Модификация hosts [not-a-virus:RiskTool.VBS.BitCoinMiner.a ]

Printable View

24.04.2013, 17:13
The_Immortal

Вложений: 1

Модификация hosts [not-a-virus:RiskTool.VBS.BitCoinMiner.a ]

Всех приветствую!

Друзья, помогите, пожалуйста.

Происходит постоянный редирект при попытке обратиться к ресурсу [U]vk.com[/U].

На машине стоит актуальный [I]KAV WKS[/I], однако проблему он не решает.

Сканировал [I]CureIt[/I]'ом в безопасном режиме. Результаты:

[QUOTE]C:\WINDOWS\system32\drivers\etc\hosts - probably infected with DFH.HOSTS.corrupted
C:\WINDOWS\system32\drivers\etc\hosts - infected
...
C:\WINDOWS\system32\drivers\etc\hosts - infected with Trojan.Hosts.6815
...
-----------------------------------------------------------------------------
Start curing
-----------------------------------------------------------------------------
C:\WINDOWS\system32\drivers\etc\hosts - cured
[/QUOTE]

Вроде бы после этого проблема пропала, но не надолго. Появились те же самые симптомы.

Решил обратиться к вам, очень надеюсь на помощь.

Благодарю!

P.S. Логи:
[ATTACH]416020[/ATTACH]
[ATTACH]416021[/ATTACH]
[ATTACH]416022[/ATTACH]
24.04.2013, 17:14
Info_bot

Уважаемый(ая) [B]The_Immortal[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
25.04.2013, 00:00
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Flash\update.vbs','');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\Flash\update.vbs');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
25.04.2013, 15:25
The_Immortal

[b]thyrex[/b], скрипт выполнил. Карантин загрузил. Новые логи также выложил.

Однако имеется один вопросик.
[CODE]DeleteFile('C:\Documents and Settings\Администратор\Application Data\Flash\update.vbs');[/CODE]
Данный файл физически располагается по следующему пути:
[QUOTE]C:\Documents and Settings\[U]buh6[/U]\Application Data\Flash\update.vbs[/QUOTE]
Соответственно, после выполнения скрипта он там и остался.
Непонятно, почему AVZ показывает путь с "Администратором".
Да, AVZ запускался именно от Администратора, [I]как было указано в инструкции[/I]. Быть может из-за этого произошла путаница с путями?

P.S. Логи:
[ATTACH]416144[/ATTACH]
[ATTACH]416146[/ATTACH]
[ATTACH]416145[/ATTACH]
25.04.2013, 18:00
thyrex

В новых логах этого файла нет :)

Что с проблемой?
26.04.2013, 00:24
The_Immortal

[b]thyrex[/b], [QUOTE=thyrex;996561]Что с проблемой?[/QUOTE]
Проблема осталась:

[QUOTE]C:\Documents and Settings\buh6>ping vk.com

Обмен пакетами с [url]www.odnoklassniki.ru[/url] [37.10.117.87] по 32 байт:

Ответ от 37.10.117.87: число байт=32 время=59мс TTL=57
Ответ от 37.10.117.87: число байт=32 время=61мс TTL=57
Ответ от 37.10.117.87: число байт=32 время=60мс TTL=57
Ответ от 37.10.117.87: число байт=32 время=60мс TTL=57[/QUOTE]

[QUOTE=thyrex;996561]В новых логах этого файла нет :)[/QUOTE]
По факту же этот файл есть:

[ATTACH=CONFIG]416213[/ATTACH]

Я полагаю имеет смысл выполнить следующий скрипт:
[CODE]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DeleteFile('C:\Documents and Settings\buh6\Application Data\Flash\update.vbs');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.[/CODE]
?
26.04.2013, 00:56
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\t1.vbs','');
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\miner.php','');
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\update.vbs','');
DeleteFile('C:\Documents and Settings\buh6\Application Data\Flash\update.vbs');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis

[CODE]O1 - Hosts: 37.10.117.87 www.odnoklassniki.ru wap.odnoklassniki.ru m.vk.com vk.com m.odnoklassniki.ru odnoklassniki.ru my.mail.ru[/CODE]

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

проверьте что с проблемой.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ перенесите вручную куда-нибудь эту папку и убедитесь, что у вас всё работает нормально. После этого эту папку удалите. Судя по названию файлов все файлы (по крайней мере из тех, что видны на скрине) в этой папки относятся к майнеру.
26.04.2013, 19:31
The_Immortal

[b]regist[/b], итак, по порядку.

[QUOTE=regist;996676]
Выполните скрипт в АВЗ -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\t1.vbs','');
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\miner.php','');
QuarantineFile('C:\Documents and Settings\buh6\Application Data\Flash\update.vbs','');
DeleteFile('C:\Documents and Settings\buh6\Application Data\Flash\update.vbs');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
[/QUOTE]
Скрипт выполнил - [B]проблема[/B] никуда [B]не ушла[/B].

[QUOTE=regist;996676]
Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.
[/QUOTE]
Загрузил.

[QUOTE=regist;996676]
Профиксите в HijackThis

[CODE]O1 - Hosts: 37.10.117.87 www.odnoklassniki.ru wap.odnoklassniki.ru m.vk.com vk.com m.odnoklassniki.ru odnoklassniki.ru my.mail.ru[/CODE]
[/QUOTE]
Пофиксил. Сразу после этого [B]проблема ушла[/B].

[QUOTE=regist;996676]
+ перенесите вручную куда-нибудь эту папку[/QUOTE]
Данный каталог (C:\Documents and Settings\buh6\Application Data\Flash) удалил, предварительно его заархивировав.

[QUOTE=regist;996676]
Сделайте повторные логи
[/QUOTE]
Сделал:

[ATTACH]416311[/ATTACH]
[ATTACH]416312[/ATTACH]
[ATTACH]416313[/ATTACH]

[U][B]Внимание![/B][/U]

Прошло около часа, как ко мне опять прибегает бухгалтерша: [B]проблема вернулась[/B]. Комп даже не перезагружался за это время.
Так что я выкладываю повторные логи (самые актуальные):

[ATTACH]416324[/ATTACH]
[ATTACH]416323[/ATTACH]
[ATTACH]416325[/ATTACH]

С Касперского я просто в шоке - ему совершенно до лампочки все
26.04.2013, 20:49
regist

вложения не доступны, прикрепите пожалуйста логи заново.

[quote="The_Immortal;996878"]С Касперского я просто в шоке - ему совершенно до лампочки все[/quote]
извините за наверно глупый вопрос, а базы у вас обновлены ?
26.04.2013, 21:19
The_Immortal

[b]regist[/b],
[QUOTE=regist;996902]извините за наверно глупый вопрос, а базы у вас обновлены ?[/QUOTE]
Разумеется :) Каспер обновляется каждый раз при запуске.

[QUOTE=regist;996902]прикрепите пожалуйста логи заново.[/QUOTE]

Логи [U]сразу после выполнения Ваших указаний[/U] (выполнение скрипта в AVZ, в hijackthis, удаление и архивирование папки Flash):

[ATTACH]416342[/ATTACH]
[ATTACH]416343[/ATTACH]
[ATTACH]416344[/ATTACH]

Логи [U]спустя час[/U] обычной работы:

[ATTACH]416345[/ATTACH]
[ATTACH]416346[/ATTACH]
[ATTACH]416347[/ATTACH]
26.04.2013, 23:19
regist

опять в hosts записи добавились >:(.

1) давайте сначала закроем уязвимости

- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

2) Выполните скрипт в AVZ

[CODE]begin
ClearHostsFile;
RebootWindows(false);
end.[/CODE]

компьютер перезагрузится.

3) - Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

4) - Проведите процедуру, которая описана [url=http://virusinfo.info/content.php?r=290-virus-detector][B]тут[/B][/url]. Ссылку на результат проверки напишите в сообщении здесь.
30.04.2013, 03:18
The_Immortal

[B]regist[/B],

[QUOTE=regist;996937]опять в hosts записи добавились .

1) давайте сначала закроем уязвимости

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
[/QUOTE]
Все уязвимости устранил.

[QUOTE=regist;996937]
2) Выполните скрипт в AVZ

[CODE]begin
ClearHostsFile;
RebootWindows(false);
end.[/CODE]

компьютер перезагрузится.
[/QUOTE]
Выполнил.

[QUOTE=regist;996937]
3) - Сделайте лог полного сканирования МВАМ.
[/QUOTE]
Сделал: [ATTACH]416629[/ATTACH]
Как видите, та заархивированная папка ("Flash") задетектилась.
Однако удалять, согласно рекомендациям, я пока ничего не стал.

[QUOTE=regist;996937]
4) - Проведите процедуру, которая описана тут. Ссылку на результат проверки напишите в сообщении здесь.[/QUOTE]
Данную процедуру провел. Результаты прилагаю: [url]http://rghost.ru/45652392[/url] (залил на обменник, т.к. доступный лимит на форуме исчерпан).

Ожидаю дальнейших указаний.
30.04.2013, 13:29
regist

Удаляйте найденное и понаблюдайте, что с проблемой.
30.04.2013, 15:12
The_Immortal

[b]regist[/b], найденное удалил. Но увы, после небольшой работы [B]проблема вернулась[/B]... :O
30.04.2013, 15:30
regist

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
30.04.2013, 16:31
The_Immortal

[b]regist[/b],
[ATTACH]416697[/ATTACH]
[ATTACH]416696[/ATTACH]

Быть может попробовать снять логи не из-под локального Администратора, а из-под той учетной записи, на которой ведется работа? Или это бестолковое занятие?
30.04.2013, 16:44
regist

[quote="The_Immortal;997727"]а из-под той учетной записи, на которой ведется работа? Или это бестолковое занятие?[/quote]
так логи и надо делать под проблемной учёткой ;). Если они сделаны не из под проблемной учётки, то переделайте.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ [url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]

если будете запускать из под учётки админа, то не забудьте на шаге №4 выбрать проблемную учётку.
30.04.2013, 17:44
The_Immortal

[b]regist[/b], я запутался... :)

Все логи я делаю под сеансом проблемной учетки (buh6). Но сами программы (AVZ, hijackhis) [U]запускаю от имени Администратора[/U] (так сказано в правилах), не выходя при этом из сеанса проблемной учетки (buh6).

А как надо на самом деле?
30.04.2013, 17:55
regist

для начала у вас XP а запуск от имени от администратора для систем Vista и старше (нужно для запуска с правами админа, но с проблемной учётки). Так у вас XP то просто запускайте двойным щелчком и не заморачивайтесь.

Для того чтобы убрать симптомы, снова

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis

[CODE]O1 - Hosts: 37.10.117.87 www.odnoklassniki.ru wap.odnoklassniki.ru m.vk.com vk.com m.odnoklassniki.ru odnoklassniki.ru my.mail.ru[/CODE]

и жду лога uVS может там будет видно из-за чего эта зараза возрождается.
30.04.2013, 18:47
The_Immortal

[b]regist[/b],
[QUOTE=regist;997756]Так у вас XP то просто запускайте двойным щелчком и не заморачивайтесь.[/QUOTE]
На всякий случай сделал логи просто по двойному щелчку:
[ATTACH]416722[/ATTACH]
[ATTACH]416723[/ATTACH]

[QUOTE=regist;997756]
Для того чтобы убрать симптомы, снова

Профиксите в HijackThis

[CODE]O1 - Hosts: 37.10.117.87 www.odnoklassniki.ru wap.odnoklassniki.ru m.vk.com vk.com m.odnoklassniki.ru odnoklassniki.ru my.mail.ru[/CODE]
[/QUOTE]
Пока фиксить не стал, ибо бесполезно.

[QUOTE=regist;997756]
и жду лога uVS может там будет видно из-за чего эта зараза возрождается.[/QUOTE]
Лог uVS: [ATTACH]416724[/ATTACH]

Однако эта дрянь скорее всего в автозапуске не сидит, т.к. проблема возникает без завершения сеанса пользователя.
30.04.2013, 20:00
regist

кажется нашёл в чём причина
[CODE]"cmd.exe" "/c attrib -H C:\WINDOWS\system32\drivers\etc\hosts && copy C:\DOCUME~1\buh6\LOCALS~1\Temp\20028812aq C:\WINDOWS\system32\drivers\etc\hosts /Y && attrib +H C:\WINDOWS\system32\drivers\etc\hosts[/CODE]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.77.10 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

delref /C
regt 14
deltmp
restart[/CODE]

проверьте, что с проблемой ?
06.05.2013, 17:27
The_Immortal

[b]regist[/b], огромнейшее Вам спасибо!!!
Вроде как проблемка убежала.

А Вы не могли бы пояснить: эта дрянь все-таки сидела в автозагрузке? Но как она срабатывала, когда компутер не перезагружался, сеанс не завершался... На какое событие реагировало?
06.05.2013, 19:25
regist

запускалось через планировщик заданий.

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
06.05.2013, 19:35
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\buh6\\application data\\flash\\update.vbs - [B]not-a-virus:RiskTool.VBS.BitCoinMiner.a[/B] ( AVAST4: Unix:Malware-gen )[/LIST][/LIST]