возможно Trojan-Proxy.Win32.Dlena.bv

помогите опознать и удалить заразу
по какому-то событию (НЕ сразу после включения компа) начинает ломиться в интернет и забивает весь канал... пока не заметил, с компа отослалось 350Мб спама, потом прикрыл на сервере выход с этой машины, пролечил cureit!'ом - вроде притихло... сегодня открыл доступ, смотрю - опять ломанулось (лезет много куда на 25ые порты)... прикрыл нафиг, и понял, что одним вэбом тут не обойтись... часть удалил AVZ'ой, часть - hijackthis... так что файлов немного больше... и решил написать вам...

заранее спасибо за содействие
ps: в базу spamcop.net уже добавили... :о(

Уберите файл virusinfo_cure.zip с форума!!!

[quote=AndreyKa;94054]Уберите файл virusinfo_cure.zip с форума!!![/quote]

извините, убрал

Выполнить скрипт, содержимое карантина прислать по правилам

[CODE]begin
QuarantineFile('c:\windows\explorer.exe','');
QuarantineFile('C:\WINDOWS\system32\rpcc.dll','');
QuarantineFile('C:\Program Files\Common Files\dbmio32.dll','');
QuarantineFile('C:\WINDOWS\system32\msnetax.dll','');
end.[/CODE]

[quote=Geser;94057]Выполнить скрипт, содержимое карантина прислать по правилам
[/quote]
done.
Файл сохранён как 070202_182323_virus_45c3576b7870f.zip

и на всякий случай логи того, что я УЖЕ удалил hijack'ом

Один троян обнаружиился.
C:\WINDOWS\system32\rpcc.dll
Остальные файлы в проверке

[quote=Geser;94073]Один троян обнаружиился.
C:\WINDOWS\system32\rpcc.dll
Остальные файлы в проверке[/quote]
ага... значит я его правильно удалил... и AVZ на него ругался изначально...
ждут дальше...
вопрос: как эта зараза вообще могла на комп попасть? пользователь работает только в САПР + смотрит погоду на гисметео (на десктопе линк), мужику 65лет, врят ли он стал бы где-то еще лазить... хотя, кто знает %)

C:\Program Files\Common Files\dbmio32.dll это тоже судя по всему кусок трояна. Попасть мог через уязвимость какую-то

[quote=Geser;94076]C:\Program Files\Common Files\dbmio32.dll это тоже судя по всему кусок трояна. Попасть мог через уязвимость какую-то[/quote]
файло удалю...
уязвимость, за натом? скорее всего кто-то что-то где-то не там все же ткнул... :о/

Уязвимоть в браузере. И тыкать не нужно. Достаточно зайти на зараженную страницу.

[quote=Geser;94079]Уязвимоть в браузере. И тыкать не нужно. Достаточно зайти на зараженную страницу.[/quote]
ну да... наверное...
я так понимаю, все остальное в норме или на рассмотрении?

На рассмотрении. Эксплорер похоже пропатченый. Точно пока не могу сказать.

если не сильно заняты, можно в двух словах принцип работы? эта ерунда управляется по сети и базы рассылок и, собсно, самих писем получает постоянно? или оно хранит все на диске? можно ли "вычислить" управляющий компьютер и просто заблокировать доступ его в свою сеть? таким образом даже если кто-то заразится, массовой рассылки можно избежать... или у него какой-то более хитрый механизм работы?

[QUOTE=Warwar;94090]если не сильно заняты, можно в двух словах принцип работы? эта ерунда управляется по сети и базы рассылок и, собсно, самих писем получает постоянно? или оно хранит все на диске? можно ли "вычислить" управляющий компьютер и просто заблокировать доступ его в свою сеть? таким образом даже если кто-то заразится, массовой рассылки можно избежать... или у него какой-то более хитрый механизм работы?[/QUOTE]
Не в курсе как конкретно этот троян работает.
c:\windows\explorer.exe действительно патченый его нужно заменить на чистый, потом удалить
C:\Program Files\Common Files\dbmio32.dll
C:\WINDOWS\system32\rpcc.dll
если они опять появятся.

[quote=Geser;94092]Не в курсе как конкретно этот троян работает.
c:\windows\explorer.exe действительно патченый его нужно заменить на чистый, потом удалить
C:\Program Files\Common Files\dbmio32.dll
C:\WINDOWS\system32\rpcc.dll
если они опять появятся.[/quote]
огромное спасибо... буду бороться дальше )
если не сложно, объясните как выудить из дистрибута чистый эксплорер?.. я как-то больше по 98ой... в XP не сильно знаю...

[QUOTE=Warwar;94093]огромное спасибо... буду бороться дальше )
если не сложно, объясните как выудить из дистрибута чистый эксплорер?.. я как-то больше по 98ой... в XP не сильно знаю...[/QUOTE]
Если есть фирменный диск Microsoft с виндой - можно выполнить команду [b]Sfc /scannow[/b] она сама выудит нужный файл, если нет - ищите в каталоге файл explorer.ex_ потом распакйте файл - [b]expand explorer.ex_[/b]

[quote=RiC;94099]Если есть фирменный диск Microsoft с виндой - можно выполнить команду [B]Sfc /scannow[/B] она сама выудит нужный файл, если нет - ищите в каталоге файл explorer.ex_ потом распакйте файл - [B]expand explorer.ex_[/B][/quote]
спасибо

а можете в общих чертах объяснить, как определяется степень зараженности того или иного файла?.. неужели прямо полным реверс-инжиниригом? или есть какие-то экспресс-тесты?.. интерес не пустой... хочется понять, что бы а) потом не задавать лишних вопросов, б) помочь кому-то попавшему в подобную ситуацию...
как я уже понял, вэб почему-то не сильно хорошо справляется с подобными вещами.. :о/

[QUOTE=Warwar;94272]а можете в общих чертах объяснить, как определяется степень зараженности того или иного файла?.. неужели прямо полным реверс-инжиниригом? или есть какие-то экспресс-тесты?.. [/QUOTE]
Самый простой вариант - залить подозреваемого на [url]www.virustotal.com[/url], из представленных на нем полутора десятков антивирусов есть шанс что у кого-то подозреваемый уже есть в базе.
Для исполняемых файлов на сайте Norman есть Sandbox, можно закачать к ним, качество этого "автомата" весьма среднее, но с простым трояном он разобраться способен.

[QUOTE=RiC;94281]Самый простой вариант - залить подозреваемого на [url]www.virustotal.com[/url], из представленных на нем полутора десятков антивирусов есть шанс что у кого-то подозреваемый уже есть в базе.
Для исполняемых файлов на сайте Norman есть Sandbox, можно закачать к ним, качество этого "автомата" весьма среднее, но с простым трояном он разобраться способен.[/QUOTE]
а если эти все ребята сказали, что все ОК, то что?