помогите убрать остатки вируса

Printable View

02.04.2008, 13:49
elef

Вложений: 3

помогите убрать остатки вируса

изначально на моей машине в локалке был вирус, который слал спам по 25 порту. После лечения разными средствами остался след. косяк примерно каждые 10 минут появляются следующие движения(log файл из программы Port Explorer):

33322 01/04/2008 17:24:23 OPEN TCP 0.0.0.0:0 0.0.0.0:0 SUCCESS 0 1084 c:\windows\system32\svchost.exe
33323 01/04/2008 17:24:23 CONNECT TCP 0.0.0.0:3795 78.40.80.165:80 SUCCESS 0 1084 c:\windows\system32\svchost.exe
33344 01/04/2008 17:24:44 CLOSE TCP 0.0.0.0:3795 78.40.80.165:80 SUCCESS 0 1084 c:\windows\system32\svchost.exe
(log файл из программы Port Explorer)
02.04.2008, 13:57
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Restore\profhlp.exe','');
QuarantineFile('PCANotify.dll','');
QuarantineFile('C:\WINDOWS\system32\msindeo.dll','');
BC_DeleteSvc('AdvPowerMgmt');
QuarantineFile('C:\WINDOWS\system32\powermgmt.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\1049b.exe','');
QuarantineFile('C:\DOCUME~1\Edward\LOCALS~1\Temp\KXGWQ.exe','');
DeleteFile('C:\WINDOWS\system32\powermgmt.sys');
DeleteFile('C:\WINDOWS\system32\msindeo.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
02.04.2008, 17:17
elef

[QUOTE=V_Bond;209682]выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Restore\profhlp.exe','');
QuarantineFile('PCANotify.dll','');
QuarantineFile('C:\WINDOWS\system32\msindeo.dll','');
BC_DeleteSvc('AdvPowerMgmt');
QuarantineFile('C:\WINDOWS\system32\powermgmt.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\1049b.exe','');
QuarantineFile('C:\DOCUME~1\Edward\LOCALS~1\Temp\KXGWQ.exe','');
DeleteFile('C:\WINDOWS\system32\powermgmt.sys');
DeleteFile('C:\WINDOWS\system32\msindeo.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....[/QUOTE]

отослал карантин через ссылку.
03.04.2008, 09:14
elef

отослать еще раз?
03.04.2008, 09:23
V_Bond

C:\WINDOWS\system32\Restore\profhlp.exe
C:\WINDOWS\system32\PCANotify.dll
C:\WINDOWS\system32\DRIVERS\tcpip.sys
C:\DOCUME~1\Edward\LOCALS~1\Temp\KXGWQ.exe - чистые ...
1049b.exe - поищите через авз сервис поиск файлов на диске если найдется пришлите по правилам ..
03.04.2008, 14:16
elef

[QUOTE=V_Bond;210127]C:\WINDOWS\system32\Restore\profhlp.exe
C:\WINDOWS\system32\PCANotify.dll
C:\WINDOWS\system32\DRIVERS\tcpip.sys
C:\DOCUME~1\Edward\LOCALS~1\Temp\KXGWQ.exe - чистые ...
1049b.exe - поищите через авз сервис поиск файлов на диске если найдется пришлите по правилам ..[/QUOTE]

поиск файла 1049b.exe результата не дал, удаленный ip-адрес по прежнему коннектится к svchost.exe...
03.04.2008, 14:23
V_Bond

это вам о чем -то говорит ?
[code]
organisation: ORG-STJ2-RIPE
org-name: Service Telecom, JSC
org-type: LIR
address: Service Telecom, JSC
Mikhail Kunitsyn
SOVETSKAYA STR 65 SUITE 26
630099 NOVOSIBIRSK
RUSSIAN FEDERATION
[/code]
пофиксите ...
[code]
O2 - BHO: (no name) - AutorunsDisabled - (no file)
[/code]
выполните скрипт ...
[code]
begin
DeleteFile('C:\WINDOWS\system32\1049b.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи ..
04.04.2008, 09:42
elef

Вложений: 3

вот новые логи
04.04.2008, 09:49
Bratez

Логи чистые.

Для порядка пофиксите в HijackThis:
[code]
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
[/code]

Рекомендуется отключить все что вам не нужно из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Schedule ()
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешено использование ActiveX, не помеченных как безопасные
>>> Безопасность: В IE разрешена загрузка подписанных элементов ActiveX без запроса
>>> Безопасность: В IE разрешена загрузка неподписанных элементов ActiveX
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>>> Безопасность: В IE разрешен запуск программ и файлов в IFRAME без запроса
>> Безопасность: Разрешены терминальные подключения к данному ПК
[/code]
04.04.2008, 15:21
elef

не помогло... проблема осталась...

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 2 минуты[/I][/B][/color][/size]

что можете еще посоветовать?
08.04.2008, 09:44
elef

значит зараза так и останентся в компьютере?

помогите!.. люди добрыя...
08.04.2008, 09:46
V_Bond

еще раз спрашиваю ...
это ваш провайдер ?
[code]
Service Telecom, JSC
Mikhail Kunitsyn
SOVETSKAYA STR 65 SUITE 26
630099 NOVOSIBIRSK
RUSSIAN FEDERATION
[/code]
08.04.2008, 10:00
elef

[QUOTE=V_Bond;212538]еще раз спрашиваю ...
это ваш провайдер ?
[code]
Service Telecom, JSC
Mikhail Kunitsyn
SOVETSKAYA STR 65 SUITE 26
630099 NOVOSIBIRSK
RUSSIAN FEDERATION
[/code][/QUOTE]

нет, наш провайдер ООО "Ставропольские коммуникации" (Ставком)
и географически я нахожусь в Ставрополе
08.04.2008, 10:35
V_Bond

выполните скрипт ...
[code]
begin
ClearQuarantine;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\WINDOWS\System32\drivers\wdnprot.sys','');
QuarantineFile('c:\program files\tario\netmanager\networkman.exe','');
ExecuteRepair(9);
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
08.04.2008, 15:14
elef

[QUOTE=V_Bond;212550]выполните скрипт ...
[code]
begin
ClearQuarantine;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\WINDOWS\System32\drivers\wdnprot.sys','');
QuarantineFile('c:\program files\tario\netmanager\networkman.exe','');
ExecuteRepair(9);
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...[/QUOTE]

c:\program files\tario\netmanager\networkman.exe
эта прога жизненно нужна для работы

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 19 минут[/I][/B][/color][/size]

карантин выслал
08.04.2008, 15:58
V_Bond

C:\WINDOWS\System32\drivers\wdnprot.sys - чистый ...
второго запрошенного файла в карантине нет ...
08.04.2008, 16:35
elef

[QUOTE=V_Bond;212765]C:\WINDOWS\System32\drivers\wdnprot.sys - чистый ...
второго запрошенного файла в карантине нет ...[/QUOTE]

второй файл - это exe файл программы, необходимой для работы... его я закарантинить не могу...
08.04.2008, 16:44
V_Bond

закарантинить значит скопировать ... так что можете , эта ваша програмка активно общается с сетью ...
08.04.2008, 16:55
elef

[QUOTE=V_Bond;212789]закарантинить значит скопировать ... так что можете , эта ваша програмка активно общается с сетью ...[/QUOTE]

да, она для этого и предназначена (это мониторинг шлюзов ip-телефонии)
08.04.2008, 17:00
V_Bond

подозреваю что это ее проделки ...
08.04.2008, 17:02
elef

[QUOTE=V_Bond;212795]подозреваю что это ее проделки ...[/QUOTE]

зараженный exe файл?
карантирование точно никак не отразится на работоспособности программы?
08.04.2008, 17:06
Гриша

Нет,не отразится
08.04.2008, 17:13
elef

[QUOTE=Гриша;212800]Нет,не отразится[/QUOTE]

карантин отослал
09.04.2008, 00:40
V_Bond

C:\WINDOWS\System32\drivers\wdnprot.sys -Trojan.Win32.Agent.jpk совсем свежий ....
ждем результат по второму

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 27 минут[/I][/B][/color][/size]

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\drivers\wdnprot.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
22.02.2009, 04:41
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]