Сетевой червь ''Lovesan''

Printable View

04.11.2006, 00:53
Ann

Вложений: 3

Сетевой червь ''Lovesan''

Здраствуйте! У Меня вылезает этот червь и вылезает табличка с тем что ПК перезагрузится сам через минуту, но прикол весь в том что установлен sp2 и на нем поидее должна уже стоять заплатка от этого вируса. Хочю установить заплатку а мне он говорит что уже установле! Антивирус ничего не нашел! :?
04.11.2006, 01:26
Зайцев Олег

Компьютер заражен, тоько видимо не Lovesan - по логам как минимум виден червяк Warezov. Сделайте следующее:
1. AVZ, меню "Файл/выполнить скрипт" - скопируйте туда скрипт и запустите его:
[code]
begin
QuarantineFile('iasamsre.dll','');
QuarantineFile('statdss.dll','');
QuarantineFile('cfgdss.dll','');
QuarantineFile('confaud.dll','');
QuarantineFile('diagdss.dll','');
QuarantineFile('e1.dll','');
QuarantineFile('audstat.dll','');
QuarantineFile('C:\WINDOWS\system32\dssconf.exe','');
QuarantineFile('C:\WINDOWS\system32\audconf.exe','');
QuarantineFile('C:\WINDOWS\system32\cfgdss.dll','');
QuarantineFile('C:\WINDOWS\system32\OdiAPI.dll','');
QuarantineFile('C:\WINDOWS\System32\statdss.dll','');
QuarantineFile('C:\WINDOWS\System32\iasamsre.dll','');
QuarantineFile('C:\WINDOWS\System32\glu3panm.dll','');
QuarantineFile('C:\WINDOWS\System32\e1.dll','');
QuarantineFile('C:\WINDOWS\System32\diagdss.dll','');
QuarantineFile('C:\WINDOWS\System32\confaud.dll','');
QuarantineFile('C:\WINDOWS\System32\audstat.dll','');
QuarantineFile('C:\WINDOWS\system32\audprf32.dll','');
QuarantineFile('C:\WINDOWS\system32\audmgr32.dll','');
QuarantineFile('C:\WINDOWS\system32\atkcadpt.dll','');
QuarantineFile('c:\windows\system32\audconf.exe','');
QuarantineFile('c:\windows\system32\atkcadpt.exe','');
end.
[/code]
2. После выполнения скрипта в карантин попадет ряд файлов, которые нужно прислать согласно правилам для анализа
04.11.2006, 13:36
Ann

[quote=Зайцев Олег]Компьютер заражен, тоько видимо не Lovesan - по логам как минимум виден червяк Warezov. Сделайте следующее:
1. AVZ, меню "Файл/выполнить скрипт" - скопируйте туда скрипт и запустите его:
[code]
begin
QuarantineFile('iasamsre.dll','');
QuarantineFile('statdss.dll','');
QuarantineFile('cfgdss.dll','');
QuarantineFile('confaud.dll','');
QuarantineFile('diagdss.dll','');
QuarantineFile('e1.dll','');
QuarantineFile('audstat.dll','');
QuarantineFile('C:\WINDOWS\system32\dssconf.exe','');
QuarantineFile('C:\WINDOWS\system32\audconf.exe','');
QuarantineFile('C:\WINDOWS\system32\cfgdss.dll','');
QuarantineFile('C:\WINDOWS\system32\OdiAPI.dll','');
QuarantineFile('C:\WINDOWS\System32\statdss.dll','');
QuarantineFile('C:\WINDOWS\System32\iasamsre.dll','');
QuarantineFile('C:\WINDOWS\System32\glu3panm.dll','');
QuarantineFile('C:\WINDOWS\System32\e1.dll','');
QuarantineFile('C:\WINDOWS\System32\diagdss.dll','');
QuarantineFile('C:\WINDOWS\System32\confaud.dll','');
QuarantineFile('C:\WINDOWS\System32\audstat.dll','');
QuarantineFile('C:\WINDOWS\system32\audprf32.dll','');
QuarantineFile('C:\WINDOWS\system32\audmgr32.dll','');
QuarantineFile('C:\WINDOWS\system32\atkcadpt.dll','');
QuarantineFile('c:\windows\system32\audconf.exe','');
QuarantineFile('c:\windows\system32\atkcadpt.exe','');
end.
[/code]
2. После выполнения скрипта в карантин попадет ряд файлов, которые нужно прислать согласно правилам для анализа[/quote]

Так это значит что мне нада выделить все от begin до end вставить в выполнить скрипт запустить его и прислать!?
04.11.2006, 14:11
Alex Plutoff

[QUOTE=Ann]Так это значит что мне нада выделить все от begin до end вставить в выполнить скрипт запустить его и прислать!?[/QUOTE]-читать и выполнять [URL="http://virusinfo.info/showthread.php?t=1235"]правила[/URL][QUOTE] Приложение 2. Поиск файлов при помощи AVZ.

1. Выберите "Файл" - "Добавление в карантин по списку".
2. В верхнем окне введите список файлов которые Вас просили прислать.
3. Нажмите на кнопку "Пуск" и дождитесь появления в нижнем окне надписи "Процесс добавления файлов завершен"
4. Закройте текущее окно "Добавление в карантин по списку"
5. Выберите из меню "Файл" - >"Просмотр карантина".
6. Справа в списке файлов отметьте те файлы которые хотите выслать.
7. Нажмите на кнопку "Архивировать" и укажите место на диске где будет сохранён архив.
8. Загрузите полученный архив по адресу [url]https://virusinfo.info/upload_virus.php[/url] , указав в поле "Ссылка на тему" ссылку на открытую Вами тему (ссылка должна быть вида httр://virusinfo.info/showthread.php?t=ХХХХ).[/QUOTE]
...или же, если Вы решили выполнить скрипт предложенный [B]Олегом[/B] вместо пунктов 1-4, то дольше действуйте начиная с 5-го.
06.11.2006, 01:19
Ann

[quote=Alex Plutoff]-читать и выполнять [URL="http://virusinfo.info/showthread.php?t=1235"]правила[/URL]
...или же, если Вы решили выполнить скрипт предложенный [B]Олегом[/B] вместо пунктов 1-4, то дольше действуйте начиная с 5-го.[/quote]
Да я все сделал...на экспертизу отправил...
06.11.2006, 01:23
Ann

Результат загрузки
Файл сохранён как 061105_172430_virus_454e649eadc4a.zip
Размер файла 330541
MD5 50a7abdeaf56246aaeb103f508a4cb62
06.11.2006, 19:11
Alexey P.

Из четырех присланных файлов три детектятся, Win32.HLLM.Limar (DrWeb):
C:\WINDOWS\system32\cfgdss.dll
C:\WINDOWS\System32\statdss.dll
C:\WINDOWS\System32\diagdss.dll

Удалите файлы червя скриптом (будет перезагрузка компьютера):
[CODE]
begin
DeleteFile('C:\WINDOWS\system32\cfgdss.dll');
DeleteFile('C:\WINDOWS\system32\statdss.dll');
DeleteFile('C:\WINDOWS\system32\diagdss.dll');
DeleteFile('C:\WINDOWS\system32\iasamsre.dll');
DeleteFile('C:\WINDOWS\system32\e1.dll');
DeleteFile('C:\WINDOWS\system32\confaud.dll');
DeleteFile('C:\WINDOWS\system32\audstat.dll');
DeleteFile('C:\WINDOWS\system32\audmgr32.dll');
DeleteFile('C:\WINDOWS\system32\audconf.exe');
DeleteFile('C:\WINDOWS\system32\atkcadpt.exe');
DeleteFile('C:\WINDOWS\system32\atkcadpt.dll');
DeleteFile('C:\WINDOWS\system32\audprf32.dll');
DeleteFile('C:\WINDOWS\system32\glu3panm.dll');
ExecuteSysClean;
RebootWindows(True);
end.
[/CODE]
После перезагрузки сделайте, пожалуйста, логи еще раз.
06.11.2006, 20:38
Ann

[quote=Alexey P.]Из четырех присланных файлов три детектятся, Win32.HLLM.Limar (DrWeb):
C:\WINDOWS\system32\cfgdss.dll
C:\WINDOWS\System32\statdss.dll
C:\WINDOWS\System32\diagdss.dll

Удалите файлы червя скриптом (будет перезагрузка компьютера):
[code]
begin
DeleteFile('C:\WINDOWS\system32\cfgdss.dll');
DeleteFile('C:\WINDOWS\system32\statdss.dll');
DeleteFile('C:\WINDOWS\system32\diagdss.dll');
DeleteFile('C:\WINDOWS\system32\iasamsre.dll');
DeleteFile('C:\WINDOWS\system32\e1.dll');
DeleteFile('C:\WINDOWS\system32\confaud.dll');
DeleteFile('C:\WINDOWS\system32\audstat.dll');
DeleteFile('C:\WINDOWS\system32\audmgr32.dll');
DeleteFile('C:\WINDOWS\system32\audconf.exe');
DeleteFile('C:\WINDOWS\system32\atkcadpt.exe');
DeleteFile('C:\WINDOWS\system32\atkcadpt.dll');
DeleteFile('C:\WINDOWS\system32\audprf32.dll');
DeleteFile('C:\WINDOWS\system32\glu3panm.dll');
ExecuteSysClean;
RebootWindows(True);
end.
[/code]
После перезагрузки сделайте, пожалуйста, логи еще раз.[/quote]
Можно уточнить мне файы C:\WINDOWS\system32\cfgdss.dll
C:\WINDOWS\System32\statdss.dll
C:\WINDOWS\System32\diagdss.dll
удолять через отложенное удаление?
или мне сначала снова нада выполнить скрипт а потом из карантина удалить?
06.11.2006, 20:54
Палыч

Выполни скрипт сначала. AVZ - "Файл"=>"Выполнить скрипт"

Этот скрипт и есть удаление всех эземпляров зверька.
Про файлы в карантине можно не беспокоиться -- зверьки там не опасны.
И после выполнения скрипта и перезагрузки сделай логи, как в начале и прикрепи их сюда. Это нужно, что бы убедится, что всё ненужное удалилось и что не осталось ли чего ещё подозрительного.
06.11.2006, 22:55
Ann

Вложений: 3

все сделал как вы сказали....вот логи))
06.11.2006, 23:36
Alexey P.

Удалите через отложенное удаление в AVZ файл:
C:\WINDOWS\system32\dssconf.exe

После перезагрузки пофиксите в hijackthis строки:
O4 - HKLM\..\Run: [dssdiag] C:\WINDOWS\system32\dssconf.exe
O20 - AppInit_DLLs: iasamsre.dll e1.dll diagdss.dll statdss.dll confaud.dll audstat.dll,C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: atkcadpt - C:\WINDOWS\
O20 - Winlogon Notify: audmgr - audmgr32.dll (file missing)
O20 - Winlogon Notify: dssconf - cfgdss.dll (file missing)
и снова сделайте лог virusinfo_syscheck
08.11.2006, 18:12
Ann

Вложений: 3

Все зделал как вы сказали ! Вот логи)
09.11.2006, 22:21
Ann

Так чтоже мне дальше делать?
10.11.2006, 01:13
pig

Кажется, можно расслабиться.
10.11.2006, 15:20
Ann

Так значит у меня комп уже чист)))
10.11.2006, 18:05
AndreyKa

[QUOTE=Ann]Так значит у меня комп уже чист)))[/QUOTE]
Чист, а что, есть какие-то сомнения?