Модификация Win32.Sector.5

Доброго времени суток.

Столкнулся с такой проблемкой: в пошареном ресурсе обнаружил такую вот фигню. Установлен корпоративный НОД32 (2.7 версия), определяет все .ехе как Win32/Sality.NAS. Др.Вэб определяет его как Модификация Win32.Sector.5. По всем симптомам похоже на действие обычного Сектора 5, однако утилитка CureIt отказывается его лечить, просто перемещая .ехе в карантин.

Я не ищу решения "как вылечить", по-етому пишу в этот раздел, интересует вопрос только "Как определить, откуда эта зараза ломится?".

Заранее благодарен, Skye.

Локальная сеть/диски/дискеты/флешки/сайты/файлообменники :)

По воздуху точно не передается.

Если nod у вас корпоративный не проще ли администратора попросит полную проверку ПК в сети сделать?

[QUOTE]Я не ищу решения "как вылечить", по-етому пишу в этот раздел, интересует вопрос только "Как определить, откуда эта зараза ломится?".[/QUOTE]
Возможно, я неверно понял Вашу проблему, поэтому прошу меня извинить, опишу ее так, как я ее понял. Если понял неверно - поправьте:
...на компьютере(ах) к которому(ым) Вы имеете какое-то отношение (допустим, это Ваш компьютер) появился файловый вирус, поражающий ЕХЕ-файлы. Антивирус нод 2.7 его лечить не может CureIt тоже.
Лечить Вы его, в принципе, не собираетесь, и подсказывать Вам как его лечить тоже не нужно. [B]Нужно лишь помочь определить откуда этот вирус взялся на компьютере.[/B]
Так?..

Тогда выскажу свои пару мыслей по этому поводу:
[B]1[/B]).
Посмотрите имя файла вот в этом месте реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
(и тут поищите имя незнакомое (адрес))
Возможно это как-то упросит дальнейшие поиски.
[B]2[/B]). Посмотрите имена файлов вот в этом разделе:
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
Тоже может помочь...
[B]3[/B]). В IE (и в других браузерах если они установлены и используются) посмотрите "Журнал", последние посещенные url, куки.
[B]4[/B]). Проверьте все вставленные за последнее время в ПК сьемные накопители и др. (диски, флешки, внешние харды, дискеты и т.д)
[B]5[/B]). Подумайте какие дыры в безопасности присутствуют в системе (комп+юзер) и предположите как через них мог проникнуть зловред.

и т.д...
надо подумать еще...
:)

PS: извините за повторения - когда я начинал писать свой пост, других постов выше еще не было.

Если есть возможность, поделитесь экземпляром, туда - [url]http://virusinfo.info/upload_virus.php?tid=28287[/url]

[QUOTE]
Если есть возможность, поделитесь экземпляром, туда
[/QUOTE]
зараженным файлом или "прародителем" ?..

[QUOTE=priv8v;269236]зараженным файлом или "прародителем" ?..[/QUOTE]

все что не жалко, а особенно тем, что определяется как "модификация"

[quote=polimorf;269223]Локальная сеть/диски/дискеты/флешки/сайты/файлообменники :)

По воздуху точно не передается.[/quote]

Эм, да, похоже ;)

[B][QUOTE][B]Нужно лишь помочь определить откуда этот вирус взялся на компьютере.[/B] [/QUOTE][/B]

Да, именно это и требуется.


[B]zerocorporated,[/B] ставлю проверку всех машин по фильтру "ежедневно, после 17.00. Если машина выключена - при первом включении". Проблема имеется на [B]одной машине [/B]с пошареным ресурсом. Доступ к ресурсу организован по принципу "Все-Только чтение, Администратор (домена) - полный".

[B]Shu_b[/B], никаких проблем, сейчас спакую пару файлов.

З.Ы. Система девственно чиста, поражен только пошареный ресурс. Повторюсь, проблема в том, как понять, с какого компа в ЛС оно лезет. :>

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Хм. К сожалению не могу спаковать в "Zip" - формат. Точнее вообще не дает спаковать файлик "отказано в доступе". Другие способы?

Skye, извините за то, что я стал давать Вам глупые советы ... я не обратил внимание на слово "пошаренные". Т.е я подумал, что заражена система целиком.
Т.е видимо речь идет про расшаренные ресурсы.

[QUOTE]Повторюсь, проблема в том, как понять, с какого компа в ЛС оно лезет.[/QUOTE]
А фаер[B]/[/B]сниффер[B]/[/B]проверка других компов[B]/[/B]полный запрет на запись[B]/[/B]закрыть доступ вообще[B]/[/B]экспериментально(оставлять включенными только штуки три компа ([B]этот[/B] и еще два - и так прошарить всю сеть - с выключенных компов лезть никто т.к не может)
???

[QUOTE]Хм. К сожалению не могу спаковать в "Zip" - формат. Точнее вообще не дает спаковать файлик "отказано в доступе". Другие способы?[/QUOTE]
просто затереть расширение ЕХЕ и написать там ZIP - у скрипта загрузчика наверняка нету проверки на истинность расширения.
Должно получиться.

priv8v, тут есть множество проблем. Если я разверну фаервол на рабочем контроллере домена - мне надо будет н-ное время для его настройки (даже примитивного базового ZoneAlarm), а на это время прекратится раздача адресов, что будет критично для работоспособности предприятия. Предприятие работает по графику 24/7/12/365, то есть компы работают постоянно (минимум 20 штук), провести эксперименты не удается. =( Сейчас поменял права доступа на "Все- чтение, Администратор - чтение". Правда, сложно сказать, даст ли это эффект, ибо когда я ловил Салити.Б (просто Сектор.5), он проявлялся раз в 2-3 дня.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

[CODE]
Файл сохранён как 080818_030504_Quarantine_48a92d30aeaa2.zip
[/CODE]

Закачал. Это из Карантина др.Вэба.

Антивирус Касперского детектирует данные файлы как [b]Virus.Win32.Sality.v[/b]. Он же сумел их вылечить.

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

[quote=Skye]проблема в том, как понять, с какого компа в ЛС оно лезет. [/quote]
Читайте в справке Windows что такое "Аудит файлов и папок".

[quote=AndreyKa;269309]Антивирус Касперского детектирует данные файлы как [B]Virus.Win32.Sality.v[/B]. Он же сумел их вылечить.[/quote]

[URL]http://virusinfo.info/showthread.php?t=17668[/URL] тут описание аналогичной проблемы. Как я понял, решить ее не реально. :? К сожалению, не имею физической возможности поставить КАВ (лицензия, все такое).

Других советов, наверно, нет...

По описанию Sality.NAS/Sector.5 если запустился на системе заражает exe-файлы системы и доступные расшаренные диски, возможно и расшаренные ресурсы на других компах. Недавно была аналогичная ситуация. Файлы расшаренных ресурсов на машинах (присоединенные как диски), защищенных Нод32 2.7 были вылечены. Так же тройка Нода и CureIt (несколько недель назад) вылечивали зараженные файлы. Кстати, а общий ресурс защищен антивирусом, или это smb-раздел Линукс-машины для общего пользования?
---
т.е., если на всех машинах установлен Нод и есть сервер RAS, то через консоль RAC можно в логах увидеть, с какой машины был запуск. По идее, на данной машине должен сработать монитор, и возможно он срабатывает, но Sality "успевает" заразить расшаренные, незащищенные ресурсы. Как гипотеза.

Общий ресурс защищен тем же НОД32 (2.7). Нет, это Win2k Server sp4 со всеми обновлениями. Нод по-прежнему лечить отказывается, как и CureIt.

Настроил политику аудита на папку. Жду.

т.е. он прибивает эти файлы и все? или вообще не реагирует на заражение файлов общего ресурса?
---
Skye, можно у вас попросить несколько зараженных файлов из карантина?

Да. Оба запихивают все пораженные "*.ехе" в карантин.

день добрый !
в тему:
обнаружил вирус - детектируется DrWeb как "Модификация Win32.Sector.5 ", но ни Касперский, ни Nod32 ничего не находят....

проверка файла через VirusTotal показала что из 36 антивирусов опознают эту гадость только 7 :(
[URL]http://www.virustotal.com/ru/analisis/35122d2bb89e8e6c46ede868f15b322a[/URL]


отправил файл в пятницу в Касперский - пока ноль....

[QUOTE=santy;269335]По описанию Sality.NAS/Sector.5 если запустился на системе заражает exe-файлы системы и доступные расшаренные диски, возможно и расшаренные ресурсы на других компах. Недавно была аналогичная ситуация. Файлы расшаренных ресурсов на машинах (присоединенные как диски), защищенных Нод32 2.7 были вылечены. Так же тройка Нода и CureIt (несколько недель назад) вылечивали зараженные файлы.[/QUOTE]
Фишка в том, что это не "Sector.5", а "модификация Sector.5". То есть этот вирус очень похож на "Sector.5", но точно не он. Поэтому модификацию лечить нельзя...

я не знаю, что у вас за организация, но в гос. организациях все проще - при обнаружении заражения файлов все компы отключать от сети и начинать действовать.
попробуйте найти откуда все пошло - прогоните авптулом все компы, например....

[QUOTE=evglap;269376]обнаружил вирус - детектируется DrWeb как "Модификация Win32.Sector.5 ", но ни Касперский, ни Nod32 ничего не находят....
проверка файла через VirusTotal показала что из 36 антивирусов опознают эту гадость только 7 :(
[URL]http://www.virustotal.com/ru/analisis/35122d2bb89e8e6c46ede868f15b322a[/URL]
[/QUOTE]
К сожалению, эти Секторы мутируют. :( Причем достаточно активно. Образцы, которые я засылал Доктору, теперь детектятся как Win32.Sector.9, в базах уже есть Win32.Sector.10, говорят, что на подходе Win32.Sector.11... :(

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[QUOTE=priv8v;269392]при обнаружении заражения файлов все компы отключать от сети и начинать действовать. [/QUOTE]
+1. С Сектором и ему подобными - только так. Иначе бороться бесполезно, он восстанавливается, как Феникс...

[QUOTE=priv8v;269392]прогоните авптулом все компы, например....[/QUOTE]

Опять же, предварительно проверив, лечит ли корректно авпстул его...
иначе ждать пока или нод или доктор добавят в базы алгоритмы лечения.

Уважаемые, если так можно выразиться, коллеги. Я заметил в консоли НОДа очень интересный факт. Перед каждым появлением в системах Sality (будь то АВ, AD, NAS), у меня появлялся в логах Win32/KillAV.NE. При таком раскладе возможны 2 структурных действия: либо он качает Салити, либо его генерит. Изменений по трафику я не вижу, следовательно сошлюсь на то, что он его генерирует...

[QUOTE]
Опять же, предварительно проверив, лечит ли корректно авпстул его
[/QUOTE]
извините за то, что я не расшифровал слово "прогоните".
Под этим словом я имел в виду "просканируйте компьютеры и найдите где сидит зловред", т.е я не советовал АВПТулом лечить компы - т.к ТС просил не говорить как ему лечить - просил только помочь обнаружить с какого компа лезет зараза - т.е я посоветовал с помощью АВПТула просто найти на каком компе есть еще такая зараза - т.о выяснить откуда зараза попадает на расшаренные ресурсы.
а как лечить заразу автор знает и сам. и это хорошо описано на ресурсе др.веба и на других форумах.
да и самому несложно догадаться как лечить если знать, что он делает.

[QUOTE=Skye;269350]...Нод по-прежнему лечить отказывается, как и CureIt.
[/QUOTE]

Имеет смысл отправить зараженные файлы в Eset. Возможно, лечение со временем будет выпущено через обновление баз.

[QUOTE=Skye;269407]Уважаемые, если так можно выразиться, коллеги. Я заметил в консоли НОДа очень интересный факт. Перед каждым появлением в системах Sality (будь то АВ, AD, NAS), у меня появлялся в логах Win32/KillAV.NE. При таком раскладе возможны 2 структурных действия: либо он качает Салити, либо его генерит. Изменений по трафику я не вижу, следовательно сошлюсь на то, что он его генерирует...[/QUOTE]

По одному случаю из раздела "Помогите!" могу сказать, что тогда судя по всему Салити (Сектор) подгружал в память троян, который боролся с антивирусами, причем троян был в памяти, но на диске его не было. М.б. часть Салити, созданная для его защиты.

[quote=priv8v;269408]извините за то, что я не расшифровал слово "прогоните".
Под этим словом я имел в виду "просканируйте компьютеры и найдите где сидит зловред", т.е я не советовал АВПТулом лечить компы - т.к ТС просил не говорить как ему лечить - просил только помочь обнаружить с какого компа лезет зараза - т.е я посоветовал с помощью АВПТула просто найти на каком компе есть еще такая зараза - т.о выяснить откуда зараза попадает на расшаренные ресурсы.
а как лечить заразу автор знает и сам. и это хорошо описано на ресурсе др.веба и на других форумах.
да и самому несложно догадаться как лечить если знать, что он делает.[/quote]

Я правильно трактовал Ваши слова, будем надеяться, что другие пользователи так же дочитают до этой страницы прежде, чем начнут борьбу не с того конца. ;)

Все равно за совет - спасибо, он обязательно кому нибудь поможет ;).

Может быть (раз уж я стал центром эксперимента), я могу еще чем нибудь помочь, или попробовать различными методами погонять данную модификацию?

[QUOTE=kps;269414]По одному случаю из раздела "Помогите!" могу сказать, что тогда судя по всему Салити (Сектор) подгружал в память троян, который боролся с антивирусами, причем троян был в памяти, но на диске его не было. М.б. часть Салити, созданная для его защиты.[/QUOTE]
Салити ака Сектор содержит код, противодействующий антивирусам - вынос баз, убийство процессов и т. д. :(

[QUOTE=borka;269427]Салити ака Сектор содержит код, противодействующий антивирусам - вынос баз, убийство процессов и т. д. :([/QUOTE]

Угу, я так и подумал, что это его драйвер - это часто единственная зацепка, по которой по логам AVZ можно определить наличие этого файлового вируса в системе.

[QUOTE]Может быть (раз уж я стал центром эксперимента), я могу еще чем нибудь помочь, или попробовать различными методами погонять данную модификацию? [/QUOTE]

Попробуйте Антивирус Калинина. С его эвристикой и кроссплатформенностью он должен помочь. Про то, что его автор несет людям истину - тоже не следует забывать. Поэтому все вышеперечисленные факторы должны оказать благотворное влияние на решение Вашей проблемы.


(это шутка, у меня аж слезы на глазах, не надо воспринимать этот совет всерьез - я просто шучу:D:))

PS: если одна модификация данного вируса по функционалу не сильно отличается от другой, то можете на других компах поискать в реестре куда он себя в исключения системного фаера добавил - как я понял система какая-то заражена и заражает при этом файлы на расшаренном ресурсе на другом компе и решение проблемы сводится лишь к нахождению данной системы, которая заражает файлы на расшаренном ресурсе...

[quote=Skye]Система девственно чиста, поражен только пошареный ресурс.[/quote]
[quote=Skye]Я заметил в консоли НОДа очень интересный факт. Перед каждым появлением в системах Sality (будь то АВ, AD, NAS), у меня появлялся в логах Win32/KillAV.NE.[/quote]
Простите, уважаемый, но вы сами себе противоречите.

[quote=AndreyKa;269490]Простите, уважаемый, но вы сами себе противоречите.[/quote]

Эм. Не так выразился. :) Система действительно чистая, проблема только в пошареной папке. Смотрю другие машины - пошареных ресурсов нет, но есть Win32/KillAV.NE и вместе с ним модифицированный Сектор.5 (на одной машине), или чистый Сектор.5 (вторая машина), или Сектор.4 на третьей (Салити NAS, AD, AB соотвественно). Похоже, опасения оправдались (что к трояну КиллАВ идет в комплекте Сектор.*, который генерится на машине непосредственно или загружается с инета, и пытается поразить открытые ресурсы в сети). При таких раскладах я б предложил его переквалифицировать в "Червя", но кто ж мне даст (с). :P

[quote=Skye]Похоже, опасения оправдались (что к трояну КиллАВ идет в комплекте Сектор.*, который генерится на машине непосредственно или загружается с инета, и пытается поразить открытые ресурсы в сети).[/quote]
Нет, наоборот, при запуске зараженного фирусом Sality EXE или .SCR файла создаётся троянская библиотека KillAV (она уже находится в теле вируса и не откуда не скачивается).

[QUOTE=AndreyKa;269583]Нет, наоборот, при запуске зараженного фирусом Sality EXE или .SCR файла создаётся троянская библиотека KillAV (она уже находится в теле вируса и не откуда не скачивается).[/QUOTE]

Точнее троянский драйвер. В логах AVZ виден в Модулях пространства ядра.

Тогда получается, что троянская библиотека КиллАВ пытается поразить пошареные ресурсы? Или я чего то недопонимаю?..

Присланные экземпляры стали детектироваться и лечиться доктором как Win32.Sector.4

[quote=Shu_b;270115]Присланные экземпляры стали детектироваться и лечиться доктором как Win32.Sector.4[/quote]

прочитал - скачал последний CureIt - ан нет .... все по прежнему...:(

Shu_b, подскажите куда можно отправить зараженный "модификацией Win32.sector.5" - мой файл к сожалению так и определяется и не лечится :(

[url]http://support.drweb.com/sendnew/[/url]

[quote=pig;270337][URL]http://support.drweb.com/sendnew/[/URL][/quote]



:D уже ! ждем-с...

и в Каспер, и в Нод, и в ДрВеб отправил :>

[QUOTE=evglap;270365]:D уже ! ждем-с...

и в Каспер, и в Нод, и в ДрВеб отправил :>[/QUOTE]

если можете, поделитесь номером запроса.

И, если можно, ссылочку на вирустотал с детектом этого вируса :)