Трояны после переустановки системы

Printable View

14.09.2007, 15:05
zmirno

Вложений: 3

Трояны после переустановки системы

[FONT=Times New Roman][SIZE=3]После заражения троянами, была переустановлена система. Потом отсканировал её антивирусом NOD32, который продолжает находить вирусы, в том числе и в оперативной памяти. Некоторые файлы NOD удалил, некоторые отправил в карантин.[/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman]E:\autorun.inf Win32/PSW.Agent.NDP trojan [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]D:\autorun.inf Win32/PSW.Agent.NDP trojan [/FONT][/SIZE]
[FONT=Times New Roman][SIZE=3]C:\autorun.inf Win32/PSW.Agent.NDP trojan[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]и другие[/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman]Это офисный запущенный компьютер без внимательного хозяина. Помогите разобраться. Посмотрите, пожалуйста, логи. Спасибо.[/FONT][/SIZE]
[FONT=Times New Roman][/FONT]
14.09.2007, 15:10
Зайцев Олег

Выполните скрипт AVZ (при отключенном мониторе NOD32):
[code]
begin
QuarantineFile('C:\WINDOWS\system32\avpo.exe','');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
QuarantineFile('\SystemRoot\System32\Drivers\aagz1p0z.SYS','');
QuarantineFile('C:\WINDOWS\system32\avpo0.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]
и пришлите согласно правилам содержимое карантина
14.09.2007, 16:47
zmirno

Скрипт выполнил успешно. Выслал по правилам карантин
[I]Файл сохранён как[/I]
[I]070914_061740_virus_46ea6dd4a78d3.zip[/I]

[I]Размер файла[/I][I]181922[/I][I]
MD5[/I] [I]4725278f6a61c7ab8ded5d3b427f7748[/I]

Жду дальнейших указаний

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Виноват, не отключил NOD32. Повторить скрипт?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 26 минут[/I][/B][/color][/size]

Еще раз выполнил скрипт при выключенном NOD и снова выслал карантин.
Файл сохранён как 070914_074744_virus_46ea82f026881.zip
Размер файла 2311
MD5 2b50b6b0fe12de9759691afdba3d4eca
14.09.2007, 17:07
PavelA

Карантины пустые. Нод, наверное, постарался.

Выполнять в Safe Mode при выключенном антивирусе.
[CODE]
begin
Clearquarantine;
QuarantineFile('C:\WINDOWS\system32\avpo.exe','');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
QuarantineFile('\SystemRoot\System32\Drivers\aagz1p0z.SYS','');
QuarantineFile('C:\WINDOWS\system32\avpo0.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
14.09.2007, 18:08
zmirno

Выполнил все в безопасном режиме, выслал карантин.
Получилось :?

Файл сохранён как 070914_090831_virus_46ea95df4ca5a.zip
Размер файла 2311
MD5 ce259f975cebc10c7d0246ca69909dc6
14.09.2007, 18:09
AndreyKa

[QUOTE='zmirno;134647']выслал карантин.[/QUOTE]Снова пусто.
14.09.2007, 18:11
zmirno

Что-нибудь можно предпринять? Добавить файлы в карантин по списку?
14.09.2007, 18:22
Bratez

Похоже всю компанию прикрывает этот wincab.sys.
Сделайте [URL="http://virusinfo.info/showthread.php?t=10387"]дополнительный лог в безопасном режиме[/URL].
14.09.2007, 18:23
PavelA

Ага. Искать естественно через AVZ.
14.09.2007, 18:36
Bratez

И еще пришлите файлы
D:\autorun.inf
E:\autorun.inf
14.09.2007, 18:41
zmirno

Вложений: 2

Выполнил скрипты в безопасном режиме. Высылаю логи.
14.09.2007, 18:46
zmirno

Не смог добавить в карантин по списку нужные файлы. Сообщение:

[IОшибка карантина файла, попытка прямого чтения (D:\autorun.inf)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (E:\autorun.inf)
Карантин с использованием прямого чтения - ошибка

и так далее

Как это сделать правильно?

Попытался найти файлы через AVZ-сервис-поиск файлов на диске
Но найдено - 0 файлов
14.09.2007, 18:53
Bratez

Нет его в драйверах! Вот чудо в перьях ;)
Кстати, только сейчас заметил, что в скриптах карантина выше не был включен антируткит! Давайте попробуем такой скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\avpo.exe','');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
QuarantineFile('C:\WINDOWS\system32\avpo0.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\AC2003.sys','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Может теперь что-то поймается?
14.09.2007, 19:01
zmirno

Не выполняется скрипт.
Ошибка - not enough actual parameters в позиции 9:16
14.09.2007, 19:02
Bratez

Исправил, пробуйте снова.
14.09.2007, 19:06
zmirno

Скрипт выполнил успешно. Пробую выслать карантин

Файл сохранён как 070914_100719_virus_46eaa3a7ad794.zip
Размер файла 5764
MD5 d07a9a74debbed2470fbae39c3452e27
14.09.2007, 19:19
Bratez

Попал только ac2003.sys (чистый). Может эту троицу НОД уже прибил, а мы зря стараемся. Выполните этот скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\avpo.exe');
DeleteFile('C:\WINDOWS\system32\wincab.sys');
DeleteFile('C:\WINDOWS\system32\avpo0.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
и сделайте новые логи, как в первом сообщении.
14.09.2007, 19:39
zmirno

Вложений: 3

Выполнил скрипт, сделал логи. Жду результата. Спасибо.

Взгляните, пожалуйста, на логи.
14.09.2007, 20:19
V_Bond

все три явные злодеи ..... на время выполнения скрипта отключите нод ...
или выполните его в в [B]SAFE MODE[/B] ....
выполните скрипт...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
14.09.2007, 20:40
zmirno

[SIZE=3][FONT=Times New Roman]Пока ожидал помощи, выполнил сканирование NOD. В протоколе:[/FONT][/SIZE]

[I][SIZE=3][FONT=Times New Roman]C:\autorun.inf - Win32/PSW.Agent.NDP trojan – deleted[/FONT][/SIZE][/I]
[I][/I]
[I][SIZE=3][FONT=Times New Roman]C:\System Volume Information\_restore{F1092840-5CEE-44D4-A422-AA4360C3521D}\RP1\A0000003.inf - Win32/PSW.Agent.NDP trojan – deleted[/FONT][/SIZE][/I]
[I][/I]
[I][SIZE=3][FONT=Times New Roman]D:\autorun.inf - Win32/PSW.Agent.NDP trojan – deleted[/FONT][/SIZE][/I]
[I][/I]
[I][SIZE=3][FONT=Times New Roman]D:\System Volume Information\_restore{F1092840-5CEE-44D4-A422-AA4360C3521D}\RP1\A0000007.inf - Win32/PSW.Agent.NDP trojan – deleted[/FONT][/SIZE][/I]
[I][/I]
[SIZE=3][FONT=Times New Roman][I]D:\warez\supervisor.zip »ZIP »supervisor/provider.exe - probably unknown NewHeur_PE virus – скопирован[/I][I] в[/I][I] карантин[/I][/FONT][/SIZE]
[I][/I]
[I][SIZE=3][FONT=Times New Roman]E:\autorun.inf - Win32/PSW.Agent.NDP trojan – deleted[/FONT][/SIZE][/I]
[I][/I]
[I][SIZE=3][FONT=Times New Roman]E:\System Volume Information\_restore{F1092840-5CEE-44D4-A422-AA4360C3521D}\RP1\A0000008.inf - Win32/PSW.Agent.NDP trojan – deleted[/FONT][/SIZE][/I]
[I][/I]
[SIZE=3][FONT=Times New Roman][I]E:\Мои[/I][I] документы[/I][I]\Володина[/I][I]\Тема[/I][I]\SOS\avz4\Quarantine\2007-09-14\bcqr00011.dta - Win32/PSW.Agent.NDP trojan – deleted[/I][/FONT][/SIZE]
[I][/I]
[I][SIZE=3][FONT=Times New Roman]E:\Мои документы\Володина\Тема\SOS\avz4\Quarantine\2007-09-14\bcqr00012.dta - Win32/PSW.Agent.NDP trojan - deleted[/FONT][/SIZE][/I]
[I][/I]
[SIZE=3][FONT=Times New Roman]Выполнил скрипт в AVZ c выключенным NOD, посылаю карантин, но, кажется, он пустой. :embarasse

Файл сохранён как 070914_114110_virus_46eab9a6b601c.zip
Размер файла 1636
MD5 83c2b7ea0b126e51f82820a9479111c7

Ответ смогу посмотреть только завтра. Спасибо за помощь.[/FONT][/SIZE]
14.09.2007, 20:55
V_Bond

если нод все удалил... повторите логи что бы убедится ,что все чисто...
15.09.2007, 02:50
Bratez

[QUOTE][I]E:\System Volume Information\_restore{F1092840-5CEE-44D4-A422-AA4360C3521D}....[/I][/QUOTE]
Это что такое, восстановление системы срочно отключить!

Значит, "троица" ликвидирована, автораны добил NOD, практически все чисто.
Надо еще разобраться с этим:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Сообщите, что нужно, что нет.
20.09.2007, 18:01
zmirno

Вложений: 3

Только сейчас добрался до компьютера. Восстановление системы отключил. Сделал логи для контроля. Посмотрите, пожалуйста. Что касается служб, можно оставить только автозапуск программ с CDROM. Ещё вопрос - восстановление системы оставить отключенным навсегда? Спасибо.
20.09.2007, 18:07
drongo

[QUOTE='zmirno;136315']можно оставить только автозапуск программ с CDROM.[/QUOTE]
[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]

P.S.насчёт системы восстановления, Включить то можно,но лучше пользоваться сторонними разработками-( советую от acronis) во всяком случае виндовский system restor только хорошо вирусы сохраняет, а когда нужно систему вернуть из сохранённой точки- обычно не может.
20.09.2007, 18:09
PavelA

Да, кстати. Был троян, ворующий пароли. Надо их менять везде и всюду.
20.09.2007, 18:14
Bratez

[QUOTE]
восстановление системы оставить отключенным навсегда?
[/QUOTE]
Как хотите. У меня выключено, и я от этого только в плюсе.
Хотя, справедливости ради, бывали изредка случаи, когда оно выручало.
20.09.2007, 19:18
zmirno

Все выполнил. СПАСИБО. Ухожу менять пароли и постараюсь не болеть.
20.09.2007, 22:08
drongo

[B]zmirno[/B], Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/b]([url=http://virusinfo.info/showthread.php?p=121290#post121290]Firefox[/url] и [url=http://virusinfo.info/showthread.php?t=6577]Opera[/url] это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]
22.02.2009, 02:22
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]44[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]