wasppacer, waagent, wasub

Printable View

30.03.2015, 14:24
pentax666

wasppacer, waagent, wasub

Здравствуйте! Помогите вылечить сервер!
На серваке установлен Kerio control, который раздается интернет. В разделе состояние видно, что появляются левые подключения. их очень много. Подцепил вирус раскрутки сайтов, может еще что-нибудь.
В диспетчере задач левые процессы: wasppacer, waagent и др. Как избавиться от этой напасти.
Заранее благодарен.
30.03.2015, 14:25
Info_bot

Уважаемый(ая) [B]pentax666[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
30.03.2015, 14:49
Vvvyg

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
30.03.2015, 15:03
pentax666

Сделал
30.03.2015, 16:08
Vvvyg

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.85.12 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v385c
delref %Sys32%\REMINDER.EXE
zoo %Sys32%\RADIANCE\WAAGENT.EXE
zoo %Sys32%\RADIANCE\WASPPACER.EXE
zoo %Sys32%\RADIANCE\WASUB.EXE
zoo %Sys32%\RADIANCE\WIZARD.EXE
delall %Sys32%\RADIANCE\WAAGENT.EXE
delall %Sys32%\RADIANCE\WASPPACER.EXE
delall %Sys32%\RADIANCE\WASUB.EXE
delall %Sys32%\RADIANCE\WIZARD.EXE
delall %Sys32%\RADIANCE\FFMPEGSUMO.DLL
delall %Sys32%\RADIANCE\ICUDT.DLL
delall %Sys32%\RADIANCE\LIBCEF.DLL
delall %Sys32%\RADIANCE\LIBEAY32.DLL
delall %Sys32%\RADIANCE\MSVCR71.DLL
delall %Sys32%\RADIANCE\SQLITE3.DLL
delall %Sys32%\RADIANCE\SSLEAY32.DLL
deldir %Sys32%\RADIANCE
delref %SystemDrive%\PROGRA~1\XSTARTER\XSTARTER.EXE
delref %Sys32%\ZBUCVJS.DLL
deltmp
czoo[/code]Перезагрузите сервер.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Сделайте полный образ автозапуска uVS, если не влезет во вложения, загрузите на rghost.ru и дайте ссылку в теме.
30.03.2015, 16:55
pentax666

лог-файл

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Образ автозапуска
30.03.2015, 22:32
Vvvyg

Скопируйте скрипт из окна "код" ниже в буфер обмена:
[CODE];uVS v3.85.12 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v385c

zoo %Sys32%\RADIANCE\WAAGENT.EXE
zoo %Sys32%\RADIANCE\WASPPACER.EXE
zoo %Sys32%\RADIANCE\WASUB.EXE
zoo %Sys32%\RADIANCE\WIZARD.EXE
delall %Sys32%\RADIANCE\WAAGENT.EXE
delall %Sys32%\RADIANCE\WASPPACER.EXE
delall %Sys32%\RADIANCE\WASUB.EXE
delall %Sys32%\RADIANCE\WIZARD.EXE
delall %Sys32%\RADIANCE\FFMPEGSUMO.DLL
delall %Sys32%\RADIANCE\ICUDT.DLL
delall %Sys32%\RADIANCE\LIBCEF.DLL
delall %Sys32%\RADIANCE\LIBEAY32.DLL
delall %Sys32%\RADIANCE\MSVCR71.DLL
delall %Sys32%\RADIANCE\SQLITE3.DLL
delall %Sys32%\RADIANCE\SSLEAY32.DLL
deldir %Sys32%\RADIANCE
czoo
[/CODE]
Закройте все браузеры, запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Перезагрузите сервер, лог и новый образ в студию, ZOO_ - в карантин.
31.03.2015, 08:16
pentax666

прикрепил
[url]http://rghost.ru/private/7x5lSw7WN/0a411a305d18416b6cc7202a284c31b9[/url]
[url]http://rghost.ru/7F5jFfxys[/url]
31.03.2015, 10:44
Vvvyg

Вроде бы справились.
Папка C:\WINDOWS\SYSTEM32\RADIANCE осталась? Если да - удалите со всем содержимым (станьте владельцем и верните права, если не получится).
31.03.2015, 10:50
pentax666

Не исчез. в диспетчере waagent и wasppacer
31.03.2015, 11:59
Vvvyg

Смените пароли на учётки с администраторскими правами, у кого они были не по делу - отобрать права администратора.
MS SQL сервер - также менять пароли, минимум на SA, часто через него взламывают.

Загрузите сервер в безопасном режиме и выполните скрипт из сообщения #7 через script.cmd, сразу посмотрите - папка C:\WINDOWS\SYSTEM32\RADIANCE останется?
31.03.2015, 13:32
pentax666

Загрузиться в безопасном режиме пока нет возможности. Сервер удаленный
31.03.2015, 14:48
Vvvyg

Пока пароли меняйте. Из обычного, боюсь, не получится.

[URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог Gmer[/URL].
31.03.2015, 16:41
pentax666

сделал
[url]http://rghost.ru/6hJXys7hh[/url]
31.03.2015, 19:44
Vvvyg

Теперь видно всё, что нужно, воспользуемся для удаления AVZ.
Отключите временно антивирус и [url="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZPMStatus(True);
TerminateProcessByName('c:\windows\system32\radiance\wasppacer.exe');
QuarantineFile('c:\windows\system32\radiance\wasppacer.exe', '');
QuarantineFile('c:\windows\system32\radiance\wizard.exe', '');
QuarantineFile('c:\windows\system32\radiance\wasub.exe', '');
QuarantineFile('C:\WINDOWS\PSEXESVC.EXE', '');
QuarantineFile('C:\WINDOWS\system32\schedule.exe', '');
QuarantineFile('C:\WINDOWS\system32\Radiance\waagent.exe', '');
QuarantineFile('C:\WINDOWS\system32\Radiance\updater.exe', '');
DeleteFile('c:\windows\system32\radiance\wasppacer.exe');
DeleteFile('C:\WINDOWS\PSEXESVC.EXE', '32');
DeleteFile('c:\windows\system32\radiance\wizard.exe', '32');
DeleteFile('c:\windows\system32\radiance\wasub.exe', '32');
DeleteFile('C:\WINDOWS\system32\Radiance\waagent.exe', '32');
DeleteFile('C:\WINDOWS\system32\Radiance\updater.exe', '32');
DeleteFile('C:\WINDOWS\system32\schedule.exe', '32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/code]Перезагрузите сервер.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

[B]Обновите базы AVZ[/B] ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
01.04.2015, 13:32
pentax666

Вложений: 1

отправил
01.04.2015, 15:12
Vvvyg

По логу не видно, есть в процессах?
01.04.2015, 15:51
pentax666

В процессах пока все чисто. Спасибо большое!!!
01.04.2015, 16:08
Vvvyg

Пока не расслабляйтесь. Папку c:\windows\system32\radiance зачистите вручную.

Пароли поменяли? Возможные лазейки для доступа закрыли?

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
02.04.2015, 08:03
pentax666

ОК! СПАСИБО
02.04.2015, 08:13
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]