Printable View
Здравствуйте.
Сабж, собственно. Сразу при заходе в инет комп начинает ломиться на yahoo.com, google.com, gmail.com, microsoft.com, icq.com и еще много куда. Аську пытался стянуть. Траффик создает нереальный (несколько Мб/мин). Все перерыл. Незнаю в чем проблема. DrWeb, KAV, Avast - молчат как рыбы об лед.
Выручайте!
[QUOTE=Sot]Здравствуйте.
Сабж, собственно. Сразу при заходе в инет комп начинает ломиться на yahoo.com, google.com, gmail.com, microsoft.com, icq.com и еще много куда. Аську пытался стянуть. Траффик создает нереальный (несколько Мб/мин). Все перерыл. Незнаю в чем проблема. DrWeb, KAV, Avast - молчат как рыбы об лед.
Выручайте![/QUOTE]
У вас на компьютере опасный бот с руткитом. Рецепт:
1. Выполните инструкцию [url]http://www.z-oleg.com/secur/virlist/vir1179.php[/url]
2. Пришлите согласно правилам C:\Program Files\MP3 Player Utilities 3.06\RDiskUpdate\DelDrv.exe для изучения
3. Повторите логи для контроля
Продолжаю биться. Кое что понаходил, но не помогает. Выполнял инструкчию - у меня такого файла нет, и вообще у меня на системном диске FAT32.
Файл, что вы просили - это удолялка драйверов для Mp3 плэера. Ей сто лет уже.
PS. Очень жду помощи. Траффик платный. Только за вчерашние эксперименты 150 Мб ушло.
Попробуйте выполнить (AVZ=>Файл=>Выполнить скрипт) такой скрипт -
[code]
begin
SearchRootkit(True, True);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\lzx32.sys','');
DeleteFile('C:\WINDOWS\system32\lzx32.sys');
ExecuteSysClean;
RebootWindows(True);
end.
[/code]
После перезагрузитесь и повторите ещё раз логи.
Присылаю.
PS. В карантине ничего нового не появилось.
PSS. Я далеко не чайник.
[QUOTE=Sot]Присылаю.
PS. В карантине ничего нового не появилось.
PSS. Я далеко не чайник.[/QUOTE]
Судя по логам инструкция по указанной ссылке выполнена не была. Тогда дублирую ее по шагам:
1. Перезагрузиться
2. Запустить AVZ, не отмечая диски пролечить ПК с [U]включенным противодействияем руткитам[/U] (в логе появится отметка о нейтрализации перехвата SYSENTER и о обнаружении маскировки lzx32.sys)
3. Включить AVZ Guard
4. Сервис/Поиск данныx в реестре. Образец поиска - [I]lzx32.sys[/I]. Найденные ключи следует удалить.
5. Файл/отложенное удаление. Удалить файл [I]C:\WINDOWS\system32\lzx32.sys[/I] (этот файл не виден на диске, поэтому нужно просто скоипровать отсюда или из лога его полное имя в поле "Файл" диалога отложенного удаления).
6. Перезагрузиться, не отключая AVZ Guard
7. Повторить логи. Если все сделано верно, то перехват SYSENTER пропадет и посторонний трафик исчезнет
Перечисленное можно сделать при помощи скрипта AVZ (правда поиск в реестре по образцу lzx32.sys лучше):
[CODE]
begin
SearchRootkit(True, True);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\lzx32.sys');
ExecuteSysClean;
RegKeyDel('HKEY_LOCAL_MACHINE', 'HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PE386');
RegKeyDel('HKEY_LOCAL_MACHINE', 'HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\PE386');
RebootWindows(True);
end.
[/CODE]
По идее если спайдеру поменять настройки с оптимальных на "Запуск и открытие" + "Создание и запись" он его и без посторонней помощи придушит во время загрузки винды..
Сделал все, как вы сказали. Спайдер молчал как партизан Только после удаления ключей реестра траффик прекратился и исчез перехват SYSENTER. Но файл lzx32.sys так и не был обнаружен. Делал отложенное удаление с помещением в карантин, но в карантине ПУСТО! Повторюсь, у меня на лиске C: файловая система FAT32. Вы не считаете это подозрительным?
Новая разновидность с другим именем, что ли? Жалко, что удалённые ключи не экспортировали для изучения.
А сигнатуру какую нибудь с этого файла пришлите, я по диску поищу.
А подцепил я его повидимому сдесь: [url]http://socamicohapitama.fromru.com/programma-per-creare-dvd.htm[/url]
[QUOTE=Sot]А сигнатуру какую нибудь с этого файла пришлите, я по диску поищу.[/QUOTE]
Стабильных сигнатур у этой штуки нет - известны десятки модификаций. Но все характерны установкой драйвера, который маскирует ключи в реестре и файлы на диске (файлы маскируются при помощи фильтра файловой системы).
Спасибо вам огромное! Вроде все победил. Все найденные образцы отправил на drweb.ru. Могу и вам выслать.
Объём большой? Если да, то пришлите выборку самых характерных.
Нет, все вместе в архиве 180Кб. Куда прислать? В форум я думаю не стоит.
[QUOTE=Sot]Нет, все вместе в архиве 180Кб. Куда прислать? В форум я думаю не стоит.[/QUOTE]
8. Загрузите полученный архив по адресу [url]https://virusinfo.info/upload_virus.php[/url] , указав в поле "Ссылка на тему" ссылку на открытую Вами тему (ссылка должна быть вида httр://virusinfo.info/showthread.php?t=ХХХХ).