Backdoor.Bulknet и Trojan.NtRootKit.248

Добрый день,
появились подозрения на заражение, т.к. очень возрос входящий и исходящий трафик. DrWeb - CureIT обнаружила Backdoor.Bulknet и Trojan.NtRootKit.248 которые всякий раз детектируются после перезагрузки системы (при отключенном восстановлении системы). При запуске AVZ комп выдает системную ошибку и перегружается (при этом на синем экране идут какие-то претензии к памяти, что-то про fastflat.sys или похожее - очень быстро не успеаю заметить точно)
Соответственно логи AVZ предоставить не могу. Только HiJackThis.
Очень надеюсь на Вашу помощь!

В папке C:\WINDOWS\system32 есть файлы с расширением *.dmp?

Попробовать надо в безопасном режиме запустить AVZ

Таковых не нашел

Сделайте так как написано [URL="http://virusinfo.info/showpost.php?p=112946&postcount=41"]здесь[/URL].

Честно говоря не слишком понял, что нужно сделать по приведенному алгоритму. Тем не менее в безопасном режиме AVZ по запрашиваемым скриптам выполнить удалось. Однако логи не создались почему-то. Все, что появилось в папке LOG прилагаю.

[QUOTE]Однако логи не создались почему-то.[/QUOTE]
Сделайте так:
В нормальном режиме в AVZ - Файл - Стандартные скрипты - отметить #1 - Выполнить, затем Файл - Исследование системы - Пуск, протокол сохранить, сархивировать и прикрепить сюда.

Если в нормальном AVZ вообще не работает, то сделайте это в безопасном, только переключите в Исследовании "Только активные службы и драйверы" на "Все службы и драйверы".

Еще одна попытка. Просто запустить AVZ в Safe Mode. Выбрать "Пуск" и получившийся протокол прикрепить сюда.
В логе HJ ничего особенного не видно.

Хочеться посмотреть дамп, который создается во время этой ошибки.

2 Bratez
Попытался сделать, как Вы предлагали - в нормальном режиме AVZ дает системную ошибку при сканировании в любом виде (как по стандартным скриптам, так и просто после пуска).
В защищенном режиме: скрипт #1 выполнился - лог прилагаю.
При выполнении Исследования - также выдает ошибку и переходит на синий экран надписью, что система была остановлена в виду серьезной системной ошибки бла-бла-бла.
2 MaXim
Дампы, образующиеся при вылете из системы - архиве.

Попробуем так:
1. В AVZ выберите в меню AVZPM - Установить драйвер расширенного мониторинга процессов. Перезагрузиться.
2. В безопасном режиме запустить AVZ, на вкладке "Параметры поиска" поставить галки на "Блокировать работу Rootkit User mode" и ".... Kernel mode", нажать Пуск.
Если отработает - протокол прикрепите сюда.

2 PavelA
Лог AVZ- "пуск" из режима Safe прилагаю
2 Bratez
Заметил, что в обычном режиме, а также в защищенном при "Исследовании системы" эта самая системная ошибка и выброз из винда происходит как раз во время сканирования Kernel Mode.
Сейчас попробую сделать по Вашему алгоритму, если получится.
DrWeb-CureIT находит Trojan.NtRootKit.248 в файле ksys.sys директории system32

Поищите через AVZ файл:
C:\WINDOWS\system32\svchоst.exe
имя не вводите вручную, а скопируйте из этого сообщения!
Добавьте в карантин и пришлите как указно в приложении 2 правил.

Сначала высылаю последний лог,
файл через AVZ нашел, сейчас вышлю

AVZ находит C:\WINDOWS\system32\svchоst.exe, но в карантин его почему-то не копирует??!

При попытке добавить в карантин "по списку" выдает ошибку: [SIZE=2][COLOR=#ff0000]
Ошибка карантина файла "C:\WINDOWS\system32\svchоst.exe", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка
[/COLOR][/SIZE]

Выполните такой скрипт в безопасном режиме:
[code]
begin
QuarantineFile('C:\WINDOWS\system32\svchоst.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(надеюсь, он таки будет не пустой!).

Файл сохранён как070602_171815_virus_46616e17ed047.zipРазмер файла594MD517a34e99fd6621325301586f8d63d8f5

Увы и ах :( Опять мимо.
Поищите [B]ksys.sys [/B]и сообщите полный путь папки где он лежит.

[B]C:\WINDOWS\System32\ksys.sys[/B]
[B]У DRWeb - CureIT еще были претензии к C:\WINDOWS\System32\Drivers\ip6fw.sys[/B]

Выполните такой скрипт:
[code]
begin
BC_DeleteSvc('ksys');
BC_DeleteFile('C:\WINDOWS\System32\ksys.sys');
BC_DeleteFile('C:\WINDOWS\system32\svchоst.exe');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
После этого попытайтесь сделать логи по правилам в обычном режиме.

[quote]У DRWeb - CureIT еще были претензии к C:\WINDOWS\System32\Drivers\ip6fw.sys[/quote]Похоже на ложное срабатывание. Это не первый случай. Вот описание драйвера [url]http://www.file.net/process/ip6fw.sys.html[/url]

2 Bratez
Скрипт выполнил как в обычном, так и в безопасном режиме.
Но AVZ все равно отказывается делать логи в обычном режиме, согласно "правилам". Как только дело доходит до проверки kernel mode, развивается системная ошибка
только что проверил ksys.sys и svchost.exe сидят все там же, где и раньше

Изменил скрипт, пробуйте по новой:
[code]
begin
BC_DeleteSvc('NDnet1');
BC_DeleteFile('C:\WINDOWS\system32\ksys.sys');
BC_DeleteFile('C:\WINDOWS\system32\svchоst.exe');
BC_Activate;
RebootWindows(true);
end.[/code]

Подождем Олега Зайцева. Я попросил его посмотреть дампы. Или AVZ не ладит с какими-то драйвера легитимных программ или это AVZ вырубается зловредом... Больше похоже на первое.

2 Bratez
"Герои" все те же и на своих местах.
При новой попытке добавить в карантин "по списку":
[COLOR=#ff0000]Ошибка карантина файла "C:\WINDOWS\system32\svchоst.exe", попытка прямого чтения. Карантин с использованием прямого чтения - ошибка.
[COLOR=black]При запуске AVZ в нормальном режиме все та же системная ошибка при анализе kernel mode[/COLOR]

[COLOR=#000000]2 MaXim[/COLOR]
[COLOR=#000000]Подождем :?
При "вылете" из программы на синем экране появляются жалобы на fastfat.sys
Посмотрел что это за файл. Вот [URL="http://searchwincomputing.techtarget.com/tip/0,289483,sid68_gci1040082,00.html?bucket=ETA&topic=301623"]описание[/URL] :
Problems With FASTFAT? Could be memory

05.21.2003


FASTFAT is a kernel-level driver that provides support for FAT16 volumes in Windows 2000, including features like delayed writes that are normally only supported for NTFS.

Sometimes a Windows 2000 system will crash or refuse to start, citing an error in the file FASTFAT.SYS. This may lead an administrator to believe that FASTFAT.SYS is corrupt, which can happen even if there are no FAT16 volumes mounted. (FASTFAT is also for reading and writing floppies, which is part of why it loads by default.)

However, the first and more likely culprit, interestingly enough, is not the driver itself but a faulty SIMM or DIMM in the computer. If a FASTFAT error turns up in a system that has not had a problem before, the memory may be the first culprit, and you should swap it out to check. Some flavors of memory, from specific manufacturers, do not work well in certain brands of motherboard. With DIMMs, one easy way to determine this is by running the machine first with a single DIMM and then with a pair (or more). If the machine runs well on one DIMM but badly with two or more, then that manufacturer's RAM is not working with this particular machine and should be changed out for another variety. (In the event that a machine refused to boot before now boots properly with a change in memory, the memory is the number one culprit.)

Barring faulty RAM, the driver itself is probably corrupt, and will need to be replaced either through a parallel install of Windows 2000 or via the Recovery Console. FASTFAT.SYS exists in the %SystemRoom%System32Drivers folder of the operating system, and is stored as FASTFAT.SY_ on the Windows 2000 CD-ROM. Running a repair operation from the CD may not work; the file should be replaced by hand.

Еще кое что о fastfat.sys есть на сайте Microsoft [URL="http://support.microsoft.com/kb/289205/"]здесь[/URL] и [URL="http://support.microsoft.com/kb/290182/EN-US/"]здесь[/URL] - очень похоже на то, что пишет мой комп при "выбросе" из системы.

Странно, раньше таких конфликтов с AVZ у меня не возникало (по крайней мере до установки SP2). Да и операционная система у меня не Win2000, а WinXP SP2
[/COLOR]

[COLOR=#000000]Трафик в_сеть/из_сети немного уменьшился, но все равно не идеален. Например, только при загрузке данной страницы отправлено 323 601 байт, получено 1 019 177 байт[/COLOR]
[/COLOR]

Нда, тяжелый случай...
Ладно, подождем. Надеюсь, Олегу удастся докопаться до истины.

Какая у Вас Windows?

2 MaXim
XP SP2 Home

1. Cкачайте [URL="http://swandog46.geekstogo.com/avenger.zip"]The Avenger[/URL]
2. Распакуйте программу к примеру в каталог C:\Avn
3. Запустите Avenger.exe и выберите "Input script manually"
4. Нажмите на иконку с увеличительным стеклом.
5. Введите в открывшееся окно текст из рамки ниже, (для этого пометьте текст в рамке выберите "копировать" и "вставить" его в окно программы) -
[CODE]FILES TO MOVE:
C:\WINDOWS\system32\ksys.sys | C:\VirusInfo\ksys.dat
C:\WINDOWS\system32\svchоst.exe | C:\VirusInfo\svchost.dat
Files to delete:
C:\WINDOWS\system32\ksys.sys
C:\WINDOWS\system32\svchоst.exe[/CODE]
6. Нажмите на иконку со светофором.
7. Перезагрузитесь.
8. После перезагрузки в блокноте откроется файл с протоколом выполнения, сохраните его.
9. Добавьте сохраненный файл в следующее сообщение. Плюс найдите папку [B]C:\VirusInfo\[/B] пришлите нам её [U]по правилам[/U].

Скачайте Rootkit Unhooker [url]http://virusinfo.info/showthread.php?t=6287[/url] и сделайте лог.

2 Muffler
Файл с протоколом под скрепкой. Папки Virusinfo не создалось (видимо из-за проблем, описанных в протоколе). Выполнял процедуру в нормальном режиме. Может быть надо было в Safe mode?

[QUOTE=Gray;113609]Файл с протоколом под скрепкой. [/QUOTE]нееее, под скрепкой файл avenger.exe, который Вы скачали по ссылке Mufflera.

Нужен протокол...

Мистика! :? Прикреплял именно протокол. Попробую еще раз.

[QUOTE=Gray;113612]Мистика! [/QUOTE]надо было не архивировать лог, а прикрепить его , как есть. К сожалению удаление файлов и в этом случае не состоялось.

Всё так как и должно было быть.

Зделайте [U]все три лога из правил[/U].

2 RiC
Прогу скачал. Как сделать лог? Save info from currrent page? Если да, то с какой страницы? Сохранять ли при запуске программы подключение к И-нету? Или какое-то специальное меню?
Спасибо заранее.

2 Muffler
Рад бы, да не могу: AVZ "вылетает" при запуске на выполнение требуемых скриптов (плз, см. выше). Или Вам думается, что теперь не будет вылетать? Могу попробовать, конечно. За вчера-сегодня перезагружал машину уже раз сто :'-(

Больше вылетать не будет - 99%.