Win32/Fujacks.AL (by NOD32)

Printable View

14.12.2007, 21:46
just_blind

Win32/Fujacks.AL (by NOD32)

Здравствуйте. После проделанных действий согласно правилам все тихо...пока.
Последние 2 недели в моей подсети бродит "страшный" вирус...Вот ссылка на новость от ИСП[URL="http://www.freenet.com.ua/news/20071118/"] http://www.freenet.com.ua/news/20071118/[/URL]
Возникает вопрос: постоянные подмены ай-пи, провозглашение сторонними ай-пи себя самих шлюзами моей подсети это и есть зараза, терроризирующая меня?

Проявления вируса:
1. Каждая папка имеет в себе файл [B]desktop_.ini
[/B]2. Браузеры реагируют на клик по ссылке только с 5-10 раза.
3. В корне каждого логического диска присутствует файл [B]GameSetup.exe[/B]
...больше ничего не припомню..
14.12.2007, 21:57
rubin

Пофиксьте
[code]O4 - Startup: Desktop_.ini[/code]
Пришлите по правилам GameSetup.exe и desktop_.ini
14.12.2007, 22:50
just_blind

Готово

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

Появилась новая "фишка".
Время от времени появляться всплывающее окошко в систрее, которое сообщает что есть файлы для записи на диск стандартным средством записи виндоус.
15.12.2007, 12:57
just_blind

Апаю тему, фикс выполнил, карантин прислал.
15.12.2007, 13:18
V_Bond

[QUOTE]Появилась новая "фишка".
Время от времени появляться всплывающее окошко в систрее, которое сообщает что есть файлы для записи на диск стандартным средством записи виндоус.[/QUOTE]
в чем проблема удалите их ... а впредь , если не пользуютесь стандартными средствами записи .... просто остановите службу записи компакт дисков ...
15.12.2007, 13:32
just_blind

Ответа от лаборатории нет?
Службу остановил бы, не знаю как она называться.
15.12.2007, 14:08
Макcим

В карантине только C:\Documents and Settings\Юрик\Application Data\Microsoft\Excel\XLSTART\Desktop_.ini Он чист. Какие сейчас жалобы?
15.12.2007, 14:10
V_Bond

[QUOTE=just_blind;160858]
Службу остановил бы, не знаю как она называться.[/QUOTE]
IMAPI
15.12.2007, 14:14
just_blind

GameSetup.exe все так же зверствует.

[size="1"][color="#666686"][B][I]Добавлено через 56 секунд[/I][/B][/color][/size]

Возможно следует повторить все логи и проверки?
15.12.2007, 14:16
Макcим

[QUOTE=just_blind;160873]GameSetup.exe все так же зверствует.

[size="1"][color="#666686"][B][I]Добавлено через 56 секунд[/I][/B][/color][/size]

Возможно следует повторить все логи и проверки?[/QUOTE]Да, повторите и постарайтесь прислать этот GameSetup.exe
15.12.2007, 18:10
just_blind

Повторные логи.
[B]GameSetup.exe[/B] отправил тоже согласно правил.
15.12.2007, 18:50
Kuzz

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\nvsvc32.exe','');
QuarantineFile('C:\Documents and Settings\Юрик\DoctorWeb\Quarantine\GameSetu2.exe','');
QuarantineFile('H:\INSTALL\GMSIPCI.SYS','');
QuarantineFile('G:\Fxdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\lirsgt.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\atksgt.sys','');
QuarantineFile('C:\Program Files\Gene6 FTP Server\G6FTPTray.exe','');
QuarantineFile('C:\Documents and Settings\Юрик\Главное меню\Программы\Автозагрузка\Desktop_.ini','');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

GameSetup.exe не попал и в этот карантин.
15.12.2007, 19:48
just_blind

Файлы, попавшие в карантин отослал.

...при каждой загрузки системы в систрее появляется окно, сообщающее о файлах, которые ждут записи на диск. Файлов таких на самомо деле нет, я их не добавлял на запись. Служба IMAPI отключена.

[size="1"][color="#666686"][B][I]Добавлено через 43 минуты[/I][/B][/color][/size]

Заметил еще 1 новую шутку, возможно от вируса:

Неро отказывается "дописывать" в неполные р-диски, "продолжать мультисессию", "стирать" рв-диски. Все диски, без исключения, становятся ридонли.

Точно такая же тема на ноутбуке, который контактировал с этой машиной.
15.12.2007, 19:51
V_Bond

щелкните в трее на иконке с цд в появившемся окошке удалите файлы для записи ...
15.12.2007, 19:52
just_blind

Там пусто, всегда!
15.12.2007, 20:00
V_Bond

в неро выбран реальный дисковод ? или виртуальный ?
15.12.2007, 20:01
just_blind

Реальный. До недавнего времени такой проблемы не было.
15.12.2007, 22:18
rubin

У меня смутное подозрение на файловый инфектор... проверку CureIt делали?
15.12.2007, 22:35
just_blind

Конечно. CureIt излечил приблизительно 1.5к *.htm файлов от Win32.HLLW.Whboy а также поместил в карантин все найденные GameSetup.exe

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[url]http://info.drweb.com/virus_description/134957[/url]
15.12.2007, 22:42
rubin

[code]begin
QuarantineFile('GameSetup.exe','');
end.[/code]
Карантин пришлите... если в карантин файл не попадет, попробуйте просто вручную его заархивировать и прислать - надо все таки понять что это такое
15.12.2007, 22:55
just_blind

:blink: вы до сих пор его не получили?!
Секундочку, попробую вручную! AVZ его не берет - это точно.
[CODE](Ошибка карантина файла, попытка прямого чтения (GameSetup.exe)
Карантин с использованием прямого чтения - ошибка)[/CODE]

попробовал найти вручную - негде нет.
AVZ - его тоже не находит.
15.12.2007, 22:57
rubin

Гм.. давайте еще раз логи, если не затруднит
15.12.2007, 23:18
Shu_b

[QUOTE=rubin;161068]Карантин пришлите... если в карантин файл не попадет, попробуйте просто вручную его заархивировать и прислать[/QUOTE] Так его наверно НОД при попытке перемещения прибивает...[QUOTE=rubin;161068]надо все таки понять что это такое[/QUOTE]Так всё написано в первом посте за исключекнием размножения, а размножается он копируясь на открытые "шары" тем более что на машинке разрешён анонимный, да и на администраторе пароль врят ли стоит ;-)
15.12.2007, 23:31
just_blind

НОД, Аутпост и возможный максимум программ отключен/остановлены службы, во время проведения действий "по правилам".

Зачем пароль на администраторе?
Что значит "разрешен анонимный"?

Ув.[B]Shu_b[/B], поясните свой пост, если не затруднит? Дело в том, что мою подсеть сейчас страшно штормит, могу показать лог Аутпоста, может мне от сети как-то ограждаться надо?

Новые логи + лог Аутпоста.
16.12.2007, 00:08
Shu_b

Вы смешиваете действия разных вредоносных программ.
Одна через незакрытый административный доступ записалась на диск вашего компьютера и запустилась автоматически когда вы воспользовались проводником.
Вторая, заразившая ваш сегмент сети, подменяет сетевые настройки, вызывая этим проблемы в сегменте. В этом случае администрация сети должна помочь в устранении этих проблем, как вариант отключая тех кто не хочет лечиться.
16.12.2007, 00:25
just_blind

[quote=Shu_b;161116]Вы смешиваете действия разных вредоносных программ.
Одна через незакрытый административный доступ записалась на диск вашего компьютера и запустилась автоматически когда вы воспользовались проводником.[/quote]
Под видом чего она прошла мимо Аутпоста? Он у меня на постоянной блокировке. Как закрыть административный доступ?

У меня бывает ноутбук в сети с этой машиной и он пользуется расшареным интернетом. Для этого ноута у меня открыт доступ к локальным дискам. Следует убрать доступ? Возможно есть вариант разрешить пользоваться файлами по сети другим способом?

[quote=Shu_b;161116] Вторая, заразившая ваш сегмент сети, подменяет сетевые настройки, вызывая этим проблемы в сегменте. В этом случае администрация сети должна помочь в устранении этих проблем, как вариант отключая тех кто не хочет лечиться.[/quote]
На это я уже не обращаю внимания...просто звоню в суппорт как только обнаруживаю инфекцию, там нужный ай-пи блокируют мгновенно, это понятно.
16.12.2007, 00:50
Shu_b

[QUOTE=just_blind;161124]Под видом чего она прошла мимо Аутпоста? Он у меня на постоянной блокировке. Как закрыть административный доступ?

У меня бывает ноутбук в сети с этой машиной и он пользуется расшареным интернетом. Для этого ноута у меня открыт доступ к локальным дискам. Следует убрать доступ? Возможно есть вариант разрешить пользоваться файлами по сети другим способом?[/QUOTE]

Способы существут разные, но они находятся за рамками данной дискуссии в данном разделе. последнее модное устройство для решения таких проблем - роутер с wifi.
16.12.2007, 00:55
just_blind

У меня бывает ноутбук в сети с этой машиной и он пользуется расшареным интернетом. Для этого ноута у меня открыт доступ к локальным дискам. Следует убрать доступ? Возможно есть вариант разрешить пользоваться файлами по сети другим способом?
22.02.2009, 03:05
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]