В организации есть общий сервер под управлением Windows 2003. Используется как файл обменник и для запуска общих программ Гарант Консультант и свое ПО. Произошло заражение троянами, не могу найти файл который их запускает и избавиться от них. Установлен Касперский 8.0 для серверов, не помогает. Каждый день с утра на диске С в корне появляются файлы типа: hex1433.exe hex360.exe и т.д. в процессах куча ftp.exe помогите отыскать злоумышлиника.
Уважаемый(ая) [B]bear73[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Windows\System32\dfds.dll','');
QuarantineFile('C:\Windows\System32\winnie.dll','');
QuarantineFile('C:\progra~1\Common Files\Sogou.exe','');
QuarantineFile('C:\windows\xinstall1998600.dll','');
QuarantineFile('C:\WINDOWS\C8B0A43A\svchsot.exe','');
QuarantineFile('C:\Program Files (x86)\Tyvq\Dajdgvkis.jpg','');
DeleteService('MSFTPSVC.');
QuarantineFile('C:\WINDOWS\system32\cieuaw.exe','');
QuarantineFile('C:\WINDOWS\system32\hexoff.exe','');
DeleteService('DSLserveruod');
DeleteService('DirectX Remover.');
QuarantineFile('C:\WINDOWS\system32\lstbeq.exe','');
QuarantineFile('C:\WINDOWS\system32\mnmsrvc.exe','');
DeleteService('lchhbfqmki');
QuarantineFile('c:\RECYCLER\hexAntiSty.exe','');
DeleteService('MS Media Control Center');
QuarantineFile('C:\WINDOWS\system32\hex22.exe','');
DeleteService('Nationalcik');
QuarantineFile('C:\Documents and Settings\UserData.exe','');
DeleteService('Nationalcnd');
QuarantineFile('C:\WINDOWS\system32\miseaw.exe','');
DeleteService('qnjwjmwaxx');
QuarantineFile('C:\WINDOWS\system32\WinHrot32.exe','');
QuarantineFile('C:\WINDOWS\system32\WinHtxa32.exe','');
QuarantineFile('C:\WINDOWS\system32\hex1111.exe','');
DeleteService('xhatmuudqb');
DeleteService('WinHqky32');
DeleteService('WinHjuq32');
TerminateProcessByName('c:\windows\syswow64\cieuaw.exe');
QuarantineFile('c:\windows\syswow64\cieuaw.exe','');
TerminateProcessByName('c:\windows\temp\svchost.exe');
QuarantineFile('c:\windows\temp\svchost.exe','');
DeleteFile('c:\windows\temp\svchost.exe');
DeleteFile('c:\windows\syswow64\cieuaw.exe');
DeleteFile('C:\WINDOWS\system32\hex1111.exe');
DeleteFile('C:\WINDOWS\system32\WinHtxa32.exe');
DeleteFile('C:\WINDOWS\system32\WinHrot32.exe');
DeleteFile('C:\WINDOWS\system32\miseaw.exe');
DeleteFile('C:\Documents and Settings\UserData.exe');
DeleteFile('C:\WINDOWS\system32\hex22.exe');
DeleteFile('c:\RECYCLER\hexAntiSty.exe');
DeleteFile('C:\WINDOWS\system32\lstbeq.exe');
DeleteFile('C:\WINDOWS\system32\hexoff.exe');
DeleteFile('C:\WINDOWS\system32\cieuaw.exe');
DeleteFile('C:\Program Files (x86)\Tyvq\Dajdgvkis.jpg');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Ammwie Rgebjduk Yhi\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\C8B0A43A\svchsot.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','C8B0A43A');
DeleteFile('C:\progra~1\Common Files\Sogou.exe');
DeleteFile('C:\Windows\System32\winnie.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Rspdates Apxplicatioan\Parameters','ServiceDll');
DeleteFile('C:\Windows\System32\dfds.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Rspdates Apxplicatio2233jrq\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\Tasks\At1.job');
DeleteFile('C:\WINDOWS\Tasks\At10.job');
DeleteFile('C:\WINDOWS\Tasks\At11.job');
DeleteFile('C:\WINDOWS\Tasks\At12.job');
DeleteFile('C:\WINDOWS\Tasks\At13.job');
DeleteFile('C:\WINDOWS\Tasks\At15.job');
DeleteFile('C:\WINDOWS\Tasks\At16.job');
DeleteFile('C:\WINDOWS\Tasks\At17.job');
DeleteFile('C:\WINDOWS\Tasks\At18.job');
DeleteFile('C:\WINDOWS\Tasks\At19.job');
DeleteFile('C:\WINDOWS\Tasks\At2.job');
DeleteFile('C:\WINDOWS\Tasks\At20.job');
DeleteFile('C:\WINDOWS\Tasks\At21.job');
DeleteFile('C:\WINDOWS\Tasks\At22.job');
DeleteFile('C:\WINDOWS\Tasks\At23.job');
DeleteFile('C:\WINDOWS\Tasks\At24.job');
DeleteFile('C:\WINDOWS\Tasks\At3.job');
DeleteFile('C:\WINDOWS\Tasks\At4.job');
DeleteFile('C:\WINDOWS\Tasks\At5.job');
DeleteFile('C:\WINDOWS\Tasks\At6.job');
DeleteFile('C:\WINDOWS\Tasks\At7.job');
DeleteFile('C:\WINDOWS\Tasks\At8.job');
DeleteFile('C:\WINDOWS\Tasks\At9.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
После скрипта сделаны новые логи, карантин загружен в соответствии с правилами
Ситуация остается актуальной: с утра на сервере на диске С: 34 трояна типа hex1***.exe и т.д. В процессах висит куча ftp.exe Я как понимаю на диске находиться файл который их запускает, помогите найти.
[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные ниже записи[/b] [code]Обнаруженные ключи в реестре: 7
HKLM\SOFTWARE\{FCADC8A0-FEB7-4185-9F52-C5141DE0312E} (Trojan.Agent) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINHELP32 (Trojan.Backdoor) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\SERVICES\Rspdates Apxplicatio2233jrq (Trojan.ServiceJRQ) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\SERVICES\Rspdates Apxplicatioan (Trojan.Service) -> Действие не было предпринято.
HKLM\System\CurrentControlSet\Enum\Root\LEGACY_INTERNET_EXPLORER (Backdoor.Hupigon) -> Действие не было предпринято.
HKLM\System\CurrentControlSet\Services\.Net CLR (Trojan.Agent) -> Действие не было предпринято.
HKLM\System\CurrentControlSet\Services\WinHelp32 (Backdoor.Hupigon) -> Действие не было предпринято.
Обнаруженные параметры в реестре: 1
HKLM\SYSTEM\CurrentControlSet\SERVICES\MICROSOFT MR\PARAMETERS|ServiceDll (Trojan.Agent) -> Параметры: C:\WINDOWS\system32\360SP2.dll -> Действие не было предпринято.
Объекты реестра обнаружены: 1
HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip|DLLPath (Hijack.Iprouter) -> Плохо: (C:\windows\xinstall1998600.dll) Хорошо: (%SystemRoot%\System32\iprtrmgr.dll) -> Действие не было предпринято.
Обнаруженные файлы: 15
C:\Documents and Settings\Default User\Local Settings\Temporary Internet Files\Content.IE5\GUC9TP09\sql[1].exe (Trojan.Backdoor) -> Действие не было предпринято.
C:\WINDOWS\system32\sql.exe (Trojan.Backdoor) -> Действие не было предпринято.
C:\WINDOWS\system32\scvhost.exe (Backdoor.Bot) -> Действие не было предпринято.
C:\WINDOWS\SysWOW64\scvhost.exe (Backdoor.Bot) -> Действие не было предпринято.
C:\WINDOWS\system32\kscan.exe (Backdoor.Zegost) -> Действие не было предпринято.
C:\WINDOWS\SysWOW64\kscan.exe (Backdoor.Zegost) -> Действие не было предпринято.
C:\WINDOWS\system32\Win.dll (Backdoor.Hupigon) -> Действие не было предпринято.
C:\WINDOWS\system32\explorer.exe.tmp (Heuristics.Reserved.Word.Exploit) -> Действие не было предпринято.
C:\WINDOWS\SysWOW64\explorer.exe.tmp (Heuristics.Reserved.Word.Exploit) -> Действие не было предпринято.
C:\WINDOWS\Help\RUNDLL32.exe (Heuristics.Reserved.Word.Exploit) -> Действие не было предпринято.[/code]
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
[CODE]C:\Program Files\Common Files\Sogou.exe
C:\WINDOWS\system32\hexQQ.exe
C:\WINDOWS\system32\xpQQ.exe
C:\WINDOWS\system32\hexserver.exe
C:\WINDOWS\system32\hex1.exe
C:\WINDOWS\SYSWOW64\dk.exe
C:\WINDOWS\system32\xpwinlogon.exe
C:\WINDOWS\SYSWOW64\dk.exe-up.txt
C:\WINDOWS\SYSWOW64\hexdk.exe-up.txt
C:\WINDOWS\system32\hexdk.exe
C:\WINDOWS\SYSWOW64\sql.exe
C:\WINDOWS\system32\xpc32.exe
C:\WINDOWS\SYSWOW64\kscan.exe
C:\WINDOWS\system32\hex3306.exe
C:\WINDOWS\system32\hex21.exe
C:\WINDOWS\system32\hex1433.exe
C:\WINDOWS\system32\hexebey.exe
C:\WINDOWS\system32\hexMyll.exe
C:\WINDOWS\system32\xpMyll.exe
C:\WINDOWS\system32\hex120.exe
C:\WINDOWS\system32\xpsmcc.exe
C:\WINDOWS\system32\hexsql.exe
C:\WINDOWS\system32\hex9.exe
C:\WINDOWS\system32\xp654.exe
C:\WINDOWS\system32\xpebey.exe
C:\WINDOWS\system32\xpfaith.exe
C:\WINDOWS\system32\hexmvsvc32.exe
C:\WINDOWS\system32\hexsmss.exe
C:\WINDOWS\system32\xpss.exe
C:\WINDOWS\system32\xps.exe
C:\WINDOWS\system32\xplong.exe
C:\WINDOWS\system32\xp008.exe
C:\WINDOWS\system32\hex456.exe
C:\WINDOWS\system32\hexnstl.exe
C:\WINDOWS\libgfle220.dll
C:\WINDOWS\libgfl220.dll
C:\WINDOWS\ijl15.dll[/CODE]Запакуйте с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Содержимое этих папок сообщите
[CODE]C:\WINDOWS\kk
C:\WINDOWS\bb
C:\WINDOWS\SYSWOW64\022117
C:\WINDOWS\XXXXXX8678ED98
C:\WINDOWS\SYSWOW64\232825
C:\WINDOWS\XXXXXXF4F72696
C:\WINDOWS\C8B0A43A[/CODE]
Обновления для SQL Server и для самой системы все установлены?
Коды выполнил логи прилагаю, карантин загружен, в указанных папках пусто, удалил их с диска, обновления ОС и SQL все стоят. Жду ответа
Я разве просил карантин МВАМ? Я просил файлы заархивировать и прислать.
[QUOTE=thyrex;931054]Я разве просил карантин МВАМ? Я просил файлы заархивировать и прислать.[/QUOTE]
Прошу прощения друг друга не поняли: тогда какие файлы нужны?
C:\WINDOWS\system32\hexQQ.exe
C:\WINDOWS\system32\xpQQ.exe
C:\WINDOWS\system32\hexserver.exe
C:\WINDOWS\system32\hex1.exe
C:\WINDOWS\SYSWOW64\dk.exe
C:\WINDOWS\system32\xpwinlogon.exe
C:\WINDOWS\SYSWOW64\dk.exe-up.txt
C:\WINDOWS\SYSWOW64\hexdk.exe-up.txt
C:\WINDOWS\system32\hexdk.exe
C:\WINDOWS\SYSWOW64\sql.exe
C:\WINDOWS\system32\xpc32.exe
C:\WINDOWS\SYSWOW64\kscan.exe
C:\WINDOWS\system32\hex3306.exe
C:\WINDOWS\system32\hex21.exe
C:\WINDOWS\system32\hex1433.exe
C:\WINDOWS\system32\hexebey.exe
C:\WINDOWS\system32\hexMyll.exe
C:\WINDOWS\system32\xpMyll.exe
C:\WINDOWS\system32\hex120.exe
C:\WINDOWS\system32\xpsmcc.exe
C:\WINDOWS\system32\hexsql.exe
C:\WINDOWS\system32\hex9.exe
C:\WINDOWS\system32\xp654.exe
C:\WINDOWS\system32\xpebey.exe
C:\WINDOWS\system32\xpfaith.exe
C:\WINDOWS\system32\hexmvsvc32.exe
C:\WINDOWS\system32\hexsmss.exe
C:\WINDOWS\system32\xpss.exe
C:\WINDOWS\system32\xps.exe
C:\WINDOWS\system32\xplong.exe
C:\WINDOWS\system32\xp008.exe
C:\WINDOWS\system32\hex456.exe
C:\WINDOWS\system32\hexnstl.exe
C:\WINDOWS\libgfle220.dll
C:\WINDOWS\libgfl220.dll
C:\WINDOWS\ijl15.dll
Выслал архив с файлами найдеными по списку на 14.40 от 12.10.2012
Остальных файлов из списка на сервере на данное время уже нет.
Тогда еще раз лог RSIT сделайте
прикрепляю
Пофиксите в Hijack
[CODE]O4 - HKLM\..\Run: [Ball] C:\progra~1\Common Files\Sogou.exe[/CODE]
Зачем Вам в автозапуске O4 - [CODE]HKLM\..\Run: [] C:\WINDOWS\SysWow64\explorer.exe[/CODE]???
Эти задания в Планировщике Вам вряд ли известны
[QUOTE]C:\WINDOWS\tasks\At14.job
C:\WINDOWS\tasks\At73.job
C:\WINDOWS\tasks\At74.job
C:\WINDOWS\tasks\At75.job
C:\WINDOWS\tasks\At76.job
C:\WINDOWS\tasks\At77.job
C:\WINDOWS\tasks\At78.job
C:\WINDOWS\tasks\At79.job
C:\WINDOWS\tasks\At80.job
C:\WINDOWS\tasks\At81.job
C:\WINDOWS\tasks\At82.job
C:\WINDOWS\tasks\At83.job
C:\WINDOWS\tasks\At84.job
C:\WINDOWS\tasks\At85.job
C:\WINDOWS\tasks\At86.job
C:\WINDOWS\tasks\At87.job
C:\WINDOWS\tasks\At88.job
C:\WINDOWS\tasks\At89.job
C:\WINDOWS\tasks\At90.job
C:\WINDOWS\tasks\At91.job
C:\WINDOWS\tasks\At92.job
C:\WINDOWS\tasks\At93.job
C:\WINDOWS\tasks\At94.job
C:\WINDOWS\tasks\At95.job
C:\WINDOWS\tasks\At96.job[/QUOTE] + файлы, о которых Вы говорили, что их нет в массовом количестве присутствуют в логе
Я файлы искал поиском, что бы скоприровать в архив, Винда их не находит
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Пофиксил, задания в планировщике удалил. Но я это делал уже несколько раз!!!!!!!!!!!!!!!! Через какое-то время они снова появляются ОТКУДА? Где файл который их туда заносит?
То есть все что делаеться, это удаление последствий, а как саму причину найти?
Вот сейчас проверил поиском нашел еще 2 файла из списка, то есть я как понимаю либо их удаляет Касперский время от времени либо, мне не понятно их поведение
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Только что загрузил архив по новой, появились все файлы кроме первых 2 из списка
Проверьтесь так [url]http://support.kaspersky.ru/viruses/rescuedisk[/url]
[QUOTE=thyrex;931241]Проверьтесь так [url]http://support.kaspersky.ru/viruses/rescuedisk[/url][/QUOTE]
Проверялся уже не помогло
Похоже искать заразу надо на каком-то компьютере в сети. Именно с него заражается сервер
На выходные сервер был отключен от сети, вырублена сетевая карта, в понедельник с утра на сервере ни какой активности ни одного вируса, как только была включена сетевая карта и появился интернет, сразу же антивирус обнаружил 5 объектов hex**.exe и xp**.exe, при этом ни кто из пользователей сети к серверу подключен не был. Такое ощущение что файл запускающий троянца реагирует на включение сети. Но где сам файл который его запускает, как его найти?
Выполните скрипт в AVZ при наличии доступа в интернет:
[CODE]begin
if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.[/CODE]
- Проведите процедуру, которая описана в первом сообщении [url=http://virusinfo.info/showthread.php?t=3519][B]тут[/B][/url]. Результат загрузки напишите в сообщении здесь.
[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]58[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\progra~1\\common files\\sogou.exe - [B]Trojan.Win32.Jorik.Zegost.htb[/B] ( DrWEB: Trojan.Inject1.9120 )[*] \\123\\hexebey.exe - [B]Trojan.Win32.Jorik.Zegost.htb[/B] ( DrWEB: Trojan.Inject1.9120 )[*] \\123\\hexsql.exe - [B]Trojan-GameThief.Win32.Magania.hsrb[/B] ( DrWEB: Trojan.PWS.Gamania.36648 )[*] \\123\\hex1.exe - [B]Trojan-GameThief.Win32.Magania.hsrb[/B] ( DrWEB: Trojan.PWS.Gamania.36648 )[*] \\123\\hex3306.exe - [B]Trojan-GameThief.Win32.Magania.hrsp[/B] ( DrWEB: archive: Trojan.PWS.Banker.53658 )[/LIST][/LIST]