Outpost ругается на парочку вредителей

Printable View

27.12.2007, 16:04
mcc_1

Вложений: 3

Outpost ругается на парочку вредителей

c:\windows\system32\6_exception.nls - говорит что Agent(rootkit)

c:\windows\system32\config\systemprofile\local settings\temporary internet files\content.ie5\0de34567\install[1].exe - Packet/SFG(подозрительный)

c:\windows\system32\drivers\ip6fw.sys - говорит что заражен Rootkit.Pandex.Gen.2(мутант)

c:\windows\system32\sysfldr.dll - говорит что Clicker(Trojan)
27.12.2007, 16:19
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('Yfk03', 4);
QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
QuarantineFile('C:\WINDOWS\Yfk03.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\Yfk03.sys','');
QuarantineFile('C:\WINDOWS\system32\sysfldr.dll','');
DeleteFile('C:\WINDOWS\system32\sysfldr.dll');
DeleteFile('C:\WINDOWS\Yfk03.sys');
DeleteFile('C:\WINDOWS\system32\drivers\Yfk03.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Yfk03');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.
27.12.2007, 17:04
mcc_1

Скрипт не проходит, появляется ошибка : failed to set data for "DisplayName"
27.12.2007, 17:07
rubin

На время выполнения скрипта остановите и выгрузите Agnitum Outpost
27.12.2007, 17:11
mcc_1

OutPost и так выгружен, скрип все равно не проходит....
27.12.2007, 17:13
Bratez

Попробуйте в безопасном режиме.
27.12.2007, 17:51
mcc_1

Вложений: 3

Карантин отправлен...
27.12.2007, 18:01
Bratez

Карантин пуст.
Логи сейчас гляну.
27.12.2007, 18:03
mcc_1

to Bratez Дайте пожалуйста ссылку для загрузки карантина ..я отправлю еще раз...
27.12.2007, 18:11
Bratez

Пофиксите в HijackThis:
[code]
O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Yfk03', 'Start');
RebootWindows(true);
end.[/code]
После перезагрузки второй:
[code]
begin
ClearQuarantine;
BC_QrSvc('Yfk03');
BC_QrFile('C:\WINDOWS\Yfk03.sys');
BC_QrFile('C:\WINDOWS\system32\drivers\Yfk03.sys');
BC_QrFile('C:\WINDOWS\System32\Drivers\sptd.sys');
BC_DeleteSvc('Yfk03');
BC_DeleteFile('C:\WINDOWS\Yfk03.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\Yfk03.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите новый карантин и повторите лог syscheck (п.10 правил).

[size="1"][color="#666686"][B][I]Добавлено через 47 секунд[/I][/B][/color][/size]

Карантин грузить тут:
[url]http://virusinfo.info/upload_virus.php?tid=15724[/url]
27.12.2007, 18:35
mcc_1

Вложений: 1

Карантин отправлен....
27.12.2007, 18:47
V_Bond

[URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ...
- отключить антивирус
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\system32\drivers\Yfk03.sys - direct file content wiping - do opperation - закрыть программу.. - перезагрузится ...
...
ну и новые логи ...
27.12.2007, 19:12
mcc_1

Вложений: 3

Вышеупомянутые действия выполнены...
27.12.2007, 19:18
rubin

Отключите антивирус и файерволл, выполните скрипт:
[code]var
i,j:integer;
fname:string;
param:string;
param1:string;
begin
ClearQuarantine;
for i:=Ord('a') to Ord('z') do
for j:=Ord('a') to Ord('z') do
begin
fname:='sp'+Chr(i)+Chr(j)+'.sys';
if fname<>'sptd.sys' then
begin
param:='C:\Windows\system32\drivers\'+fname;
param1:='C:\Windows\system32\'+fname;
QuarantineFile(param,'');
QuarantineFile(param1,'');
DeleteFile(param);
DeleteFile(param1);
end;
end;
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Карантин пришлите по правилам
27.12.2007, 19:30
mcc_1

Карантин отправлен....
27.12.2007, 19:37
rubin

Повторите virusinfo_syscheck.zip - в карантине только ini файлы...
27.12.2007, 19:42
mcc_1

Вложений: 1

..
27.12.2007, 21:14
rubin

Попробуем так.
Откроем AVZ - Сервис - Модули пространства ядра
Там будет некий sp??.sys с базовым адресом F8416000 и размером в памяти 0FE000 (1040384).
Выделите его, нажмите кнопками вверху - "Копировать в карантин" и "Снять дамп памяти текущего модуля".
Файл - Просмотр карантина - нужный нам файл в карантине архивируете и присылаете.
Затем присылаете архив файла .dmp в папке DMP каталога AVZ
27.12.2007, 21:21
mcc_1

Попробую в безопасном режиме, так не проходит...

[quote=rubin;164981]
Затем присылаете архив файла .dmp в папке DMP каталога AVZ[/quote]

Прислать как вложение?..
27.12.2007, 21:34
rubin

Можно и так, в нем ничего опасного нет
27.12.2007, 21:37
mcc_1

Вложений: 1

А в карантин он не захотел ..ни в обычном режиме...ни в безопасном..
27.12.2007, 22:00
rubin

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)

Что из этого не нужно?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

PS: sp??.sys как объяснили - это часть Daemon tools :smile:
27.12.2007, 22:04
mcc_1

[quote=rubin;165001]
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
[/quote]
Да вот автозапуск можно оставить...а насчет второго я собственно не знаю, что можете подсказать? какие её назначения собственно?
27.12.2007, 22:08
rubin

Локальная сеть имеется?
27.12.2007, 22:15
mcc_1

Она у меня урезана провайдером..инет работает через сетевую карту..хотя как токовой локальной сети у меня нет...
27.12.2007, 22:32
V_Bond

выполните скрипт ....
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.
[/code]

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

всеже хотелось бы взглянуть на sp??.sys ...
27.12.2007, 22:35
mcc_1

Скрипт выполнил...

[quote=V_Bond;165020]
всеже хотелось бы взглянуть на sp??.sys ...[/quote]

Он не хочет в карантин....
Глянул в службах после выполнения скрипта...служба терминалов по прежнему работает...
27.12.2007, 22:42
V_Bond

а если руками скопировать( в фаре например ) ... и запаковать с паролем ...
27.12.2007, 22:44
mcc_1

[quote=V_Bond;165027]а если руками скопировать( в фаре например ) ... и запаковать с паролем ...[/quote]
По мимо Фара ..как это можно сделать? просто фаром не пользуюсь
27.12.2007, 22:55
V_Bond

чем вы пользуетесь ....?
27.12.2007, 22:57
mcc_1

[quote=V_Bond;165032]чем вы пользуетесь ....?[/quote]
Лан пофик ..установил я фар..теперь подскажите как мне этот файлик найти с его помощью...??
27.12.2007, 23:04
V_Bond

F9 - параметрі - настройки панели - показывать скрытые файлы ...
Alt+ F7 -поиск ...
27.12.2007, 23:07
mcc_1

[quote=V_Bond;165035]F9 - параметрі - настройки панели - показывать скрытые файлы ...
Alt+ F7 -поиск ...[/quote]

Поиск показал что найдено 0 файлов...
Сделал поиск по маске sp??.sys нашел только sptd.sys
28.12.2007, 01:08
V_Bond

все с файлом разобрались ;) ....
если проблем нет ... лечение можно считать завершенным ...
22.02.2009, 03:12
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]1035[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]