Trojan.NtRootKit.248 в файле ksys.sys

Printable View

29.07.2007, 21:30
RomulN

Вложений: 1

Trojan.NtRootKit.248 в файле ksys.sys

Добрый день!
Мне позвонил провайдер и сказал, что с моего IP-адреса идет рассылка спама. Проверил свой комп Касперским и DrWeb - CureIT, оба обнаружили Trojan.NtRootKit.248 в файле ksys.sys, затем занялся поиском в интернете и вышел на Ваш сайт.
Проблемы те же, что и описанные здесь: [url]http://virusinfo.info/showthread.php?t=10124[/url].
Все тоже самое, DrWeb - CureIT обнаружила Trojan.NtRootKit.248 в файле ksys.sys, которые всякий раз детектируются после перезагрузки системы (при отключенном восстановлении системы). При запуске AVZ комп выдает системную ошибку и перегружается (при этом на синем экране идут какие-то претензии к памяти, что-то про fastflat.sys или похожее - очень быстро не успеаю заметить точно).
В безопасном режиме AVZ запускается, но логи не создает.
В связи с тем, что я всего лишь пользователь, самостоятельно разобраться с тем, что описывалось в указанной выше теме на трех страниах, увы не смог.
HiJackThis.log прилагаю
Очень верю в Вашу помощь!
29.07.2007, 21:45
RiC

Скачайте Cureit beta - [url]ftp://ftp.drweb.com/pub/drweb/cureit/cureit-beta.exe[/url] проверьте им диск с: и попробуйте после этого сделать логи AVZ.

В Safe mode удалите файл -
C:\DOCUME~1\user\LOCALS~1\Temp\6052.exe
и [url=http://virusinfo.info/forumdisplay.php?f=70]пофиксите[/url] в Hijack строки -
[code]
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\system32\svshost.dll (file missing)
O4 - HKCU\..\Run: [System update] C:\DOCUME~1\user\LOCALS~1\Temp\6052.exe
O4 - HKCU\..\Run: [XP restart system] h
[/code]

Если не получится сделать лог AVZ скачайте [url=http://www.gmer.net/gmer.zip]Gmer[/url] и сделайте лог Gmer.
30.07.2007, 21:18
RomulN

Вложений: 1

cureit-beta нашел еще Trojan.NtRootKit.341 в файле C:/system32/drivers/runtime2.sy_ и удалил его.
AVZ выдает тоже самое и вырубает систему.
Gmer - абсолютно аналогично: выдает системную ошибку и перегружается (при этом на синем экране идут какие-то претензии к памяти, что-то про fastflat.sys или похожее - очень быстро не успеваю заметить точно). Вроде как в начале красным шрифтом написал что-то как раз про C:/system32/drivers/runtime2.sys и вырубился.

В Safe mode файл C:\DOCUME~1\user\LOCALS~1\Temp\6052.exe не нашел, в обычном режиме тоже.
В Safe mode пофиксил только:
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\system32\svshost.dll (file missing)

этих строк:
O4 - HKCU\..\Run: [System update] C:\DOCUME~1\user\LOCALS~1\Temp\6052.exe
O4 - HKCU\..\Run: [XP restart system] h
В Safe mode не видно.
В обычном режиме они есть, но фиксить не стал, так как если правильно понял, то нужно фиксить именно в Safe mode, если это не так, поправьте.
За не имением ничего больше, еще раз прилагаю HiJackThis.log, после того что удалось сделать.
30.07.2007, 21:35
RiC

Чемто мне сие не нравится :(
AVZ Файл=>Выполнить скрипт
[code]
begin
QuarantineFile('%WinDir%\Temp\startdrv.exe','');
QuarantineFile('%Windir%\system32\drivers\runtime.sys','');
QuarantineFile('%Windir%\system32\drivers\runtime2.sys','');
QuarantineFile('%Windir%\system32\drivers\ip6fw.sys','');
DeleteFile('%Windir%\Temp\startdrv.exe');
DeleteFile('%Windir%\system32\drivers\runtime2.sys');
DeleteFile('%Windir%\system32\drivers\runtime.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки пофиксите то, что я указал в 1-м сообщении в любом режиме перезагрузитесь ещё раз и попытайтесь сделать логи из правил.
30.07.2007, 22:03
RomulN

При попытке выполнить скрипт та же ошибка ( выдает системную ошибку и перегружается
, при этом на синем экране идут какие-то претензии к памяти, что-то про fastflat.sys)
Строки:
O4 - HKCU\..\Run: [System update] C:\DOCUME~1\user\LOCALS~1\Temp\6052.exe
O4 - HKCU\..\Run: [XP restart system] h
пофиксил, перезагрузился.

Попытался снова сделать AVZ логи - то же самое, выдает системную ошибку и перегружается
30.07.2007, 22:13
Макcим

1. Переименуйте папку с AVZ в [U]1[/U], а файл avz.exe в [U]1.exe[/U].
2. Сделайте дополнительный лог как написано [URL="http://virusinfo.info/showthread.php?t=10387"]здесь[/URL].
3. После переименования попробуйте сделать ещё раз логи как обычно.
30.07.2007, 22:14
RiC

Ладно, а вот так -
[code]
begin
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\system32\drivers\runtime.sys');
BC_QrFile('C:\WINDOWS\system32\drivers\runtime2.sys');
BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_Activate;
RebootWindows(true);
end.
[/code]
30.07.2007, 23:19
RomulN

Вложений: 3

Ура! Вроде получилось. Только почему то не смог скачать обновление баз AVZ.
Полученные логи прилагаю
31.07.2007, 01:23
V_Bond

профиксите
[code]
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
[/code]
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\ksys.sys','')
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\svchost.exe');
DeleteFile('C:\WINDOWS\system32\ksys.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
повторите логи
31.07.2007, 05:20
RomulN

Привыполнении скрипта выдает ошибку:

Ошибка: ';' expected в позиции 7:2

[size="1"][color="#666686"][B]Добавлено через 15 минут[/B][/color][/size]
И сразу вопрос вдогонку: в карантине 3 папки, за 290707, 300707 и 310707, после выполнения появится еще и четвертая, если я правильно понимаю. Какой карантин присылать последний или все?
31.07.2007, 05:42
Muzzle

Вот исправленный скрипт,выполняйте ;)
[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\ksys.sys','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\svchost.exe');
DeleteFile('C:\WINDOWS\system32\ksys.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Вы не разу так и не прислали карантин,поэтому отправьте его по очереди согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11425[/url]
31.07.2007, 10:59
RomulN

Скрипт выполнил. Файлы карантина закачал по порядку (в обратном хронологическом)
31.07.2007, 11:22
RomulN

Вложений: 3

После выполнения скрипта сделал новые логи (прилагаю), и выслал самый последний (четвертый) файл карантина:

Файл сохранён как 070731_111848_virus_46aee2586b33b.zip
Размер файла 643472
MD5 5c4aa4fa823ee5d6be42f61ba1bef826

Жду дальнейших указаний:)
31.07.2007, 11:49
Muzzle

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\oDxLEIyL.exe','');
QuarantineFile('C:\Windows\System32\Check.exe','');
DeleteFile('C:\WINDOWS\system32\oDxLEIyL.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11425[/url]
Добавьте в карантин ещё и этот файл - C:\Documents and Settings\user\Рабочий стол\ФЛЕШКА ДЕКАБРЬ 05\ФЛЕШКА ДЕКАБРЬ 05\Флешка\Томск\ПРИКАЗЫ\Приказы долгосрочные\Склад\Проверка ББ на качество продукции.doc

2.Удалите все задание их планировщика задач

3.Ваш компьютер находиться в домене?

4.давайте ещё и вот этот файлик в карантин
[CODE]begin
QuarantineFile('C:\WINDOWS\Installer\{99ADC6C1-45D9-4D5C-B1CD-EB0F15FB529B}\IMAGEFOX_STRTUP_SHRTCUT.exe','');
end.[/CODE]
01.08.2007, 05:59
RomulN

Все сделал по списку.
По поводу домена- раньше был, теперь нет, настройки еще остались.
Карантин последний:
Файл сохранён как 070801_055743_virus_46afe897d29b2.zip
01.08.2007, 07:49
Muzzle

C:\Windows\System32\Check.exe - [B]Trojan-PSW.Win32.WOW.lq[/B] (новенький :) )
остальные чистые

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Windows\System32\Check.exe');
BC_DeleteFile('C:\Windows\System32\Check.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

Повторите логи.
01.08.2007, 18:09
RomulN

Вложений: 3

Скрипт выполнен. Логи прилагаются.

Новый файл карантина:
Файл сохранён как 070801_181102_virus_46b09476daa78.zip
Размер файла 1064122
MD5 1a5e1179a5581bd5287af7f92cf131a6
01.08.2007, 20:29
V_Bond

логи чисты ... если проблем нет то лечение можно считать законченым...
02.08.2007, 02:51
Muzzle

Советую работать за компьютером под пользователем с ограничеными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!

Удачи!
02.08.2007, 05:25
RomulN

Всем откликнувшимся ОГРОМНОЕ СПАСИБО!!!
22.02.2009, 02:08
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]6[/B][*]Обработано файлов: [B]44[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\svchost.exe - [B]Rootkit.Win32.Agent.ey[/B] (DrWEB: Trojan.NtRootKit.321)[*] c:\\windows\\system32\\ksys.sys - [B]Rootkit.Win32.Agent.eb[/B] (DrWEB: Trojan.NtRootKit.248)[/LIST][/LIST]