Printable View
[COLOR=#333333]Добрый день. [/COLOR]
[COLOR=#333333]Майнер самопроизвольно устанавливается и висит с загрузкой системы 50 процентов [/COLOR]
[COLOR=#333333]пробовал в безопасном режиме удалить, после перезагрузки через некоторое время опять появляется.
Удаление не в безопасном режиме приводит к синему экрану.
После удаления в безопасном режиме папки, где находился майнер, он создается в другой папке.[/COLOR]
Уважаемый(ая) [B]DIShat[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
1. [b]Временно отключите [url=https://virusinfo.info/showthread.php?t=130828]защитное ПО[/url][/b].
Выполните скрипт [url=https://virusinfo.info/showthread.php?t=7239]AVZ[/url].
[code]
begin
TerminateProcessByName('E:\ConsUserData\svchost.exe');
QuarantineFile('C:\Windows\Temp\ntshrui.dll','');
QuarantineFile('E:\ConsUserData\svchost.exe','');
DelCLSID('{2C7339CF-2B09-4501-B3F3-F3508C9228ED}');
DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
DeleteFile('E:\ConsUserData\svchost.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\AeLookupSvc\Parameters','ServiceDll');
DeleteFile('C:\Windows\Temp\ntshrui.dll','32');
ExecuteSysClean;
CreateQurantineArchive(GetAVZDirectory +'quarantine.zip');
end.
[/code]
Корректно завершите все удалённые подключения к серверу, закройте все программы и перезагрузите систему вручную.
2. Файл карантина quarantine.zip из папки с AVZ отправьте по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
3. Сделайте новые логи программой [url=https://virusinfo.info/content.php?r=136-pravila]Autologger[/url] и пришлите их.
4. Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i739.photobucket.com/albums/xx33/emeraldnzl/FRST%20Console%20with%2090days.jpg[/img]
Спасибо за ответ.
Сразу же возникла проблема с первым пунктом. Я не могу выполнить данный скрипт. Я уже писал выше, что из работающей системы невозможно снести процесс вируса, система тут же ловит синий экран.
Выполнить скрипт в безопасном режиме?
Да, выполняйте
[QUOTE=thyrex;1457026]Да, выполняйте[/QUOTE]
К сожаление безопасный режим не работает. Как только сервер загружается, то сразу ловит синий экран смерти и уходит на перезагрузку..
Что можно еще придумать для выполнения скрипта?
Делайте логи Farbar
Запрошенные логи
Уязвимость, которую использует нашумевший WannaCry: [URL="https://support.microsoft.com/ru-ru/help/4012598/title"]MS17-010: Описание обновления безопасности для Windows SMB Server[/URL], установили уже, надеюсь? Если нет - сделайте это обязательно.
Запустите FRST/FRST64. Нажмите комбинацию Ctrl+Y - откроется Блокнот. Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
E:\ConsUserData\svchost.exe
S4 AeLookupSvc; C:\Windows\Temp\ntshrui.dll [X]
Task: {A5CB8768-9BF1-4603-9E1D-1B0AD3E14361} - \Microsoft\Windows\PLA\diart -> No File <==== ATTENTION
Task: {E352F99F-0662-4DF2-893A-B32C7B11D819} - \Microsoft\Windows\PLA\System\PLA Optimize -> No File <==== ATTENTION
[/CODE]
Сохраните (Ctrl+S) и закройте.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], в FRST нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению после руной перезагрузки сервера.
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
Обновления устанавливаются автоматически
Прикрепляю запрошенные логи
Жив, там ещё и системная библиотека подменена.
Попробуем так.
Скопируйте скрипт из окна "код" ниже в буфер обмена:
[CODE];uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
sreg
zoo %Sys32%\QMGR.DLL
;Trojan.BtcMine.1324 [DrWeb] 7
zoo E:\CONSUSERDATA\SVCHOST.EXE
del E:\CONSUSERDATA\SVCHOST.EXE
delref E:\CONSUSERDATA\SVCHOST.EXE
del %Sys32%\QMGR.DLL
apply
areg
[/CODE]
Запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Компьютер перезагрузится без предупреждения!
После перезагрузки скопируйте скрипт ниже в буфер обмена:[code];uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
czoo
sfc %Sys32%\QMGR.DLL[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Должен восстановить исходный файл.
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл в карантин.
Сделайте новый полный образ автозапуска uVS, загрузите в доступное облачное хранилище или на файлообменник (rghost.ru, например) и дайте ссылку.
Запрошенные логи
[url]http://rgho.st/8KrD5Y5nv[/url]
Вроде бы вирус не запустился после перезагрузки. Справились? Или могут еще быть хвосты? ))
Архив в карантин загружен
Чисто но последите за ситуацией пару дней, были случаи, когда снова пролезал этот майнер.
[QUOTE=Vvvyg;1457179]Чисто но последите за ситуацией пару дней, были случаи, когда снова пролезал этот майнер.[/QUOTE]
Он сперва появился два месяца назад. Запускался он скриптом из Планировщика заданий
[CODE]<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
<RegistrationInfo>
<Date>2017-04-24T11:35:11.7055143</Date>
<Author>SERVER\Артем</Author>
</RegistrationInfo>
<Triggers>
<BootTrigger>
<Repetition>
<Interval>PT30M</Interval>
<StopAtDurationEnd>false</StopAtDurationEnd>
</Repetition>
<Enabled>true</Enabled>
</BootTrigger>
</Triggers>
<Principals>
<Principal id="Author">
<RunLevel>LeastPrivilege</RunLevel>
<UserId>S-1-5-18</UserId>
</Principal>
</Principals>
<Settings>
<MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
<DisallowStartIfOnBatteries>false</DisallowStartIfOnBatteries>
<StopIfGoingOnBatteries>false</StopIfGoingOnBatteries>
<AllowHardTerminate>true</AllowHardTerminate>
<StartWhenAvailable>false</StartWhenAvailable>
<RunOnlyIfNetworkAvailable>false</RunOnlyIfNetworkAvailable>
<IdleSettings>
<StopOnIdleEnd>true</StopOnIdleEnd>
<RestartOnIdle>false</RestartOnIdle>
</IdleSettings>
<AllowStartOnDemand>true</AllowStartOnDemand>
<Enabled>true</Enabled>
<Hidden>false</Hidden>
<RunOnlyIfIdle>false</RunOnlyIfIdle>
<WakeToRun>false</WakeToRun>
<ExecutionTimeLimit>PT0S</ExecutionTimeLimit>
<Priority>7</Priority>
</Settings>
<Actions Context="Author">
<Exec>
<Command>C:\Windows\System32\svcmngr.exe</Command>
<Arguments>-t 6 -a cryptonight -o stratum+tcp://xmr-eu.dwarfpool.com:8080 -O 47sghzufGhJJDQEbScMCwVBimTuq6L5JiRixD8VeGbpjCTA12noXmi4ZyBZLc99e66NtnKff34fHsGRoyZk3ES1s1V4QVcB.15dd6b557482400249a9313cefded2eac7daf99d172535775483f391b90fe0d7.TRIUMPH:x</Arguments>
</Exec>
</Actions>
</Task>[/CODE]
Тогда я просто удалил это из планировщика, удалил пользователя и в безопасном режиме удалил файл. Полтора месяца была тишина и он всплыл, но уже в другой форме.
Спасибо Вам за помощь. Будем надеяться и верить ))
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Не помогло... Он снова вернулся
Выполните скрипт в uVS:[code];uVS v3.81.8 [http://dsrt.dyndns.org]
Exec wevtutil.exe epl System system.evtx
Exec wevtutil.exe epl Application Application.evtx
Exec wevtutil.exe epl Security Security.evtx
Exec pack\7za.exe a -t7z -sdel -mx9 -m0=ppmd:o=32:mem=512m Events.7z *.evtx[/code]
В папке с UVS появится архив [B]Events.7z[/B], загрузите его на rghost.ru и дайте ссылку в теме.
Запрошенные логи
[url]http://rgho.st/7pT8rpFsq[/url]
Пока неясно. как именно эта радость пролезает в систему - будем принимать меры профилактического характера против взлома и пытаться заблокировать работу майнера. Я вас сейчас чуточку сканирую с интернета, не волнуйтесь, это не взлом, а проверка уязвимостей.
Первым делом смените пароль администратора и запретите ему вход в систему по RDP. Заведите другую учётную запись для удалённого администрирования, с нетипичным именем и сложным паролем.
Поищите в папке с майнером файл pools.txt или другой текстовый, там должен быть список пулов майнинга, типа такого:[CODE]stratum+tcp://xmr-usa.dwarfpool.com:8050
stratum+tcp://xmr-eu.dwarfpool.com:8080
stratum+tcp://xmr-eu.dwarfpool.com:8050
stratum+tcp://pool.minexmr.com:4444
stratum+tcp://xmr.crypto-pool.fr:3333
stratum+tcp://xmr.hashinvest.net:5555
stratum+tcp://mine.moneropool.com:3333[/CODE]и заблокируйте эти домены через файл hosts.
Сделайте новый полный образ автозапуска uVS.
Полностью отключил встроенную учетную запись администратора и сменил на ней пароль.
Создал новую учетную запись.
С новой учетной записи процесс легко убивается, но через время стартует заново, при этом создавай нового пользователя с правами администратора
Запрошенные логи
[url]http://rgho.st/6dvjSRqVx[/url]
Остановите и отключите временно службу Mobile SMARTS Сервер, есть у меня смутные подозрения...
Выполните скрипт в UVS:[CODE];uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
zoo %Sys32%\APPINFO.DLL
addsgn BA652BBE5D22C5062FC4F9F9E724324CAE72772CC171EEFB7FC2B0B9B841724C235B4890B586D5C2E5C80FC36226017109FBD03AD61E9073C4F05AD038CAEEBF 58 Trojan.BtcMine.1324 [DrWeb] 4
zoo E:\CONSUSERDATA\SVCHOST.EXE
addsgn A7A4F676C56A4C724359C2954C809B703DC2758BA9B29625858F4CF9789AF801135B4A02061914146BCC0DFA0E5AC0972D9361070D9639514D3F2D62CF4EAB26 8 Win32.BitCoinMiner.ibto [Kaspersky] 7
chklst
delvir
apply
czoo[/CODE]
Перезагрузите сервер.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Новый файл ZOO отправьте в карантин.
Выполните скрипт в UVS:[CODE];uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
sfc %Sys32%\APPINFO.DLL[/CODE]
Удалите левых пользователей, установите все доступные обновления к системе.
Службу отключил
Обновления все последние
Пользователей лишних удалил
Запрошенные логи прикладываю
Карантин отправил
После перезапуска пока что вируса не наблюдаю. Посмотрю дальше
Хорошо, ждём.
Опять всплыл. Теперь в новой папке и под обычным пользователем. Новых пользователей администраторов нет..
Сделайте новый полный образ автозапуска uVS, загрузите в доступное облачное хранилище или на файлообменник (rghost.ru, например) и дайте ссылку.
Я снес процесс и он не проявляется больше. Есть смысл делать логи или подождать пока он снова вылезет?
Если под обычным пользователем - может, и не появится. Под каким именно, как/откуда мог попасть в систему, есть идеи?
Раньше он запускался и висел в процессах от имени СИСТЕМА. После вашей помощи он запустился из другой папки и под именем рядового пользователя АСЕЕВА. Я проверил все компьютеры, имеющие доступ к серверу, там все чисто.. У меня вариантов нет... Есть олна призрачная идея, что вирус находится на одном из Терминалов Сбора Данных (Прибор работает на Андройд 4.4.2 и обращается к серверу через Smart Mobile службу).. Сейчас майнера нет. НО мы так и не нашли откуда он приходит, вот и не знаю, что сейчас лучше сделать....
У меня сейчас отключена учетка Администратора и отключена служба. И то и другое нужно будет включать. ПО Smart Mobile я переустановлю на новую версию, с сайта производителя. А вот Администратора почистить я не могу..
Про Smart Mobile были подозрения. К серверу этому есть доступ из интернета, могут через него ломать.
Ждём новостей.
Вообщем вылез опять
[url]http://rgho.st/7SGSmqbR8[/url]
под рядовым пользователем без прав администратора работает
Выполните скрипт в UVS:[CODE];uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
zoo %SystemDrive%\TEMP\SVCHOST.EXE
addsgn BA6F9BB2926FEE7206D4AEB164C8FA583081FC1E3106E08715538D3F94FEB2DC705F40BB1ED054C0E0F4AC6053317BF77D97657F4D01BB2C61FAEC4F86BE0873 8 Tool.BtcMine.389 [DrWeb] 7
chklst
delvir
delref HTTP://WWW.MAIL.RU/CNT/7829
delref KERNCAP.VBS
czoo[/CODE]
Новый лог выполнения скрипта прикрепите.
Свежий ZOO_ отправьте в карантин. Другой несколько майнер. Файл создан 17.07.2017 в 11:28:16, запускался из explorer.exe под юзером Игаунь - он в терминале работает? Можно с его компьютера полный образ автозапуска uVS?
Файл отправил в карантин
Лог выполнения скрипта: [url]http://rgho.st/private/6nfHWqfPc/12220f8fd55766c3b46ef9eeb4c7b058[/url]
Прикладываю два сканирования.
Первое это компьютер пользователя Асеева, под которым вылез вирус после чистки
[url]http://rgho.st/75wPbKLkx[/url]
Второе это пользователь Игуань
[url]http://rgho.st/8rGRp5zbD[/url]
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
снова появился под пользователем Асеева
На каких ещё компьютерах есть этот пользователь? Смените ему пароль.
Есть ли у него доступ по RDP снаружи?
Время создания файла майнера - что-то подозрительное есть в журналах сервера? Работал ли в это время пользователь Асеева в терминале на сервере?
У вас там Mikrotik? Запретите на нём доступ к адресам хотя бы этого сервера майнинга: xmr-eu.dwarfpool.com
Addresses: 178.32.145.31
178.32.196.217
79.137.57.106
А ещё лучше и доступ наружу по порту 8080, на нём сервера майнинга и прокси.
Оба компьютера чисты. Всео бновления на них установлены?
Каждый пользователь работает сугубо под своим именем и только на одном комьютере. И пользователь Игуань и пользователь Асеева находятся за пределами физического расположения сервера и подключаются к нему через интернет по РДП.
Вчера майнер висел под пользователем Асеева. Но как только Асеева завершила сеанс, майнер соотвественно исчез. Сегодня Асеева работает уже два часа по РДП и майнер не появляется... По какому принципу идет его запуск от этих двух пользователей я не пойму... Нет никакой привязки по времени и никакой последовательности...
В журналах по времени создания ничего интересного нет
Микротика у нас нет, но на роутере можно заблокировать айпи. Заблокировал все тсп соединения по этим трем айпишникам, ну и на всякий случай еще в хостс их прописал. Сейчас сменю паролю обоим пользователям. Их компьютеры чисты, я несколько раз разными антивирусами проверял, обновления все стоят.. Будем смотреть ((
Хорошо, ждём-с...
Опять запустился под пользователем Игуань.
Причем самого пользователя физически нет сегодня, НО север показывает, что он был активен 5 часов назад. Пароли у пользователя для доступа к серверу были сменены...
Куда копать и что делать...
Задача чисто админская, не думаю, что новый. никому неизвестный эксплоит используют для банального и малоэффективного майнинга.
В логах есть информация, откуда подклбчался пользователь?
И так в логах стоит айпишник
176.15.98.220
Это крайне далеко от моего города
С этого айпи подключается по нескольким моим пользователям. Всех их удалил
[url]http://rgho.st/8GVTYNt7S[/url]
Новый лог автозагрузки... Теперь два процесса и полная блокировка доступа к компу....
Сразу предупрежу, снять процессы не могу, сразу синий экран
В безопасный режим не могу зайти, сразу синий экран
Вопрос, как он подключается ко мне, каким образом под логинами нескольких пользователей? Троян? Скомпрометирован весь список паролей?
Запретите в маршрутизаторе, либо в системном брандмауэре доступ из левых подсетей, разрешите только для нужных.
Полечим мягко, без снятия процессов. Скрипт:[CODE];uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
sreg
zoo %Sys32%\SACSVR.DLL
addsgn BA652BBE5D22C5062FC4F9F9E724324CAE72772CC171EEFB7FC2B0B9B841724C235B4890B586D5C2E5C80FC36226017109FBD03AD61E9073C4F05AD038CAEEBF 58 Trojan.BtcMine.1324 [DrWeb] 4
zoo %Sys32%\MMCSS.DLL
zoo E:\CONSUSERDATA\SVCHOST.EXE
addsgn A7A4F676C56A4C724359C2954C809B703DC2758BA9B29625858F4CF9789AF801135B4A02061914146BCC0DFA0E5AC0972D9361070D9639514D3F2D62CF4EAB26 8 Win32.BitCoinMiner.ibto [Kaspersky] 6
chklst
delvir
czoo
apply
areg[/CODE]
И после перезагрузки восстановление системных DLL:[CODE];uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
sfc %Sys32%\MMCSS.DLL
sfc %Sys32%\SACSVR.DLL[/CODE]
Закрывайте доступ по RDP полностью, пока не разберётесь в утечке учётных данных.
Есть ip адрес и время подключения паскудника - есть повод обратиться в полицию, отдел "К", говорят, иногда даже выполняет свои функции. Или хотя бы на Корбину/Билайн с жалобой выйти на их пользователя.
[url]http://www.securitylab.ru/news/487311.php[/url] - не тот ли самый случай?
Вполне возможно.. Я меняю пользователю пароль, а уже через час под ним заходят с левого айпи
РДП закрыли своей подсетью, поменяли внешние айпи и порты, сменили всем пользоватлеям пароли. Щас будем смотреть
У меня явное чувство, что Mobile SMARTS Сервер тут причём. Нет у меня данных чтобы выступить с обоснованными обвинениями - но, извините, это уже не просто совпадение. На этом форуме [URL="https://virusinfo.info/showthread.php?t=213423"]ещё тема[/URL] с тем же непонятно откуда берущимся майнером, [URL="https://forum.drweb.com/index.php?showtopic=327849&page=6#entry833210"]на форуме Dr. Web[/URL] то же самое, да ещё в частном порядке ко мне обратился человек - и, не поверите, и у него на сервере эта же программа установлена.
"Совпадение? Не думаю"(С)
Кстати, на форуме зелёного антивируса тоже спрашивали:[QUOTE][COLOR=#282828][FONT=helvetica]Вопрос к пострадавшим, [/FONT][/COLOR][COLOR=#282828][FONT=helvetica]софт Cleverence Mobile SMARTS Server присутствует на сервере? сами ставили на сервер? Какая версия установленна?[/FONT][/COLOR][/QUOTE]
Так что, либо в этом софте уязвимость, замеченная и эксплуатируемая кем-то, либо закладочка-бэкдор, оставленная одним из разработчиков. Как вариант - фирма-установщик софта постаралась. 2-й вариант мне кажется более вероятным.
Оговорюсь ещё раз - это лишь мои личные предположения, а не клевета/очернение и т. п. Но в ТП Клеверенс я бы рекомендовал обратиться за разъяснениями, оснований для проверки кода программы и внутреннего расследования достаточно. Да и засранца, который майнер запускает, это спугнёт наверняка.