Помощь в лечении сервера от вирусов

Printable View

08.09.2008, 16:53
Sobolek

Вложений: 3

Помощь в лечении сервера от вирусов

Ситуация слудующая....Есть сервер с базами данных, на который по неизвестной причине пролез вирус и заразил многие exe-файлы(в том числе ситемные)...Плюс ещё обнаружилось куча троянов...В результате загрузить сервер в нормальном режиме не возможно...выкидывает синий экран и перезагрузка. Работает только safe mode...при проверке Dr.Web CureIt определяет инифицированные файлы как модификацией Win32.Virut.35, при проверке Kaspersky VRT определяет как новая угроза Type_Win32 (модификация). Помогите избавится от этого вируса.
08.09.2008, 16:55
Rene-gad

[QUOTE]>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных[/QUOTE]
Скачайте АВЗ по новой, обновите базы , отключите системное восстановление, повторите 3 лога.
08.09.2008, 18:24
Sobolek

При сохранении AVZ на компьютере, после запуска скрипта проверки пишет что файл изменён...открыл через сетевую папку(на которой только права чтения), проверил нормально, но не сохранил отчёт(так как прав нет). Сохранить смог только протокол.... в тхт файл. Как быть?
08.09.2008, 18:30
Rene-gad

pingpong.pif - переименованный спец. AVZ [url]http://rapidshare.com/files/116949749/pingpong.pif.html[/url]
Сделайте логи в нем, базы обновлять не нужно.
[url]http://freenet-homepage.de/rene-gad/AVZ/RSIT.zip[/url] Скачайте, распакуйте в папку c:\rsit, запустите файл, нажмите Continue, файл log.txt из этой папки прикрепите вместе с логами АВЗ.
09.09.2008, 11:21
Sobolek

Вложений: 3

АВЗ логи прошли нормально, а вот RIST выдаёт ошибку: Line -1: Error: Variable used wihtout being declared.

Исправляюсь: RSIT лог всё таки создал. Выкладываю
09.09.2008, 12:09
Rene-gad

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\svchost.exe','');
QuarantineFile('C:\Program Files\EStaff_Server\xHttp.exe','');
QuarantineFile('C:\WINDOWS\system\1sass.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\epsdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\LLSVRUTT.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\rstpqvrn.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\uljkb.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\uqvkrvro.sys','');
QuarantineFile('c:\windows\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteService('help wods web');
DeleteService('epsdrv');
DeleteService('LLSVRUTT');
DeleteService('rstpqvrn');
DeleteService('uljkb');
DeleteService('uqvkrvro');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\blphc5n5j0el0e.scr');
DeleteFile('C:\WINDOWS\system32\drivers\uqvkrvro.sys');
DeleteFile('C:\WINDOWS\system32\drivers\uljkb.sys');
DeleteFile('C:\WINDOWS\system32\drivers\rstpqvrn.sys');
DeleteFile('C:\WINDOWS\system32\drivers\LLSVRUTT.sys');
DeleteFile('C:\WINDOWS\system32\drivers\epsdrv.sys');
DeleteFile('C:\WINDOWS\system\1sass.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('help wods web');
BC_DeleteSvc('epsdrv');
BC_DeleteSvc('LLSVRUTT');
BC_DeleteSvc('rstpqvrn');
BC_DeleteSvc('uljkb');
BC_DeleteSvc('uqvkrvro');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи [COLOR="Red"][B]в нормальном режиме нормальным АВЗ с обнобленными базами [/B][/COLOR]по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
09.09.2008, 12:51
Sobolek

Вложений: 2

Всё сделал. Карантин выслал.
09.09.2008, 12:58
Rene-gad

Выполните пункт 2 правил.
09.09.2008, 13:15
Sobolek

Dr.Web Cureit ругается практически на все .exe файлы Win32.Virut.39. В дополнение: все проверки провожу в безопасном режиме, так как в нормалном не грузится (выдавал синий экран, щас перезагружается)
09.09.2008, 13:21
Rene-gad

пункт 2 и нужно выполнять в безопасном.
10.09.2008, 14:08
Sobolek

Вложений: 3

Данный вами скрипт помог....удалось в нормальном режиме запустить сервер и излечить с помощью Dr.Web CureIt излечить все .exe файлы от вируса Win32.Virut.39. Но подозрения что на сервере присутствуей какой-то вирус или троян есть...Например скока не меняй в настройках Internet Explorer домашнюю страницу, при перезагрузке всё равно ставится свой сайт...Я сомневаюсь в пару файлах:tfY3Zd.dll,zswbf.sys,tfy3zd.dll...Логи выкладываю
10.09.2008, 14:43
Rene-gad

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O4 - HKLM\..\RunOnce: [rAji] %systemroot%\system32\rundll32.exe %systemroot%\system32\tfY3Zd.dll,DllRegisterServer
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\Systemdao.sys','');
QuarantineFile('C:\WINDOWS\SYSTEM32\Systemdao.exe','');
QuarantineFile('C:\WINDOWS\ime\winupgrade.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\zswbf.sys','');
DeleteService('usbmouseb');
DeleteService('Wingms');
DeleteService('winfirewall');
DeleteFile('C:\WINDOWS\system32\Drivers\zswbf.sys');
DeleteFile('C:\WINDOWS\ime\winupgrade.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\Systemdao.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\Systemdao.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('usbmouseb');
BC_DeleteSvc('Wingms');
BC_DeleteSvc('winfirewall');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
10.09.2008, 15:17
Sobolek

Вложений: 3

Всё сделал.Логи выкладываю...Пофиксить запись в реестре не удалось, после перезагрузки всё вернудлось на свои места
10.09.2008, 15:22
Rene-gad

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O4 - HKLM\..\RunOnce: [rAji] %systemroot%\system32\rundll32.exe %systemroot%\system32\tfY3Zd.dll,DllRegisterServer
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\zswbf.sys','');
QuarantineFile('C:\WINDOWS\system32\tfY3Zd.dll','');
DeleteFile('C:\WINDOWS\system32\tfY3Zd.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\zswbf.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
10.09.2008, 15:48
Sobolek

Вложений: 3

Пофиксил. Скрипт выполнил. Карантин выложил. Но после перезагрузки всё возращается на свои места. Может сделать в ручную?
10.09.2008, 15:54
Rene-gad

1. Пуск/Выполнить... набрать [B]msconfig[/B], нажать клавишу [B]ВВОД[/B].
2. В карточке Автозапуск - Все отключить
3. Активировать AVZPM (главное меню АВЗ)
4. Перегрузить систему
5. Сделать все логи по правилам.
10.09.2008, 17:04
Sobolek

Вложений: 3

Запись удалил в ручную через AVZ (поиском данных в реестре). Файлы удалил загрузившись с СD-Операционки. Помогло(ключь перестал появлятся, и страничка в Internet Explorer нормолизовалась. Едиственное что смущает: Эвристичеcкая проверка системы (?Отладчики процессов?) и Подмена PID. Что это? И нужно ли исправлять?
10.09.2008, 17:09
Rene-gad

[QUOTE=Sobolek;281818]Эвристичеcкая проверка системы (?Отладчики процессов?) и Подмена PID. Что это? И нужно ли исправлять?[/QUOTE]Вот это меня тоже беспокоит. Вы AVZPM включали, когда логи делали?
10.09.2008, 17:36
Sobolek

Да...при включённом.
10.09.2008, 18:00
Rene-gad

[QUOTE=Sobolek;281838]Да...при включённом.[/QUOTE]Я выпал немного :) - это же у Вас сервер: АВЗ там не совсем так показывает, как на станции :)
Если видимых проблем нет, то нужно просто понаблюдать машину, в логах все ОК.
10.09.2008, 18:03
Sobolek

:)Ок. Спасибо большое за помощь;)

[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]

Ок.Спасибо большое за помощь
22.02.2009, 07:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]34[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\estaff_server\\xhttp.exe - [B]Virus.Win32.Virut.bn[/B] (DrWEB: Win32.Virut.39)[*] c:\\windows\\system\\1sass.exe - [B]Virus.Win32.Virut.bn[/B] (DrWEB: Win32.Virut.39)[*] c:\\windows\\system32\\drivers\\llsvrutt.sys - [B]Backdoor.Win32.Agent.rkn[/B] (DrWEB: Trojan.Sentinel.based)[*] c:\\windows\\system32\\drivers\\rstpqvrn.sys - [B]Rootkit.Win32.Agent.efa[/B] (DrWEB: Trojan.Sentinel.based)[*] c:\\windows\\system32\\drivers\\systemdao.sys - [B]Rootkit.Win32.Agent.dhi[/B] (DrWEB: Trojan.NtRootKit.1489)[*] c:\\windows\\system32\\drivers\\uljkb.sys - [B]Trojan-Downloader.Win32.RtkDL.fa[/B] (DrWEB: Adware.Baidu.508)[*] c:\\windows\\system32\\drivers\\uqvkrvro.sys - [B]Backdoor.Win32.Agent.rkn[/B] (DrWEB: Trojan.Sentinel.based)[*] c:\\windows\\system32\\drivers\\zswbf.sys - [B]Trojan-Downloader.Win32.Agent.afwk[/B] (DrWEB: Adware.Baidu.508)[*] c:\\windows\\system32\\ntos.exe - [B]Virus.Win32.Virut.bn[/B] (DrWEB: Win32.Virut.39)[*] c:\\windows\\system32\\svchost.exe - [B]Virus.Win32.Virut.bn[/B] (DrWEB: Win32.Virut.39)[*] c:\\windows\\system32\\systemdao.exe - [B]Backdoor.Win32.Agent.rhr[/B] (DrWEB: BackDoor.Hbeat.98)[*] c:\\windows\\system32\\tfy3zd.dll - [B]Trojan.Win32.BHO.grb[/B] (DrWEB: Trojan.Fyt)[*] c:\\windows\\system32\\userinit.exe - [B]Virus.Win32.Virut.bn[/B] (DrWEB: Win32.Virut.39)[/LIST][/LIST]