Невідомий руткит кіс 2009 з загузочного диска його не бачить

Доброго вечора :rolleyes:
КІС 2009 постійно вибиває обнаружено IrpTableChanget
avz також показує перехоплення
svchost.exe по логам кіс
18.12.2008 2 мб загрузки
19.12.2008 4 мб загрузки (з IP гугла перед тим хотів установити хрома, але я відмінив загузку після того як на нього каспер почав бочитись. Проте загрузка продовжувалась поки IP не вніс в хост) але проблеми почались до цього
кіс 2009 з загузочного диска його не бачить
загузочий диск доктора веба якщо не рохувати 2 вірусів з мого архіва мовчанка
CureIt в безпечному режимі також
в файлi host
[url]http://go.microsoft.com[/url] перекидка на Localhost

Наперед дякую вам за допомогу

Выложите лог Gmer

Кіс постійно вибиває ( можливо не в тему )
21.12.2008 2:08:48 TCP от 222.177.8.81 на локальный порт 135 Отсутствует Обнаружено: Intrusion.Win.DCOM.exploit
21.12.2008 2:05:40 UDP от 61.153.180.10 на локальный порт 1434 Отсутствует Обнаружено: Intrusion.Win.MSSQL.worm.Helkern
лог робиться зараз скину при скануванні avz i Gmer вибиває цікаве повідомлення "C:\$Mft файл или каталог поврежден и не может бить прочитан запустите службу CHKDSK " а зверху повідомлення про програму типа AVZ.EXE чи Gmer.exe
таке уточнення (через редирект сайта майкросовта в хості) скачались якісь обновления до віндовса і вони вже встановились як їх відмінити (адже можливо це й не майкросовтівська а віруса) ситема постійно просить перезагрузки

[url]http://gmer.net/gmer.zip[/url]
[QUOTE]21.12.2008 2:08:48 TCP от 222.177.8.81 на локальный порт 135 Отсутствует Обнаружено: Intrusion.Win.DCOM.exploit
21.12.2008 2:05:40 UDP от 61.153.180.10 на локальный порт 1434 Отсутствует Обнаружено: Intrusion.Win.MSSQL.worm.Helkern[/QUOTE]
Intrusion.Win.MSSQL.worm.Helkern - не страшно ,если не стоит MSSQL
Intrusion.Win.DCOM.exploit - после лечения поставить все патчи на windows и это тоже будет не страшно, впрочм если блокирует, то тоже не страшно. Если мешает, отключите уведомление.

лог по адресі
/////
сюди чомусь не вставляєть
Лог я зробив правильно?

[COLOR="Red"]Выложите на нормальный, бесплатный обменник![/COLOR]

1. Выполните скрипт: [CODE]begin
ClearQuarantine;
SetAVZPMStatus(true );
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\Winta30.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
2. Хост сами правили?
3. Пофиксить [CODE] R3 - URLSearchHook: (no name) - - (no file)
[/CODE]
4. Карантин по правилам, после перезагрузки новые логи по правилам, начиная с пункта 2.

розібрався лог залив
Alex_Goodwin дякую іду викоувати скрипти host вже поправив сам
питання щодо обновлень віндовса не заю як з ними бути адже після перезагрузки вони втуплять в дію

карантину немає авз показує ошибку прямого чтения і перехоплення те ж саме що і в логах. Що робити може попробувати зробити загрузочний диск з авз і каспером та попробувати з нього?
перехоплення irp залишилося
тепер при новому скануванні авз вибиває внизу повідомлення не лиш на C:\$Mft а й на якись файл з антивірусних баз каспера повідомлення в панелі швидкого запуку (там де годинник)"C:\$Mft файл или каталог поврежден и не может бить прочитан запустите службу CHKDSK"

В карантин файл попал? Если нет, тогда попробуйте его Гмером скопировать или в безопасном режиме скриптом..

карантин пустий лише *.ini файли що в звичайному режимі що в безпечному результат один через Gmer файла не видно в любих режимах
після 3 спроби карантину в безпечому режимі зобив лог прошу
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
Ошибка обмена с драйвером [00000002] - [1]
1.4 Поиск маскировки процессов и драйверов
Поиск маскировки процессов и драйверов завершен
Драйвер успешно загружен
Ошибка обмена с драйвером [00000002] - [1]
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\System32\Drivers\Winta30.sys)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\System32\Drivers\Winta30.sys)
Карантин с использованием прямого чтения - ошибка
які ваші дальші рекомендації

[size="1"][color="#666686"][B][I]Добавлено через 1 час 2 минуты[/I][/B][/color][/size]

svchost.exe відкриті порти 135, 123, 1900,
(21.12.2008 2:08:48 TCP от 222.177.8.81 на локальный порт 135 Отсутствует Обнаружено: Intrusion.Win.DCOM.exploit)
може ця зараза Intrusion.Win.DCOM.exploit

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 46 минут[/I][/B][/color][/size]

з реєстру якщо удаляти через авз всі записи з winta30.sys після перезагрузки вони знову появляються

питання якщо переставити ось форматуючи лише системний розділ чи залишиться дана зараза

Допоможіть не знаю як з цею заразою боротись

[B]suord[/B], чуть выше написано - "Форум на русском языке".
Я к примеру, не понимаю, что вы пишите, и соответственно, помочь вам не смогу. И не я один.

Обновите базы АВЗ, повторите все логи.
[SIZE="1"]ПС: Якщо Ви маєте проблеми з російською мовою - в нас англійський розділ.[/SIZE]

И так, 1 - удалите даемонд тулз - мешает очень
2. Переименуйте sfcfiles.dll что в system32 и скопируйте туда sfcfiles.dll из dllcache. После ребутнитесь.

Здравствуйте!
Прошу еще раз помочь с проблемой
новие логи

Вы выполнили мои рекоммендации?
Повторите лог гмера.

Alex_Goodwin здрасти
логи готовлю на прошлиє внимания не обращать

при работе гмера постоянно появляется в трее гмера "C:\$Mft файл или каталог поврежден и не может бить прочитан запустите службу CHKDSK "
даемонд тулз удалил перезагрузился но в логах гмера она осталась
dll поминял
логи gmera и авз
сечас стало не возможним запустить на проверку каспера вроде работаєт но минут через 5 проверка останавливаєтся в логах єсть того что проверка запущена загрузочний диск зделать не возможно ошибка при копировании баз - ани повреждени

Выполните скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\DRIVERS\Winta30.sys');
BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\Winta30.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

виполнил
авз тоже?

по авз тоже что и било реузультата нет

[quote=suord;324955]по авз тоже что и било реузультата нет[/quote]
Шановний, поясніть будь-ласка, що Ви маєте на увазі?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Якщо Ви кажете, що у протоколі АВЗ все залишилось як було, то надайте його нам. Може дещо змінилось?

+ avz

[B]suord[/B], скажіть будь-ласка, Ви виконали це?
[QUOTE]И так, 1 - удалите даемонд тулз - мешает очень
2. Переименуйте sfcfiles.dll что в system32 и скопируйте туда sfcfiles.dll из dllcache. После ребутнитесь.[/QUOTE]

каспер ппровірки зробити не може вибиває в логах провірка почата через 2-3 хв. провірка зупинена(зупиняється сам)
повтійні повідомлення про
"Обнаружено: IrpTableChanged"
Авз показує при провірці
1.5 Проверка обработчиков IRP
"\FileSystem\ntfs[IRP_MJ_CREATE] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 8A35B1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 8A35B1F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CREATE] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CLOSE] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_WRITE] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_EA] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_EA] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 89E171F8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_PNP] = 89E171F8 -> перехватчик не определен"

и ось це
"Функция IoAllocateIrp (804EAF9D) - модификация машинного кода. Метод не определен., внедрение с байта 15"
ось такі мої проблеми напевно я вже вам надоїв, вибачайте


декілька днів назад даних проблем не було

[quote=suord;324991]ось такі мої проблеми напевно я вже вам надоїв, вибачайте
[/quote]
Ні, Ви нам не набридли :smile: Зрозуміло. Ви зробили те, що Вам сказав [B]Alex_Goodwin? [/B](дивіться пост №23)

так виконав.

[quote=suord;324997]так виконав.[/quote]
Так. Але, як я вірно Вас зрозумів, нічого не допомогло і проблема не вирішена? Якщо це так, то, будь-ласка, зачекайте до завтра. Завтра буде засідання нашого консиліуму, де цей випадок будуть вивчати наші спеціалісти (колективний розум, так би мовити). Як тількі буде остаточне рішення, ми одразу Вам надамо необхідні рекомендації по лікуванню. Вас влаштовує такий варіант розв'язання проблеми?

дякую буду чекати

[quote=suord;325002]дякую буду чекати[/quote]
Ось і домовились :smile: Чудово.

Выполните скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\wuauserv.dll ',' ');
DeleteFile('C:\WINDOWS\system32\DRIVERS\spdt.sys');
BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\spdt.sys');
DeleteService('Winta30', true);
BC_DeleteSvc('Winta30');
BC_DeleteSvc('spdt');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Карантин по правилам, после перезагрузки новые логи.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]