TrojanDownloader.Agent.NTU

Printable View

16.01.2008, 18:07
alder

Вложений: 2

TrojanDownloader.Agent.NTU

Здравствуйте!

NOD говорит, что это TrojanDownloader. Справится сам не может. Закрыт доступ к подозреваемому startdrv.exe.

Главный симптом - огромный исходящий трафик. При попытке лечения/карантина с помощью AVZ - синий экран.

Возможно есть и другие трояны, с которыми НОДу не справиться.
Буду крайне признателен за помощь.

Спасибо!
16.01.2008, 18:29
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Kot47');
StopService('Yic18');
SetServiceStart('Kot47', 4);
SetServiceStart('Yic18', 4);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\DOCUME~1\AlDer\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\msownu.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\Yic18.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\mchInjDrv.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Kot47.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ctl_w32.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Kot47.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\mchInjDrv.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\system32\drivers\Yic18.sys');
DeleteFile('C:\DOCUME~1\AlDer\LOCALS~1\Temp\winlogon.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Kot47');
BC_DeleteSvc('Yic18');
BC_DeleteSvc('ctl_w32');
BC_DeleteSvc('smtpdrv');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=16509[/url]).
Сделайте новые логи.
16.01.2008, 19:03
alder

Вложений: 2

Во время выполнения скрипта в AVZ - опять синий экран.
16.01.2008, 19:16
V_Bond

удалите все антивирусы и антишпионы ...( в данном случае в таком количестве они не работоспособны и только мешают) [B]по окончании лечения поставите один[/B] ... из вашего набора рекомендую симантек ...
выполните скрипт ...
[code]
begin
StopService('smtpdrv');
StopService('Kot47');
StopService('Yic18');
QuarantineFile('C:\WINDOWS\system32\drivers\msownu.sys','');
QuarantineFile('C:\DOCUME~1\AlDer\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Kot47.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Yic18.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ctl_w32.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\Kot47.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\Yic18.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Kot47.sys');
DeleteFile('C:\DOCUME~1\AlDer\LOCALS~1\Temp\winlogon.exe');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc ('Kot47');
BC_DeleteSvc('Yic18');
BC_DeleteSvc('ctl_w32');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ..
повторите логи ...
16.01.2008, 19:20
Bratez

Если не пройдет вариант V_Bond'a -
Попробуйте сначала такой скрипт:
[code]
begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Kot47', 'Start');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Yic18', 'Start');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\ctl_w32', 'Start');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\smtpdrv', 'Start');
RebootWindows(true);
end.[/code]
Затем такой:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\DOCUME~1\AlDer\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\msownu.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\Yic18.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\mchInjDrv.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Kot47.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ctl_w32.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Kot47.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\mchInjDrv.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\system32\drivers\Yic18.sys');
DeleteFile('C:\DOCUME~1\AlDer\LOCALS~1\Temp\winlogon.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Kot47');
BC_DeleteSvc('Yic18');
BC_DeleteSvc('ctl_w32');
BC_DeleteSvc('smtpdrv');
BC_Activate;
RebootWindows(true);
end.[/code]
16.01.2008, 19:34
alder

Вариант V_Bond'a не запустился - выдал ошибку.
Последние два скрипта выдали синий экран.
Карантин заказчал по той же ссылке. Похоже, там то же самое, что и в первый раз.
16.01.2008, 19:36
V_Bond

поправил .... пробуйте выполнить ...
16.01.2008, 19:46
alder

Моментально синий экран - едва успел на запуск нажать. А ошибка была - просто в слове Quarantine "ra" пропущено... Может проще систему снести и вас не мучать?
16.01.2008, 19:46
V_Bond

в скрипте кое- что изменил .... попробуйте ... еще такой вариант ...
16.01.2008, 19:50
alder

kot47.sys - синий экран =(

после перезагрузки система выдала фатальную ошибку, требующую завершение работы.
NT AUTHORITY\SYSTEM Остановка службы. Запуск серверных процессов DCOM.
16.01.2008, 20:05
V_Bond

[URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ...
- отключить антивирус
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\system32\drivers\kot47.sys - direct file content wiping - do operation - закрыть программу..
- перезагрузится ...
то же самое проделайте и для Yic18.sys ...
16.01.2008, 20:22
alder

Для kot47.sys сделал. После перезагрузки система постоянно выдает ссобщение "Для защиты компьютера эта программа была закрыта системой - Generic Host Process for Win32 Services" - кнопка "закрыть сообщение". После нажатия - окно "Generic Host Process for Win32 Services вызвало проблему и требует завершения" с кнопками "Отправить/Не отправлять отчет". Зато трафик стабилизировался. Downloader больше не качает. И файл Yic18.sys в системе отсутствует.

Что нужно делать дальше, чтоб завершить лечение? Нужно ли сделать wipe остальных файлов из скрипта?

Еще процеесор чем-то стал постоянно занят при бездействии программ. График загрузки похож на синусоиду с пиками 100% раз в 7 секунд.
16.01.2008, 20:25
Макcим

Повторите логи.
16.01.2008, 20:52
alder

Вложений: 3

Заработал скрипт лечения. Результаты прилагаю.
16.01.2008, 20:58
V_Bond

Восстановление системы: включено - отключить
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('smtpdrv');
StopService('Kot47');
StopService('Bgj47');
QuarantineFile('C:\WINDOWS\system32\drivers\msownu.sys','');
QuarantineFile('C:\DOCUME~1\AlDer\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Kot47.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Yic18.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ctl_w32.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\Kot47.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\Bgj47.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Kot47.sys');
DeleteFile('C:\DOCUME~1\AlDer\LOCALS~1\Temp\winlogon.exe');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc ('Kot47');
BC_DeleteSvc('Bgj47');
BC_DeleteSvc('ctl_w32');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
16.01.2008, 21:34
alder

Вложений: 3

Лечение/логи сделал. Полностью отвалилась сеть - сижу за соседним компом.
16.01.2008, 21:42
V_Bond

ыполните описанное в посте 11 для ... C:\WINDOWS\system32\Drivers\Bgj47.sys
затем выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Yic18');
SetServiceStart('Yic18', 4);
DeleteService('Yic18');
StopService('Bgj47');
DeleteFile('C:\WINDOWS\System32\Drivers\Bgj47.sys');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteSvc('Yic18');
BC_DeleteSvc('Bgj47');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
16.01.2008, 22:04
alder

Вложений: 3

Готово. Подскажите, пожалуйста, как сеть восстановить? Если это возможно.
16.01.2008, 22:09
V_Bond

зловредов победили ...
для восстановления сети воспользуйтесь [url]http://www.tksinc.us/downloads/WinsockXPFix.exe[/url] .... она полностью сбрасівает сетевіе настройки поєтому стоит их записать перед использованием ....
16.01.2008, 22:22
alder

Огромное спасибо!

Подскажите, пожалуйста, как избавиться от постоянных сообщений об ошибке "Generic Host Process for Win32 Services" (из поста 12)?

И какой бы Вы порекоммендовали фаервол/антиспай с точки зрения оптимального соотношения эффект/ресурсоемкость?
16.01.2008, 23:26
V_Bond

поставте обновления
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=9a3bfbdd-62ea-4db2-88d2-415e095e207f[/url]
[url]http://www.microsoft.com/downloads/details.aspx?FamilyID=2996b9b6-03ff-4636-861a-46b3eac7a305&displaylang=ru[/url]
при нормальном антивирусе антиспай не нужен вообще ...
из фаерволоа платный outpost .... бесплатный Comodo
17.01.2008, 22:30
alder

Обновления установил. Табличка не исчезла. Теперь еще выдает критическую ошибку и не запускается EditPlus =(
17.01.2008, 22:46
V_Bond

фаервол установили ?
EditPlus ... и что говорит ?
17.01.2008, 23:31
alder

Вы знаете, просто беда какая-то. Установил полный NortonInternetSecurity (еще до того как Вы порекоммендовали Outpost или Comodo), зашел на один из наших сайтов ([URL="http://www.accent-spb.ru"]www.accent-spb.ru[/URL]) и опять поймал трояна. Нортон даже не пикнул. А трояны такого рода у нас постоянно прописываются в коренных файлах сайтов, причем непонятно каким образом, т.к. пароли мы нигде не храним.

Что касается EditPlus, он еще до поимки нового трояна при запуске выдавал стандартное виндовое окошко "программа будет закрыта" с возможностью отправить отчет об ошибке.
18.01.2008, 00:50
V_Bond

вот это обновление еще ...
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=f4c8e767-4ed2-4e36-aa43-612f3017efc7[/url]
зпустите с параметром WindowsXP-KB924270-x86-RUS.exe /B:SP2QFE
18.01.2008, 12:41
alder

Увы, по-прежнему система при загрузке выдает сообщение:
Название окна: Предотвращение выполнения данных - MS Windows
Содержимое: Для защиты компьютера эта программа была закрыта системой.
Имя: Generic Host Process for Win32 Services
Издатель: Microsoft Corporstion
Кнопка: Закрыть сообщение.

При клике - новое окно:
Название окна: Generic Host Process for Win32 Services вызвало проблему и требует завершения.
Содержимое: Ошибка произошла на 16.01.2008 в 20:19:36
Передайте Microsoft сведения об ошибке.
и т.д.
Кнопки: Отправить отчет, Не отправлять

При клике на не отпровлять - снова возникает первое окно.
18.01.2008, 13:14
V_Bond

сделайте пожалуйста принтскрин ошибки ...
18.01.2008, 16:43
alder

Вложений: 3

Эхх... вообщем, высылаю все как есть. Извините, что отнимаю много времени.
18.01.2008, 16:52
V_Bond

прошу прщенья вы из Одессы ?
выполните скрипт ...
[code]
begin
QuarantineFile('c:\windows\system32\wuweb32.dll','');
BC_Importall;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
20.01.2008, 12:29
alder

Я из Питера =) А почему спрашиваете? Карантин закачал. После скрипта опять отвалилась сеть. WinsockXPFix не помог.

Скажите, пожалуйста, могу я где-то почитать инструкцию, как самостоятельно вычищать систему с помощью AVZ и Hijack? В ближнем окружении есть еще несколько "нечистых" компьютеров, а вам я наверно уже оправданно надоел.
20.01.2008, 13:15
V_Bond

C:\msntffga.exe Trojan-[B]Downloader.Win32.Small.qbl[/B]
c:\windows\system32\wuweb32.dll [B]Backdoor.Win32.IRCBot.dta[/B]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\msntffga.exe');
DeleteFile('c:\windows\system32\wuweb32.dll');
BC_ImportDeletedList;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ..
раз из Питера это хуже .... запросы идут в Одессу ...
22.02.2009, 03:31
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\msntffga.exe - [B]Trojan-Downloader.Win32.Small.gbl[/B][*] c:\\system volume information\\_restore{f95ab3b1-9cd2-48a3-bf34-77e76386713c}\\rp2\\a0000170.sys - [B]Trojan-Downloader.Win32.Mutant.aim[/B] (DrWEB: BackDoor.Bulknet.112)[*] c:\\windows\\system32\\wuweb32.dll - [B]Backdoor.Win32.IRCBot.adg[/B] (DrWEB: BackDoor.IRC.Sdbot.1962)[/LIST][/LIST]

Текущее время: 15:57. Часовой пояс GMT +3.

Page generated in 0.01645 seconds with 10 queries