Антивирусник информирует об огромном количестве атак

Printable View

02.05.2008, 18:48
Homo Sapience

Вложений: 3

Антивирусник информирует об огромном количестве атак

[SIZE=3][FONT=Times New Roman]Антивирусник ESET NOD32 информировал об огромном количестве атак. Началось вчера и продолжалось до момента, пока не выполнила «[B]Правила! Читать перед запросом о помощи». Что это было и всё ли в порядке сейчас? [/B][/FONT][/SIZE]
02.05.2008, 19:15
drongo

Интересно, по каким же помойкам вы гуляли и на что кликали? Пришлите мне в личку списочек ;)
Такое под ограниченным пользователем не установиться, это точно ;) На будущее учтите.

P.S. Если вы считаете, что набор руткитов и троянов- это порядок, то да :)

1. Скачайте IceSword: [url]http://uploading.com/ru/files/VVKG3ZDO/1.zip.html[/url]
распакуйте в новую папку.

2. Запустите, слева внизу нажмите File, найдите файлы:
[code]
C:\WINDOWS\System32\drivers\Yfk84.sys
C:\WINDOWS\System32\drivers\Yfk28.sys
C:\WINDOWS\System32\drivers\Wek86.sys
C:\WINDOWS\System32\drivers\Wej73.sys
C:\WINDOWS\System32\drivers\Wdj62.sys
C:\WINDOWS\system32\drivers\nkv2.sys
C:\WINDOWS\System32\drivers\Vci85.sys
C:\WINDOWS\System32\drivers\Syf73.sys
C:\WINDOWS\System32\drivers\Sye73.sys
C:\WINDOWS\System32\drivers\Sye38.sys
C:\WINDOWS\System32\drivers\Qwc27.sys
C:\WINDOWS\System32\drivers\Qvb27.sys
C:\WINDOWS\System32\drivers\Oua05.sys
C:\WINDOWS\System32\drivers\Msx73.sys
C:\WINDOWS\System32\drivers\Msx62.sys
C:\WINDOWS\System32\drivers\Krw62.sys
C:\WINDOWS\System32\drivers\Kqv38.sys
C:\WINDOWS\System32\drivers\Jpu40.sys
C:\WINDOWS\System32\drivers\Iot40.sys
C:\WINDOWS\System32\drivers\Iot16.sys
C:\WINDOWS\System32\drivers\Hot52.sys
C:\WINDOWS\System32\drivers\Hns38.sys
C:\WINDOWS\System32\drivers\Gns05.sys
C:\WINDOWS\System32\drivers\Gmr51.sys
C:\WINDOWS\System32\drivers\Gmr27.sys
C:\WINDOWS\System32\drivers\Flq40.sys
C:\WINDOWS\System32\drivers\Flq38.sys
C:\WINDOWS\System32\drivers\Dkp40.sys
C:\WINDOWS\System32\drivers\Djo62.sys
C:\WINDOWS\System32\drivers\Bhm38.sys
C:\WINDOWS\system32\WLCtrl32.dll[/code]
Сделайте копии командой Copy to... (правой кнопкой мыши),
затем удалите все эти файлы командой Force Delete.

3. Пофиксите в HijackThis:
[code]

O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll[/code]

4. Выполните скрипт в AVZ:
[code]

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Windows Media Connect 2\Wmccds.exe','');
QuarantineFile('c:\windows\system32\wuauserv.dll','');
QuarantineFile('C:\WINDOWS\Temp\BN1.tmp','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Application Data\spool.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\Yfk84.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Yfk28.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Wek86.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Wej73.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Wdj62.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\nkv2.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Vci85.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Syf73.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Sye73.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Sye38.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Qwc27.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Qvb27.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Oua05.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Msx73.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Msx62.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Krw62.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Kqv38.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Jpu40.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Iot40.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Iot16.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Hot52.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Hns38.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Gns05.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Gmr51.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Gmr27.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Flq40.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Flq38.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Dkp40.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Djo62.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Bhm38.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ctfmon.exe','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\ftpdll.dll','');
TerminateProcessByName('c:\windows\temp\253.tmp');
QuarantineFile('c:\windows\temp\253.tmp','');
DeleteFile('c:\windows\temp\253.tmp');
DeleteFile('C:\WINDOWS\system32\ftpdll.dll');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\Bhm38.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Djo62.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Dkp40.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Flq38.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Flq40.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Gmr27.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Gmr51.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Gns05.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Hns38.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Hot52.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Iot16.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Iot40.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Jpu40.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Kqv38.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Krw62.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Msx62.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Msx73.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Oua05.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Qvb27.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Qwc27.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Sye38.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Sye73.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Syf73.sys');
DeleteFile('C:\WINDOWS\system32\drivers\nkv2.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Vci85.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Wdj62.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Wej73.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Wek86.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Yfk28.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Yfk84.sys');
DeleteFile('C:\WINDOWS\Temp\BN1.tmp');
DeleteFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Application Data\spool.exe');
DeleteService('Bhm38');
DeleteService('Djo62');
DeleteService('Dkp40');
DeleteService('Flq38');
DeleteService('Flq40');
DeleteService('Gmr27');
DeleteService('Gmr51');
DeleteService('Gns05');
DeleteService('Hns38');
DeleteService('Hot52');
DeleteService('Msx62');
DeleteService('Msx73');
DeleteService('Oua05');
DeleteService('Qvb27');
DeleteService('Qwc27');
DeleteService('Sye38');
DeleteService('Sye73');
DeleteService('Syf73');
DeleteService('USB2_04');
DeleteService('Vci85');
DeleteService('Wdj62');
DeleteService('Wej73');
DeleteService('Wek86');
DeleteService('Yfk28');
DeleteService('Yfk84');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(12);
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.

[/code]
[b][color=red]Пункты 2-4 выполнять подряд, без промежуточных перезагрузок, при отключенном интернете и антивирусе. [/color][/b]После скрипта система перезагрузится.

Снова повторите логи.
Копии, сделанные в п.2, пришлите по правилам.
напоминаю: в zip архиве с паролем virus
карантин от avz тоже прислать, по той же ссылке в шапке вашей темы.
02.05.2008, 19:55
Homo Sapience

Понимаю, что меня, видимо, ругают за что-то...
По помойкам гуляли? Ну да, наверно гуляли... Кликали всё на что кликалось. Вот и накликали :(
Теперь сидим, ждём-с...
02.05.2008, 20:03
drongo

План работы готов, выполняйте ;)
02.05.2008, 21:43
Homo Sapience

Вложений: 3

Антивирусник информирует об огромном количестве атак

Вот что получилось на данный момент...
02.05.2008, 22:01
wise-wistful

Продолжаем битву.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\spool.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ctfmon.exe','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\drivers\ctfmon.exe');
DeleteFile('C:\WINDOWS\System32\drivers\Ekp84.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Fmr73.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Iot38.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Ygm73.sys');
DeleteFile('WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\spool.exe');
BC_ImportAll;
BC_DeleteSvc('Ygm73');
BC_DeleteSvc('Iot38');
BC_DeleteSvc('Fmr73');
BC_DeleteSvc('Ekp84');
BC_DeleteSvc('Schedule');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=22373[/url]

Повторите логи.
02.05.2008, 23:12
Homo Sapience

Вложений: 3

Антивирусник информирует об огромном количестве атак

Последние новости с полей сражений...
02.05.2008, 23:16
wise-wistful

Почти добили врагов.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\drivers\Cin73.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Qwc27.sys');
BC_ImportDeletedList;
BC_DeleteSvc('Qwc27');
BC_DeleteSvc('Cin73');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\ [/CODE]

Повторите логи начиная с пункта 10 правил.
02.05.2008, 23:21
Homo Sapience

Почти без сил, с высунутым языком, подчиняюсь...
03.05.2008, 00:27
Homo Sapience

Вложений: 3

Антивирусник информирует об огромном количестве атак

Ну вот что получилось...
03.05.2008, 00:37
wise-wistful

Вы скрипт из поста №8 выполняли?
03.05.2008, 00:41
Homo Sapience

Если номер 8 вот этот: "Запустите AVZ. Выберите из меню "Файл"=>"Стандартные скрипты" и поставьте галку напротив "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info". Нажмите "Выполнить отмеченные скрипты". Будет выполнено автоматическое сканирование, лечение и исследование системы, полученный лог avz_sysinfo.htm будет сохранен в директории AVZ в папке "LOG" в архиве virusinfo_syscure.zip.", то да.

Все подряд
03.05.2008, 00:43
kps

не пункт 8 правил, а сообщение номер 8 [url]http://virusinfo.info/showpost.php?p=222899&postcount=8[/url]
03.05.2008, 00:45
Homo Sapience

Мне кажется, что да... Но спорить не буду. Надо повторить?
03.05.2008, 00:50
wise-wistful

Перед его выполнением Запустите IceSword: слева внизу нажмите File, найдите файлы, если будут: C:\WINDOWS\System32\drivers\Cin73.sys; C:\WINDOWS\System32\drivers\Qwc27.sys удалите все эти файлы командой Force Delete, потом выполните скрипт из сообщения №8 и повторите логи начиная с п.10 правил.
03.05.2008, 00:58
Homo Sapience

Ага... Сейчас сделаю...

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

C:\WINDOWS\System32\drivers\Cin73.sys - вот этого не было, а этот был - C:\WINDOWS\System32\drivers\Qwc27.sys
03.05.2008, 01:28
Homo Sapience

Вложений: 3

Антивирусник информирует об огромном количестве атак

А вот сейчас как?
03.05.2008, 01:35
wise-wistful

Теперь все нормально врагов в логах нет.
Если не вы вносили эту запись в хост файл
[code]O1 - Hosts: 89.111.184.115 wiz2wix.com[/code]
то пофиксите её.
Больше ничего подозрительного в логах нет.

Нам интересно Ваше [url=http://virusinfo.info/showthread.php?t=19883]мнение[/url] о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.
03.05.2008, 01:40
Homo Sapience

Ага, поняла, сейчас сделаю.
03.05.2008, 01:46
wise-wistful

Я имел ввиду, что если вы ничего не дописывали в хост файл, тогда нужно пофиксить указанную строчку.
03.05.2008, 01:50
Homo Sapience

Не-не, я ничего не дописывала, всё уже пофиксила, спасибо.
Что-то можно предпринять на будущее, чтобы как-то снизить вероятность повторения подобной ситуации?
03.05.2008, 02:00
wise-wistful

Как совет завести учётную запись ограниченного пользователя для работы в интернет, программы правда прийдётся устанавливать из под администратора, но ради безопасности нужны жертвы, кроме того советуем прочитать [url="http://security-advisory.virusinfo.info/"]электронную книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista", возможно найдёте полезную информацию.
03.05.2008, 02:03
Homo Sapience

Огромное спасибо за помощь! И за совет тоже.
03.05.2008, 10:40
drongo

Я просмотрел ещё раз последние логи.Ещё не всё.
Отключить антивирус и инет, выполнить скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\nkv2.sys');
BC_DeleteSvc('USB2_04');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(12);
ExecuteRepair(13);
RebootWindows(true);
end.[/code]
для повышения безопасности, в добавок как я уже говорил и мой коллега ранее про ограничение прав- разумно пользоваться разрешением скриптов для сайтов & блокированием по умолчанию- справляется лучше всех с этой задачей firefox+ noscript.
далее, следует отключить все лишние службы, которые не используются. В логе avz есть ссылки для изготовления скрипта- у меня всё это отключено- проблем не наблюдаю.
[code] Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
Проверка завершена
9. Мастер поиска и устранения проблем
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей[/code]
03.05.2008, 22:23
Homo Sapience

Вложений: 3

Антивирусник информирует об огромном количестве атак

Ну вот, рано я вчера в ночи радовалась :(
И вечный бой, покой нам только снится...

Сделала то, что написали. Как оно сейчас?
03.05.2008, 22:33
drongo

вы не закрыли дырки, которые указал. они вам нужны?
Если нет, дарю:
[code]
begin
SetServiceStart('RemoteRegistry', 4);
SetServiceStart('TermService', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RDSessMgr', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RebootWindows(true);
end.[/code]

Просьба: отошлите Олегу Зайцеву последний карантин- пусть посмотрит и добавит к безопасным чтобы подозрения не мозолили глаза .
P.s. Больше пока придраться не к чему.
03.05.2008, 22:59
Homo Sapience

Я это не из вредности характера, а по незнанию.

Карантин сейчас пришлю.

[size="1"][color="#666686"][B][I]Добавлено через 23 минуты[/I][/B][/color][/size]

Карантин отправила.
04.05.2008, 22:03
Homo Sapience

Антивирусник информирует об огромном количестве атак

Из боязни, что что-то вчера сделала не так, сегодня произвела контрольную проверочку.
В карантине обнаружились какие-то собаки. Похожи на вчерашних. Или это другие? :(
Правильно ли я поняла, что вчера для того, чтобы отправить карантин, нужно было просто запустить AVZ, там в файле выбрать просмотр карантина, найти нужную дату, выделить файлы, заархивировать их и сохранить в тайное место, из которого потом и отправить, воспользовавшись ссылкой вверху страницы? Или нужно было что-то сделать ещё? Кого-то на помощь призвать? :)
04.05.2008, 22:15
Гриша

Все правильно,нужно было зайти в "Просмотр карантина" отметить нужные файлы,заархивировать их и отправить нам на анализ,очистите карантин AVZ,чтобы они вас не смущали :)
04.05.2008, 22:24
Homo Sapience

Спасибо, постараюсь преодолеть смущение и воспользуюсь вашим советом :)
22.02.2009, 05:09
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\копии\\wlctrl32 - [B]Trojan-Downloader.Win32.Mutant.om[/B] (DrWEB: Trojan.DownLoader.59094)[/LIST][/LIST]