Заражена сеть. превратилась в ботнет. никто не знает как лечить. [Backdoor.Win32.Tiny.dc ]

В системной папке нет такого файла. Может антивирус удалил.
папка ZOO пуста. Подобный файл я уже присылал в карантин.
образ автозапуска сделал. тут скриншот: [url]http://rghost.ru/download/6PHknf4Qk/a43e0e56745f2aa6bfd0fef897a99f34d52f3843/screen.jpg[/url]
Обвел красным что меня напрягло. у меня нет clear.cmd и никогда не было, папки такой нет. у меня не может быть ярлыка для удаления тулзы активация. у меня лицензия везде. Ссылка на какие-то подозрительные екзешники, которых тоже не должно быть в системе.
И что за не стандартные свойства связи DCOM. Подозрительно.
тут лог образ автозапуска: [url]http://rghost.ru/download/8dMyFf7Vl/594b5374d3c817844b5519f0e242ddc104aaa203/PDC_2015-10-23_01-07-37.zip[/url] с паролем virus

З.Ы. К сожалению скрипт не выполнил, устал, не так прочел. Но т.к. файла такого нет, есть ли смысл его выполнять?
Помоему прибавилось служб со странными именами (случайный набор символов), все не запущены, все ссылаются на %SystemRoot%\F1DA5145.EXE, но такого файла нет.
З.Ы.-2 Если этот файл нужен могу попробовать поискать его в бэкапе и оттуда вытащить.

[QUOTE=norlest;1324996]З.Ы. К сожалению скрипт не выполнил, устал, не так прочел. Но т.к. файла такого нет, есть ли смысл его выполнять?
Помоему прибавилось служб со странными именами (случайный набор символов), все не запущены, все ссылаются на %SystemRoot%\F1DA5145.EXE, но такого файла нет.[/QUOTE]
Лучше скрипт выполнить, если бэкдора нет - зачистит хвосты за ним. А последующий образ показал бы результат - если бы ссылки на вирус не стало - ок, он удалён.
Меня смутило вот ещё что. В первом образе автозапуска (как и в последующих) видим: файла C:\WINDOWS\F1DA5145.EXE как бы нет:
[QUOTE]Полное имя C:\WINDOWS\F1DA5145.EXE
Имя файла F1DA5145.EXE
Тек. статус сервис в автозапуске

Сохраненная информация на момент создания образа
Статус сервис в автозапуске
Инф. о файле Не удается найти указанный файл.[/QUOTE]
Только куча сервисов, относящихся к нему. Но далее, в логе TDSSKiller видим:[QUOTE]13:47:04.0828 0x1210 [ 47E4C7BBA2C1DF20D857677C7AB077AB, F40AE18FE824AE3F66A27F84B54125E1C490FC171367539FFD328B7134B8E5D2 ] C:\Windows\F1DA5145.exe
13:47:04.0828 0x1210 C:\Windows\F1DA5145.exe - ok[/QUOTE]Т. е. файл существует, его хэши MD5 и SHA256 отражены в логе. При этом путаница такая: образ автозапуска UVS создан в 17:16 (запуск программы в 17:06), а лог TDSSKiller - в 13:47, хотя был запрошен позже :?
Если реально он выполнялся позже - очень похоже на то, что этот троян хорошо скрывает себя, и не виден даже в безопасном режиме.

[QUOTE=norlest;1324996]З.Ы.-2 Если этот файл нужен могу попробовать поискать его в бэкапе и оттуда вытащить.[/QUOTE]
Да, смысл есть, судя по хэшам, файл отличается от того, что Вы загрузили в карантин.

Скрипт выполнил. Лог приложил.
Сейчас уже не вспомню в какой последовательности их запускал. Но делал строго что просили и именно в такой последовательности. По сообщениям можно проследить.
В бэкапе этого файла нет, просмотрел с 22,10 по 16,10, больше просто не храню. Сейчас увеличу глубину бэкапа и поищу по другим серверам эти подозрительные файлы (clear.cmd dump_dickdump.sys и т.д.).
Заметил одну интересную вещь: у всех профилей заблокирован ntuser.dat причем заблокирован системой. Даже в профилях людей. которые уволились и не логинились несколько лет (за это время было много перезагрузок сервера).

Судя по логу, службы удалены. Вирус себя проявляет?

да.
Лог из циски
Oct 23 15:48:47: %SEC-6-IPACCESSLOGP: list acl_localnet denied tcp 192.168.2.5(56410) -> 85.93.5.88(80), 1 packet

З.Ы. личные сообщения кончились

Упс...
Отпишу позже дальнейшие шаги.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Тут сложно понять, то ли по сети уже снова заразили, то ли всё же остался зловред...
Сделайте TDSSKiller ещё раз.

сделал с максимальными выставленными параметрами
лог тут:[url]http://rghost.ru/download/6GjK6WZpk/d383e5adca17ae463e8611039b8e230377c1eb0e/tdss-log-23.10-19.55.zip[/url]
Пароль как всегда: virus
прикрепить не могу, место кончилось

скриншот службы тут: [url]http://rghost.ru/download/7xDNJhFHN/b05af30292e1dd2c74900d57809b4851890d5360/service.jpg[/url]
достаточно много служб исчезло. эта вот толи осталась толи появилась

Похоже, новая.

[url=http://virusinfo.info/showthread.php?t=121985]Сделайте образ автозапуска uVS с Live CD[/url], только образ диска скачайте отсюда: [URL="https://www.wuala.com/al_1963/avirus/Live.CD/Winpe_uVS"]WINPE60_UVS3.86.ISO[/URL]. Можно сделать загрузочную флэшку, например, с помощью [URL="https://rufus.akeo.ie/"]Rufus[/URL].

сделал
[url]http://rghost.ru/download/6YzBpgYsm/c40cf648db0df7227b90cbc0b6d164197cf0cae5/MININT-GKFNACD_2015-10-25_21-47-54.zip[/url]
пароль как обычно

К сожалению, это образ автозапуска самой LiveCD и полезной информации он не содержит. Надо было кликнуть пункт "Выбрать каталог Windows" и указать на расположение каталога системы на HDD.

вот [url]http://rghost.ru/download/8ndK8Y7lj/a3a02aa3b4d6f8d76e8d7cb08093af2c8cf2a9ee/PDC_2015-10-26_00-31-44.zip[/url]

А нет тела вируса на компьютере, только службы. Посмотрите с помощью [URL="https://technet.microsoft.com/ru-ru/sysinternals/bb897437.aspx"]TCPView[/URL], какой процесс лезет по адресу 85.93.5.88.

насколько я проверял процессы:
svchost.exe ломится в инет на этот адрес (проверял, процесс не подменный, а родной, просто инфицированный, пытался его восстанавливать из дистрибутива командой SFC) и распространяет его по сети

лог тут
[url]http://rghost.ru/download/6sZH9dWPd/86d0d0530a7d3b0e79856ed35a65a73e247e87a0/tcp_log.zip[/url]

циска:
Oct 26 14:31:55: %SEC-6-IPACCESSLOGP: list acl_localnet denied tcp 192.168.2.5(51715) -> 85.93.5.102(80), 1 packet

снял логи через [URL="https://technet.microsoft.com/ru-ru/sysinternals/bb896645.aspx"]process monitor[/URL]
рекомендую посмотреть
тут: [url]http://rghost.ru/download/8dsvLP94Q/b82ee62429892c095fc035c7e717add7be9c2450/proc_mon.zip[/url]

Да, есть обращения к hosted-by.emgoldexnet.com в логе. Но, тем не менее, по образу автозапуска, сделанному с LiveCD, можно утверждать, что, по крайней мере, в автозапуске трояна точно нет. То ли по сети что-то лезет, то ли ещё что.

Выполните от администратора команду [B]BITSADMIN /RESET /ALLUSERS[/B]
Если есть возможность, выведите компьютер из домена, зайдите под локальным администратором и последите за его поведением.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \3825889043a.exe - [B]Backdoor.Win32.Tiny.dc[/B][*] \852f1a1d.exe - [B]Backdoor.Win32.Tiny.dc[/B][/LIST][/LIST]