoor.HVJ
Avast 4.7.892.0 10.08.2006 Win32:Trojano-1333
AVG 386 10.07.2006 BackDoor.Generic.URF
BitDefender 7.2 10.08.2006 Backdoor.Irc.Elmer.A
CAT-QuickHeal 8.00 10.07.2006 no virus found
ClamAV devel-20060426 10.08.2006 no virus found
eTrust-InoculateIT 23.73.16 10.07.2006 no virus found
eTrust-Vet 30.3.3118 10.06.2006 Win32/Identdhack.A
DrWeb 4.33 10.08.2006 BackDoor.IRC.Elmer
Ewido 4.0 10.08.2006 no virus found
Fortinet 2.82.0.0 10.08.2006 W32/CPB.A!tr.bdr
F-Prot 3.16f 10.06.2006 security risk named W32/Backdoor.HVJ
F-Prot4 4.2.1.29 10.06.2006 W32/Backdoor.HVJ
Ikarus 0.2.65.0 10.07.2006 Backdoor.Win32.Noer
Kaspersky 4.0.2.24 10.08.2006 no virus found
McAfee 4868 10.06.2006 BackDoor-CPB
Microsoft 1.1603 10.08.2006 no virus found
NOD32v2 1.1794 10.06.2006 no virus found
Norman 5.80.02 10.06.2006 no virus found
Panda 9.0.0.4 10.08.2006 Bck/Zapchast.BB
Sophos 4.10.0 10.05.2006 Troj/Bckdr-LBG
TheHacker 6.0.1.093 10.06.2006 Trojan/Small
UNA 1.83 10.06.2006 Backdoor.Noer.BFD9
VBA32 3.11.1 10.08.2006 BackDoor.Noer
VirusBuster 4.3.7:9 10.07.2006 no virus found
Aditional Information
File size: 11776 bytes
MD5: 80858f87275634946eed13b514222cdb
SHA1: 518d634a2bd8a7723638256ff66eaf3b7a06e755
[QUOTE]у Касперского в окне с предупреждением можно поставить галочку "Больше не предупреждать в текущем сеансе работы" (или как-то так).[/QUOTE]
Это я видел,спасибо,просто я часто переподключаюсь,что-бы менять i.p.,для скачивания с rapidshare и оно тут как тут.
А можно его отладить как-то от аттак на меня или провайдеру звонить?
Сейчас удалю,а остальные файлы что я в реестре нашёл:wsaupdater.exe, iakdhw.exe, ntuser.exe,bargains.exe,тоже?
[QUOTE=Stain]Это я видел,спасибо,просто я часто переподключаюсь,что-бы менять i.p.,для скачивания с rapidshare и оно тут как тут.
А можно его отладить как-то от аттак на меня или провайдеру звонить?
[/QUOTE]
рискну предположить - атаки начинаются тогда, когда подключаетесь на конкретного провайдера, а при работе с другим провайдером все нормально?
[QUOTE=Stain]
Сейчас удалю,а остальные файлы что я в реестре нашёл:wsaupdater.exe, iakdhw.exe, ntuser.exe,bargains.exe,тоже?[/QUOTE]
если их не найдено на диске, то и в реестре им делать нечего.
[QUOTE]рискну предположить - атаки начинаются тогда, когда подключаетесь на конкретного провайдера, а при работе с другим провайдером все нормально?[/QUOTE]
Да провайдер постоянный уже три года.
[QUOTE]если их не найдено на диске, то и в реестре им делать нечего.[/QUOTE]
Так вот AVZ на диске их ненашёл,а по поиску в реестре,нашёл.
D:\WINDOWS\system\DRIVER\ntuser.exe зарегистрирован как служба, поэтому удаляем ее следующим образом:
1. Запускаем AVZ, выбираем Сервис/Диспетчер служб и драйверов
2. В появившемся окне находим по полю Файл службу трояна (D:\WINDOWS\system\DRIVER\ntuser.exe)
3. Выделяем ее и жмем кнопку "Остановить службу" (кнопка со значком паузы)
4. Затем кнопку удалить службу.
5. Перезагружаем компьютер.
6. Повторяем шаги 1 и 2 чтобы убедиться, что зверь удален из системы.
7. Если служба опять не появилась, то можно удалять сам файл с трояном D:\WINDOWS\system\DRIVER\ntuser.exe.
Чтобы избавиться от предупреждений об атаках закрываем 135 порт для этого:
1. В Outpost идем в меню Параметры/Системные...
2. В разделе "Глобальные правила и доступ к rawsocket" жмем кнопку Правила...
3. В появившемся окне кликаем по кнопке Добавить и создаем следубщее правило:
Где протокол: TCP
Где направление: Входящие
Где локальный порт: 135
Действие: Блокировать эти данные
Это должно блокировать пыпытки атак на 135 порт.
[QUOTE]Где протокол: TCP
Где направление: Входящие
Где локальный порт: 135
Действие: Блокировать эти данные
[/QUOTE]
+ Игнорировать контроль компонентов
+ Пометить правило как Правило с высоким приоритетом
Далее. За 135 порт отвечает svchost.exe, поэтому прописываем и для него такое же правило.
P.S. Совсем забыл, для протокола UDP тоже прописать нужно (т.е. TCP+UDP).
[B]MOCT[/B] [QUOTE]молчание Аутпоста может быть объяснено разными причинами, например отсутствием атак или какой конфигурацией, когда он на это не реагирует
[/QUOTE] реагирует, реагирует (RPC DCOM, так его определяет Outpost). Долго объяснять. Представь, что сначала первым сетевые пакеты получает KAV и отбрасывает, соответственно Outpost эти пакеты не получает, т.к. работа идет в обход драйвера ОР. Многое еще зависит и от самих настроек ОР, но это отдельная тема.
[B]Minos[/B] [QUOTE]Чтобы избавиться от предупреждений об атаках закрываем 135 порт[/QUOTE] Несколько поправлю.
[I]Чтобы избавиться от предупреждений об атаках [/I]- в Outpost открываем Детектор атак - Визуальные оповещения.
[I]закрываем 135 порт[/I] , ну нет, конечно же, порты так не закрываются. Порты закрываются сервисами/службами Винды. А это лишь прикрытие любого входящего сетевого трафика по этому порту. А порт как был открытым, так и будет. Убедиться можно, если выполнить [U]netstat -an[/U]