svchost ломится в инет...

Printable View

Показывать 40 сообщений этой темы на одной странице

06.11.2007, 22:14
Wowa84

svchost ломится в инет...

Согласно avz4, svchost.exe пытается соединиться по 80 порту с хостом 61.139.126.11

Делает он эти попытки постоянно, как только подключаюсь к инету >:(

Антивирусы DrWeb и Касперский, а также AVZ4 - говорят "всё чисто" при проверке дисков и памяти.

Вопрос такой - как отследить, что за прога посылает запросы?
Точнее, как я понимаю, это ломится какой-то сервис?

P.S. WindowsXP SP2 со всеми обновлениями.
06.11.2007, 22:31
Numb

Делайте логи по [url=http://virusinfo.info/showthread.php?t=1235]правилам раздела "Помогите!"[/url] и открывайте тему в разделе "Помогите!", прикрепив туда логи.
06.11.2007, 22:34
Wowa84

[quote=Numb;148170]Делайте логи по [URL="http://virusinfo.info/showthread.php?t=1235"]правилам раздела "Помогите!"[/URL] и открывайте тему в разделе "Помогите!", прикрепив туда логи.[/quote]

Я туда не пошел, так как выполнив операции, описанные в правилах, результатов не дали. :(

Оки-доки, сделаю логи.
06.11.2007, 23:12
Wowa84

Вложений: 3

Вижу тема перенеслась "автоматически" (кхм... сорри, неудачно пошутил 8))

Причина моего беспокойства описана в первом посте.

Логи собрал.

Машина обвешана девайсами, как новогодняя ёлка, но последнюю неделю изменений в конфигурацию не вносились точно.
Возникнут затруднения по драйверам - спрашивайте, отвечу без труда.
06.11.2007, 23:24
rubin

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\drwat.exe','');
QuarantineFile('C:\WINDOWS\system32\MA2_6.scr','');
QuarantineFile('C:\WINDOWS\system32\CTXFIHLP.EXE','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\vfpdata.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
Пришлите карантин по приложению 3 правил.
Поищите через AVZ WgaLogon.dll, если найдете - прикрепите к карантину.
06.11.2007, 23:43
Wowa84

Сделано:

[B]Результат загрузки[/B]

Файл сохранён как
071106_143915_virus_4730d0f3e459f.zip
Размер файла
2004546
MD5
8c5ae4f8a9b7b2cc3534521052302711

vfpdata.dll - на него CureIT ругается, KAV молчит. Насколько я понял - это часть MS ActiveSync
Но вам виднее.
07.11.2007, 00:25
rubin

Касперский ни на один из файлов не прореагировал... пойду на вирустотале прогоню
C:\Program Files\WIDCOMM\Bluetooth Software\btkeyind.dll
C:\WINDOWS\system32\drwat.exe
C:\WINDOWS\system32\MA2_6.scr
C:\WINDOWS\system32\CTXFIHLP.EXE
C:\WINDOWS\system32\DRIVERS\tcpip.sys
C:\WINDOWS\system32\vfpdata.dll
C:\WINDOWS\system32\wgalogon.dll

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

C:\WINDOWS\system32\vfpdata.dll
[quote]
AntiVir 7.6.0.30 2007.11.06 HEUR/Malware
DrWeb 4.44.0.09170 2007.11.06 DLOADER.Trojan
Panda 9.0.0.4 2007.11.06 Suspicious file
Sophos 4.23.0 2007.11.06 Mal/Behav-001
Webwasher-Gateway 6.0.1 2007.11.06 Heuristic.Malware
[/quote]
C:\WINDOWS\system32\drwat.exe
[quote]
F-Secure 6.70.13030.0 2007.11.06 W32/Malware
NOD32v2 2642 2007.11.06 probably unknown NewHeur_PE virus
Norman 5.80.02 2007.11.06 W32/Malware
Prevx1 V2 2007.11.06 Heuristic: Suspicious Self Modifying File
[/quote]
07.11.2007, 00:45
Wowa84

Как удалить?

drwat тут же восстанавливается после удаления
vfpdata.dll - нет доступа + в dllcache копия
07.11.2007, 01:14
Numb

Давайте так пробовать: на время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор(если есть). Программа AVZ - файл - выполнит скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ctspkhlp.dll','');
DeleteFile('C:\WINDOWS\system32\vfpdata.dll');
DeleteFile('C:\WINDOWS\system32\drwat.exe');
bc_deletesvc('Windows Management Instrumentations Driver Services');
bc_importall;
bc_activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, пришлите снова карантин AVZ, повторите логи, начиная с п. 10 правил и , в дополнение, сделайте лог, о котором написано здесь: [URL]http://virusinfo.info/showthread.php?t=10387[/URL]
07.11.2007, 02:40
Wowa84

Вложений: 3

[b]Результат загрузки[/b]
Файл сохранён как
071106_171813_virus_4730f63557fe2.zip
Размер файла
12487
MD5
f2d0007cea63aa8589808cfc5859d4e8

ctspkhlp.dll относится к пакету драйверов для Creative Labs Audigy 2
Хотя после общения с вами я уже ни в чем не уверен.

Файл удалил. Ломиться перестало.

Но возникли ошибки при выполнении ваших инструкций:
1. При выполнении скрипта на команде ExecuteSysClean появилось окно [Invalid datatype for "] (AVZ версии 4.27) и скрипт перестал выполнятся, то есть ребут пришлось делать "вручную".
2. Во время ребута комп завис - отображаются обои стола, курсор перемещается. Спас только ресет.
3. При выполнении п.1 для формирования лога в SafeMode в логе АВЗ:
1.2 Поиск перехватчиков API, работающих в KernelMode
Дравер успешно загружен
[COLOR=red]Ошибка обмена с драйвером [00000002] - [1][/COLOR]
1.4...
(пункта 1.3 не было)

Логи прилагаются.
07.11.2007, 09:21
V_Bond

выполните скрипт в Safe Mode
[code]
begin
QuarantineFile('C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.sys','');
DeleteFile('C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин вогласно приложения 3 правил...
повторите логи....
07.11.2007, 12:10
rubin

C:\WINDOWS\system32\vfpdata.dll
C:\WINDOWS\system32\drwat.exe
Детектят Касперским как Trojan.Win32.Agent.cnw
07.11.2007, 21:24
Wowa84

[quote=rubin;148298]C:\WINDOWS\system32\vfpdata.dll
C:\WINDOWS\system32\drwat.exe
Детектят Касперским как Trojan.Win32.Agent.cnw[/quote]

Моё доверие дядя Каспер потерял в начале 2007 года, когда инфицирование компьютера произошло в субботу вечеров (KAV сказал "Файл чист"), а распознование данного вируса в БД KAV'а появилось только на следующей неделе в четверг вечером.
Уклон данного антивиря на предотвращение заражения неизвестным вирусом ведет к ложным срабатываниям, делая из пользователя параноика. А изменение дефолтовых правил ведет к заражению компьютера. Из-за данного "уклона" KAV стал беззубым антивирем, который нынче не в состоянии вылечить уже зараженный компьютер и устранить последствия заражения.

Хех, в своё время я перешел на него, отказавшись от DrWeb. Ныне Каспер от меня не получит и рубля >:(

[quote=V_Bond;148264]выполните скрипт в Safe Mode
[code]
begin
QuarantineFile('C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.sys','');
DeleteFile('C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин вогласно приложения 3 правил...
повторите логи....[/quote]

При выполнении данного скрипта вновь появляется окно с ошибкой
[Invalid datatype for "] на команде ExecuteSysClean

Лог выполнения скрипта:
[COLOR=red]Ошибка карантина файла, попытка прямого чтения (C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.sys)
[/COLOR] [COLOR=red]Карантин с использованием прямого чтения - ошибка
[/COLOR][COLOR=red]Ошибка карантина файла, попытка прямого чтения (C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.sys)[/COLOR]
[COLOR=red]Карантин с использованием прямого чтения - ошибка[/COLOR]
Удаление файла:C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.sys
[COLOR=red]>>>Для удаления файла C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.sys необходима перезагрузка
[/COLOR]Автоматическая чистка следов удаленных в ходе лечения программ
-------------

На этом скрипт прерывается.
В карантине ничего нет.
07.11.2007, 21:51
V_Bond

сделайте лог еще раз [url]http://virusinfo.info/showthread.php?t=10387[/url]
07.11.2007, 22:05
Wowa84

Вложений: 1

Лог при выполнении стандартного скрипта "Поиск и нейтрализация RootKit UserMode и KernelMode" в защищенном режиме:
Выполняется стандартный скрипт: 1. Поиск и нейтрализации RootKit UserMode и KernelMode
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
[COLOR=red] Ошибка обмена с драйвером [00000002] - [1]
[/COLOR]1.4 Поиск маскировки процессов и драйверов
Поиск маскировки процессов и драйверов завершен

Данная ошибка обмена - это нормально?
В нормальном режиме этот скрипт отрабатывается без ошибки.

Лог исследования системы прилагается.
07.11.2007, 22:21
V_Bond

выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
BC_DeleteFile('C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.sys');
BC_DeleteFile('C:\Documents and Settings\Wasly\Application Data\hidires\hidn.exe');
BC_DeleteFile('C:\temp.zip');
BC_DeleteFile('C:\WINDOWS\system32\re_file.exe');
BC_Activate;
RebootWindows(true);
end.
[/code]
попробуйте сделать логи....
07.11.2007, 23:13
Wowa84

Вложений: 4

Логи.
07.11.2007, 23:59
V_Bond

выполните скипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
RenameFile('C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.sys', 'C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.bak');
BC_QrFile('C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.bak');
BC_DeleteFile('C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.sys');
BC_DeleteFile('C:\Documents and Settings\Wasly\Application Data\hidires\m_hook.bak'');
BC_DeleteFile('C:\Documents and Settings\Wasly\Application Data\hidires\hidn.exe');
BC_DeleteFile('C:\Documents and Settings\Wasly\Application Data\hidires\hidires.exe');
BC_DeleteFile('C:\temp.zip');
BC_DeleteFile('C:\WINDOWS\system32\re_file.exe');
BC_DeleteSvc('m_hook');
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
повторите лог ... в SafeMode
08.11.2007, 09:16
Wowa84

Вложений: 1

В карантине только m_hook.bak. Закачан по п.3

Файл сохранён как 071108_001315_virus_4732a8fbc5ab3.zip
Размер файла 332
MD5 b786418e9ba94a156ab765e771d23165

И лог, сделанный в Safe Mode.
08.11.2007, 10:27
V_Bond

AVZ -сервис -диспетчера процессов остановить маскирующийся процесс hidn.exe или hidires.exe
затем выполните скрипт из поста 18 ....
повторите лог ... в SafeMode

Показывать 40 сообщений этой темы на одной странице