Printable View
Здравствуйте!
После лечения сервера (ОС Win server 2008 r2 standart) от вирусов все равно периодически появляются странные службы,а также файлы в корне C:\ и в system32. Стоит антивирус Kaspersky endpoint security 10. Сканировал так же Dr.Cureit в безопасном режиме, но безрезультатно. Антивирус периодически ловит несколько вирусов но от заражения это не спасает.
На сервере работает MSQL сервер, VipNet, и система обмена данными с головной организации.
Уважаемый(ая) [B]alex_007_89[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
[QUOTE]Внимание !!! База поcледний раз обновлялась 23.02.2014 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/QUOTE]
После обновления баз повторите сканирование и приложите свежий virusinfo_syscheck.zip
Готово
Логи собраны из терминальной сессии
[QUOTE]Session="RDP-Tcp#0"[/QUOTE]
а нужны из консоли.
выполнил скрипт в консольной сессии
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Извиняюсь! забыл запустить браузер при запуске скрипта. вот новый лог
[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:
[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Windows\system32\.exe','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQBr','');
QuarantineFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','');
DeleteFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQBr','32');
ExecuteSysClean;
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Компьютер перегрузите вручную.
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
Подготовьте лог сканирования [url=http://virusinfo.info/showthread.php?t=146192]AdwCleaner[/url].
Сделано
Файл AdwCleaner[S0].txt тоже покажите.
[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]
Прикладываю оставшиеся логи Adwcleaner и UVS
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code]
;uVS v3.85.25 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
exec32 C:\Program Files (x86)\Tencent\QQBrowser\uninst.exe
exec32 "C:\Program Files (x86)\Rising\RSD\Setup.exe" /UNINSTALL /PRODUCT=RSD
exec32 "C:\Program Files (x86)\Rising\RSD\Setup.exe" /UNINSTALL /PRODUCT=RAV
exec32 "C:\Program Files (x86)\Rising\RSD\Setup.exe" /UNINSTALL /PRODUCT=RAG
exec32 C:\Program Files (x86)\Baidu\BrowserProtect\4.0.2.205\uninst.exe
exec32 C:\Program Files (x86)\Baidu\BaiduPinyin\3.0.2.675\uninst.exe
; 百度输入法
exec C:\Program Files (x86)\Baidu\BaiduPinyin\3.0.2.675\uninst.exe
addsgn A7679B1928664D070E3C301364C8ED70357589FA768F179082C3C5BCD3127D11E11BC33D323D8D582D906CD21C1649C9BD9F6307595F4659214E912F6700327C 64 baidu
zoo %SystemRoot%\SYSWOW64\CONFIG\SYSTEMPROFILE\APPDATA\ROAMING\BAIDU\BDWEBADAPTER\3.0.240.0\BDEXIE.DLL
bl 19FBD5F952F0D756BEAE378A0442D484 443512
delall %SystemDrive%\PROGRAM FILES (X86)\BAIDU\BAIDUPINYIN\3.0.2.675\BAIDUCNAX.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\BAIDU\BDDOWNLOAD\108\BDCOMPROXY.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\BAIDU\BAIDUPINYIN\3.0.2.675\NPXBDCNTB.DLL
delall %Sys32%\DRIVERS\BDMNETMON.SYS
addsgn A7679B1928664D070E3C7A6164C8ED70357589FA768F179082C3C5BCD3127D11E11BC33D323D1DC12E906C70391649C9BD9F6307595F4659214E91573C03327C 64 baidu
zoo %SystemRoot%\SYSWOW64\CONFIG\SYSTEMPROFILE\APPDATA\ROAMING\BAIDU\BDWEBADAPTER\3.0.240.0\NPBDEXNP.DLL
bl 2D7A98EBE401BC7921DB6A646662792E 406136
delall %SystemDrive%\PROGRAM FILES (X86)\RISING\RAV\NPRISING.DLL
chklst
delvir
czoo
[/code]На вопросы об удалении программ рекомендую соглашаться.
Компьютер перегрузите вручную.
Для контроля повторите [url=http://virusinfo.info/showthread.php?t=121767][b]полный образ автозапуска uVS[/b][/url].
Скрипт выполнил. вопросов по подтверждению не было.
Повторный образ автозагрузки приложить не получается =( ругается управление вложениями (превышен предел форума)
[quote="alex_007_89;1296390"]превышен предел форума[/quote]
Мой кабинет - управление вложениями.
Спасибо! поправил =)
Скачайте [url=http://crystalidea.com/uninstall-tool]Uninstall Tool[/url] и с ее помощью удалите записи об отсутствующих программах в списке установленных.
Спасибо!
стоит еще чем то сканировать?
[quote="alex_007_89;1296226"]Антивирус периодически ловит несколько вирусов[/quote]
Это еще продолжается?
обычно это происходит ночью! завтра все проверю и отпишусь
Проверьте пока уязвимые места -
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL] при наличии доступа в интернет:
[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
[URL="http://virusinfo.info/showthread.php?t=121902"]Советы и рекомендации после лечения компьютера.[/URL]
утром касперский снова отловил пару зверей... скриншот отчета приложил
На уязвимости просканировал сегодня утром, было найдено 6 уязвимостей. Обновления все установил лог avz тоже приложил
Буду дальше наблюдать
[LIST=1][*]Скачайте архив [url=http://media.kaspersky.com/utilities/VirusUtilities/RU/tdsskiller.zip]TDSSKiller.zip[/url] и распакуйте его в отдельную папку;[*]Запустите файл [B][I]TDSSKiller.exe[/I][/B].[*]Нажмите кнопку "[b]Начать проверку[/b]". Не меняйте настройки сканирования по умолчанию.[*]В процессе проверки могут быть обнаружены объекты двух типов:[list][*]вредоносные (точно было установлено, какой вредоносной программой поражен объект);[*]подозрительные (тип вредоносного воздействия точно установить невозможно).[/list][*]По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием.[*]Для вредоносных объектов утилита автоматически определяет действие: [b]Лечить[/b] или [b]Удалить[/b].[*]Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию [b]Пропустить[/b]).[*][B][COLOR="Red"]Самостоятельно без указания консультанта ничего не удаляйте!!![/COLOR][/B][*]После нажатия кнопки [b]Продолжить[/b] утилита выполняет выбранные действия и выводит результат.[*]Прикрепите лог утилиты к своему следующему сообщению[/list]По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: [i]ИмяУтилиты.Версия_Дата_Время_log.txt[/i]
Например, [i]C:\TDSSKiller.3.0.0.44_10.05.2015_13.39.01_log.txt[/i]
Выполнил
Ситуация снова повторяется. =(
антивирус поймал 4 вируса. Два в корне диска С и два в system32. Последующая проверка ничего не обнаружила.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
отчет о вирусах из касперского
У Вас открыт доступ на папки:
[QUOTE]D:\MIAC
d:\MIAC\PROGRAMS[/QUOTE]
Доступ с паролем?
Подготовьте лог [url=http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657]MBAM[/url],
Выполнил сканирование лог приложил к сообщению.
папку C:\vir создавал сам и перемещал туда подозрительные файлики при первом заражении
сервер в домене и доступ к сетевым папкам разрешен только пользователям домена
Удалите все найденное, включая файлы и этой папки.
Затем сделайте новое сканирование MBAM.
MBAM повторно ничего не нашел. Лог приложил
Утром касперкий отловил 2 вируса.
Вы сделали
[QUOTE]Тип проверки: Выборочная проверка[/QUOTE]
а нужно Полную проверку.
[quote="alex_007_89;1297483"]Утром касперкий отловил 2 вируса[/quote]
Те же?
Для эксперимента, пожалуйста, выполните 2 стандартный скрипт [url=http://z-oleg.com/avz.exe]полиморфной версией AVZ[/url].
Файл [B]virusinfo_syscheck.zip[/B] приложите к следующему сообщению.
Вирусы с типичными именами (вроде hex1.exe, xpserver.exe )
Запусти полную проверку MBAM лог приложу позже
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Лог полной проверки MBAM
Заархивируйте в zip архив с паролем [COLOR="Red"]virus[/COLOR] все файлы, которые утром найдёт касперский и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.
+ - Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
+ советую хотя бы на сутки отключиться от шары и проверить. Вирус скорее всего лезет через неё с какой-то из заражённых машин в сети.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
на всех остальных маших в сети также стоит KES 10?
[URL="http://virusinfo.info/virusdetector/report.php?md5=8F0413DAACEEC816D4673ACB3A7A00F1"]Результат анализа карантина [/URL]
Ночью остаются включены только сервера. на всех серверах запустил проверку MBAM
На рабочих станциях тоже стоит KES 10 управляется все консолью администрирования
[quote="alex_007_89;1297589"]Ночью остаются включены только сервера. на всех серверах запустил проверку MBAM[/quote]
так проблема скорее всего не на той машине, которая остаётся включённой, а на той которую включают утром. Во время включения срабатывает автозапуск вируса и этим объясняется это поведение.
d:\miac\programs\polyclinic\utils\tcppm.exe - [b][COLOR="#FF0000"]not-a-virus:Server-Proxy.Win32.3proxy.jj[/COLOR][/b] - ваше?
[QUOTE=regist;1297601]
d:\miac\programs\polyclinic\utils\tcppm.exe - [B][COLOR=#FF0000]not-a-virus:Server-Proxy.Win32.3proxy.jj[/COLOR][/B] - ваше?[/QUOTE]
да это наше
массовые проверки KES результата не дают =(
[quote="regist;1297532"]+ - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.[/quote]
советую провести эту процедуру и на остальных компьютерах. Особой сложности не представляет, а возможно поможет выявить заражённую машину.
+ к [URL="http://virusinfo.info/showthread.php?t=187298&p=1297532&viewfull=1#post1297532"]написанному[/URL] можно по одной перезагружать машины в сети и смотреть после включения которой KES снова отловит вирусы.
Спасибо! буду проверять
о результатах отпишусь
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Карантин касперского прислать не получается! антивирус сразу же снова помещает их на карантин
вот лог KES
[quote="alex_007_89;1297615"]Карантин касперского прислать не получается! антивирус сразу же снова помещает их на карантин
вот лог KES[/quote]
1) Временно приостановить работу файлового антивируса
2) Второе можно восстановить файлы из карантина.
отправил файлы из карантина касперского. появляются в корне диска С и в C:\system32\
пароль на архив virus
спасибо, ушло в вирлаб.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
А машины в сети рекомендую пока просканировать с помощью CureIt.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\.exe - [B]not-a-virus:HEUR:Downloader.Win32.Chindo.heur[/B] ( AVAST4: Win32:Malware-gen )[*] \hexget.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.DownLoader12.39650, AVAST4: Win32:Vitro )[*] \hexmuma.exe - [B]Trojan.Win32.Agent.ifxj[/B] ( BitDefender: Gen:Variant.Symmi.33994 )[*] \hexsrver.exe - [B]HEUR:Backdoor.Win32.Generic[/B][*] \hexyoushou.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.DownLoader12.48019, BitDefender: Gen:Variant.Graftor.108707, AVAST4: Win32:Elknot-AA [Trj] )[*] \hex123.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( AVAST4: Win32:Agent-AYXA [Trj] )[*] \hex360sb.exe - [B]Backdoor.Win32.Farfli.yny[/B] ( AVAST4: Win32:Malware-gen )[/LIST][/LIST]