Подозрение на RootKit

Printable View

Показывать 40 сообщений этой темы на одной странице

03.04.2008, 00:04
Олья

Подозрение на RootKit

Здравствуйте! Уже давно AntiVirXP обнаружил в файле ip6fw.sys вирус Rkit, но сколько ни пытался, удалить не смог. А в последнее время работоспособность системы упала до 16% (по Everest): ПК виснет, половина программ не загружается, пропал звук (интересно, что везде, кроме системных звуков). Обновить AVZ я так и не смогла: зависает на полпути и выдает сообщение об ошибке!. Диспетчер задач Windows показывает загрузку ЦП 100% - почти все занимает один из процессов svchost.exe. Работать на ПК можно, лишь принудительно завершив этот процесс - иначе все зависает. Правда, периодически он снова запускается и загружает ЦП на 100%. К сожалению, и собрать информацию с помощью AVZ и HiJackThis получилось только с отключением данного процесса.
03.04.2008, 00:13
Олья

Загрузить файлы в посте не удалось, сайт постоянно отсылал меня зарегистрироваться. Извиняюсь за неудобства.
03.04.2008, 00:23
wise-wistful

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\Temp\hpdj.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\runtime.sys','');
QuarantineFile('C:\WINDOWS\TEMP\mc21.tmp','');
QuarantineFile('C:\WINDOWS\system32\baseubot32.dll','');
QuarantineFile('c:\program files\internet explorer\iexplore.exe','');
DeleteFile('C:\WINDOWS\TEMP\mc21.tmp');
DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
DeleteFile('C:\Temp\hpdj.exe');
DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_ImportAll;
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc('hpdj');
BC_DeleteSvc('Runtime');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=20907[/url]
Затем выполните в АВЗ
[CODE]function _DecHex( Dc : Integer) : String;
begin Result := Copy('0123456789abcdef',Dc+1,1); end;
function DecHex( Dec : Integer) : String;
var Di,D1,D2 : integer;
begin
Di := 0; D1 := 0; D2 :=0; While Di < Dec Do Begin d1 := d1 + 1; Di := d1*16-1; end;
If d1 > 0 Then d1 := d1 - 1; D2 := Dec - d1*16; Result :=_DecHex(D1) + _DecHex(D2);
end;
procedure ParseString (S : TStringList; SS : String; SSS : String );
var i,l : integer;
begin
i := Pos(SSS,SS); l := Length(ss);
If l > 1 Then begin If i=0 Then S.Add(ss); If i>0 Then begin
s.Add(Copy(ss,1,i-1)); ParseString(S,Copy(ss,i+1,l-i+1),SSS) end; end;
end;
var SL,SF : TStringList; SS, SSS : String; i : integer;
begin
SS := ''; SSS := ''; SL := TStringList.Create; SF := TStringList.Create;
SS := RegKeyStrParamRead ('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems','Windows');
ParseString (SL,SS,' ');
for i := 0 to SL.Count - 1 do Begin
SS := SL[i];
If Pos('ServerDll=base',SS) > 0 Then Begin
If SS <> 'ServerDll=basesrv,1' Then Begin
AddToLog('Infected "SubSystem" value : ' + SS);
if MessageDLG('Fix "SybSustem" parametrs ?', mtConfirmation, mbYes+mbNo, 0) = 6 then Begin
SSS := SL[i]; SL[i] := 'ServerDll=basesrv,1'; AddToLog('User select "Fix" option.'); end;
end;
end;
end;
SS := ''; for i := 0 to SL.Count - 1 do Begin SS := SS + SL[i]; If SL.Count - 1 > i Then SS := SS + ' '; end;
If SSS <> '' Then Begin
i := Pos(',',SSS); If i = 0 Then i := Length(SSS);
SSS := Copy(SSS, Pos('=',SSS) + 1, i - Pos('=',SSS)-1);
AddToLog('Infection name : ' + SSS + '.dll');
SetAVZGuardStatus(True);
If FileExists('%WinDir%' + '\system32\' + SSS + '.dll') = true then DeleteFile('%WinDir%' + '\system32\' + SSS + '.dll');
SF.Add('REGEDIT4'); SF.Add('');
SF.Add('[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems]');
SSS := '"Windows"=hex(2):';
for i := 1 to Length(SS) do SSS := SSS + DecHex(Ord(Copy(SS,i,1))) + ',';
SSS := SSS + '00'; SF.Add(SSS); SF.SaveToFile(GetAVZDirectory + 'fix.reg');
ExecuteFile('reg.exe','IMPORT "' + GetAVZDirectory + 'fix.reg"', 1, 10000, true);
SaveLog(GetAVZDirectory + 'SubSystems.log');
RebootWindows(false);
end;
SL.Free; SF.Free;
End.[/CODE]

Повторите логи. Прикрепите также к сообщению SubSystems.log из папки AVZ.
03.04.2008, 23:41
Олья

Вложений: 1

Собрала информацию, но, опять же, получилось только принудительно завершив этот странный процесс. Спасибо.
04.04.2008, 00:07
wise-wistful

Уже легше. Выполните в АВЗ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\runtime.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
Deletefile('C:\WINDOWS\system32\drivers\ip6fw.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
DeleteFile('C:\WINDOWS\TEMP\mc21.tmp');
BC_DeleteSvc('runtime');
BC_DeleteSvc('Ip6Fw');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Загрузите карантин согласно приложения 3 правил
Повторите логи.
04.04.2008, 22:39
Олья

Всё по инструкции:)
04.04.2008, 22:49
V_Bond

выполните скрипт ....
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
BC_DeleteSvc('NDnet1');
QuarantineFile('C:\WINDOWS\system32\ksys.sys','');
BC_DeleteSvc('EXAMPLE');
QuarantineFile('C:\WINDOWS\system32\main.sys','');
BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
DeleteFile('C:\WINDOWS\system32\main.sys');
DeleteFile('C:\WINDOWS\system32\ksys.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('ip6fw');
BC_DeleteSvc('runtime');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
обновите базы авз !!!
повторите логи ....
05.04.2008, 00:21
Олья

Удалось обновить AVZ. Чтобы собрать информацию, приходится отключать процесс, загружающий ЦП на 100%, иначе AVZ банально зависает. :( Спасибо за помощь. Какие будут указания?:)
05.04.2008, 00:34
V_Bond

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]скачайте [/URL] C:\WINDOWS\System32\drivers\runtime.sys - force delete
затем выполните скрипт авз ....
[code]
begin
DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('ip6fw');
BC_DeleteSvc('runtime');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
end.
[/code]
повторите ... virusinfo_syscheck.zip
06.04.2008, 01:22
Олья

IceSword скачала, загвоздка в одном: в папке с:\WINDOWS\System32\drivers\ файла runtime.sys нет! Или он его не видит... Что делать?
06.04.2008, 01:29
V_Bond

выполните скрипт и повторите логи ...
06.04.2008, 23:06
Олья

Выполнила скрипт и повторила логи...
07.04.2008, 04:08
Bratez

Ad-aware, SpySweeper, Avira, Outpost - весь этот винигрет из защитных программ блокирует все на свете, не давая AVZ нормально выполнить свою работу. Как минимум надо удалить совсем Ad-aware, остальных отключите.

Затем выполните скрипт:
[code]begin
BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('ip6fw');
BC_Activate;
RebootWindows(true);
end.[/code]
и повторите логи.
08.04.2008, 00:13
Олья

Удалила и отключила. Почему Outpost функции перехватывает - непонятно, он отключен уже давно. Может, его тоже удалить?
Меня только один вопрос мучает: реально ли удалить системные файлы, ведь сама система такое кощунство не позволит, и не полетит ли все в итоге?
08.04.2008, 00:19
wise-wistful

н-да. попробуйте в IceSword поискать и удалить C:\WINDOWS\system32\drivers\ip6fw.sys, а потом повторить скрипт от [b]Bratez[/b] из сообщения №13
08.04.2008, 00:52
Олья

Я его удалила, тут же выполнила скрипт, проверяю в IceSword - ip6fw.sys на месте, дата создания - 08.04.08. Логи загружать уже некуда, лимит практически исчерпан...
Мой компьютер неизлечим???
08.04.2008, 01:06
wise-wistful

С лимитом - удаляйте старые логи, тогда место появиться. C:\WINDOWS\System32\drivers\runtime.sys - не виден по прежнему в IceSword?

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Просьба - скачайте новую версию АВЗ уже вышла 4.30 и выполните в ней логи.
08.04.2008, 01:10
Олья

Понятно. Спасибо. C:\WINDOWS\System32\drivers\runtime.sys - нет такого файла. Ни IceSword его не видит, ни система не показывает. Может, его там правда нет?
08.04.2008, 01:14
wise-wistful

АВЗ показывает. Всё таки давайте попробуем логи в АВЗ 4.30 сделать, там немного изменились возможности.
09.04.2008, 00:22
Олья

АВЗ 4.30 скачала, информацию собрала, но загрузить логи не получается, поскольку старые логи удалить не могу! Сайт ругается:"Вы не имеете прав для доступа к этой странице"!

Показывать 40 сообщений этой темы на одной странице