Printable View
Ткнулся вечером 12.03.09 в Webmoney. Пароль не принимает, инициализироваться не хочет. Служба поддержки пишет пароль был сменен 12.03.09 в 19.05 пройдите процедуру восстановления. Восстановил доступ к Webmoney, открываю, денег нет. В операциях рублевого кошелька три прихода различными суммами(начиная с 18.10) и один большой перевод на какой-то кошелек в 19.04. Активация на мыло не приходила. Подозрение на троян.
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis
[CODE]
F2 - REG:system.ini: Shell=
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Program Files\ICQ\ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Program Files\ICQ\ICQ.exe (file missing)
[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]
[CODE]
begin
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\psubst.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\DSDrv4.sys','');
QuarantineFile('D:\My\777\3\rdrive\DrvSnSht.sys','');
QuarantineFile('C:\Program Files\TopServer 2.1\usr\local\FTP\SlimFTPd.exe','');
BC_Importquarantinelist;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=43460"]http://virusinfo.info/upload_virus.php?tid=43460[/URL]
[CODE] c:\Program Files\Icq_щдв1111\Icq1.exe[/CODE] Это аська у вас?
[QUOTE=light59;384672]
[CODE] c:\Program Files\Icq_щдв1111\Icq1.exe[/CODE] Это аська у вас?[/QUOTE]
Была, когда то переименовал, поставил новую и забыл. Удалил всю папку Icq_щдв1111.
Вредоносный код в файлах не обнаружен.
В логах не вижу ничего плохого.
Обновите базы каспера и сделайте полную проверку на всякий случай.
[QUOTE]Ткнулся вечером 12.03.09 в Webmoney. Пароль не принимает, инициализироваться не хочет.[/QUOTE]
А до этого никакие файлики не запускали? Может кто-то что-то прислал или ссылку дал, вы ткнулись туда и после этого увели пароли.
Каспер обновляется на автомате чуть ли не каждый день. Перед тем как проверить AVZ-ом. Прошел полную проверку касперским. Каспер ничего не нашел. При проверке Dr. Web CureIt из безопасного режима, CureIt нашел три трояна: Trojan.BitAcc.8, Trojan.AdVirtualNetwork.2, Trojan.NtRootKit.1519, сказал что лечение не возможно и все удалил. Из этих трех гадов кто нибудь способен на такое?
Увести пароли мало. Нужно увести еще файл ключей и пройти активацию. А почтовым ящиком пока я управляю и никаких подозрительных писем об активации не приходило.
А что такое psubst.exe и подозрение его на Trojan.Win32.Agent.acmc?
PSUBST - утилита, которая реализует стандартные функции команды SUBST и добавляет несколько своих для доступа к виртуальным дискам, доступным в момент загрузки системы.
Может с домашнего компа увели? [URL="http://virusinfo.info/showthread.php?t=43772"]http://virusinfo.info/showthread.php?t=43772[/URL]
Поможите люди добрые! :sos: :help: Проблемма то осталась! Вчера отлучился на полтора часа, оставив кипера в онлайне. Возвращаюсь, как обычно ввожу пароль на выход из заставки и .... :shok: :censored: На рабочем столе открыто окно кипера(хотя он в трэе был), поверх него открыт проводник с предложением показать где у меня ключи спрятаны, и 8! запросов активации на e-mail с моего ip. Проводник с кипером опорно отказались добровольно закрываться :furious3:, пришлось процесс webmoney.exe убить. :diablo:
Я уже и не знаю где заразу искать, :dash1: учитывая что логи скорее всего чистыми окажутся.
Логи.
Закачайте файл ..\LOG\virusinfo_cure.zip тут: [url]http://virusinfo.info/upload_virus.php?tid=43460[/url]
Файл сохранён как 090416_114927_virusinfo_cure_49e6e307178ff.zip
Размер файла 19032
MD5 d0333e45ab886206ba6322a397ee4dfa
Сделайте лог [url=http://www.gmer.net]Gmer[/url], дополнительно WebMoney можно защитить с помошью [url=http://www.enum.ru]Enum[/url].
Лог Gmer
Папка Documents and Settings содержит какую-то странную папку, имя которой состиот из вопросительных знаков (по крайней мере я ее так вижу). Откройте в проводнике папку Documents and Settings и посмотрите, что там есть. Предварительно убедитесь, что у Вас активирован показ скрытых и системных файлов. Можете воспользоваться Volkov Commander или Total Commander.
Пришлите в карантин файл C:\WINDOWS\system32\kernel32.dll
Documents and Settings/¦+T-¦+~1/Locals~1/Temp
там 10 файлов типа avz_3696_1.tmp, avz_5212_1.tmp... Весит все это дело 6,6Мб.
Файл сохранён как 090416_133708_kernel32_49e6fc441d9c6.zip
Размер файла 376480
MD5 354f0633c81c015c5802f351ce5ce629
[QUOTE=begunok;388347]Documents and Settings/¦+T-¦+~1/[/QUOTE]А учетка такая тоже есть? :O
[QUOTE]А учетка такая тоже есть? [/QUOTE] Нет. понятия не имею как эта папка появилась. Там только один путь (Locals~1/Temp), других папок нет.
kernel32.dll - Вредоносный код в файле не обнаружен.
А по локальной сети такие действия возможны?
[CODE]c:\windows\system32\remotecontrolservice.exe[/CODE]
Это что у вас такое?
[QUOTE=light59;388366][CODE]c:\windows\system32\remotecontrolservice.exe[/CODE]Это что у вас такое?[/QUOTE]
Не знаю. :unknw:
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Ааа, это пульт управления я ставил когда-то. А удалить так и не смог. Он у меня до сих пор в трэе висит. В установке/удаление программ его нет. В автозагрузке я его не нашел. Вот так и висит.
не нравится она мне. А раз она вам больше не нужна, то удалим?
Поставьте ещё SP3 + последующие обновления безопасности.
Удалил(точнее пока переместил) RemoteControlService.exe, remotepg.dll, remotesp.tsp
[QUOTE]Поставьте ещё SP3 + последующие обновления безопасности. [/QUOTE] Поставил. Всем спасибо.
Проблема повторялась?
Пока нет.
Если повторится, напишите. будем думать дальше.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]