AVZ - подозрение на троянский DNS

Printable View

05.05.2009, 13:26
AlexE2009

Вложений: 3

AVZ - подозрение на троянский DNS

Решил проверить систему с помощью AVZ.
Вызвыла беспокоиство строчка о подозрении на троянский днс...
И насчет перехватчиков красным...
Может зараза какая завелась?
Вообще проверяю регулярно Нодом32, бывает что то находит и удаляет, может недоудалял?

Логи приложены. Посмотрите пожалуйста.
05.05.2009, 13:27
Гриша

Установите AVZPM и повторите логи...
05.05.2009, 13:36
Bratez

Вот это можно сразу пофиксить:
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{07ADBFF1-F252-4934-8648-1BDAB78EC2DD}: NameServer = 85.255.112.165,85.255.112.216
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.165,85.255.112.216
O17 - HKLM\System\CS1\Services\Tcpip\..\{07ADBFF1-F252-4934-8648-1BDAB78EC2DD}: NameServer = 85.255.112.165,85.255.112.216
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.165,85.255.112.216
O17 - HKLM\System\CS2\Services\Tcpip\..\{07ADBFF1-F252-4934-8648-1BDAB78EC2DD}: NameServer = 85.255.112.165,85.255.112.216
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.165,85.255.112.216[/CODE]
05.05.2009, 13:44
AlexE2009

[QUOTE=Гриша;397349]Установите AVZPM и повторите логи...[/QUOTE]

Что это и где взять?
05.05.2009, 13:45
Гриша

[url]http://virusinfo.info/showthread.php?t=12316[/url]
05.05.2009, 13:45
AlexE2009

Как пофиксить? Просто удалить из реестра?
И откуда это? чтоб предотвратить в дальнейшем?

[COLOR="Red"][U]4. Запрещено цитирование слишком больших текстов (оверквоттинг),[/U][/COLOR]
05.05.2009, 13:48
Гриша

Сделайте что я попросил...
05.05.2009, 13:58
AlexE2009

Вложений: 2

Вот
05.05.2009, 14:35
Bratez

[QUOTE=AlexE2009;397362]Как пофиксить?[/QUOTE]
[URL="http://virusinfo.info/showthread.php?t=4491"][COLOR=#0532aa]Что значит "пофиксить с помощью HijackThis"?[/COLOR][/URL]

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('digeste.dll','');
QuarantineFile('I:\windows\system32\drivers\gaopdxtmtndyoygtexrmlsfncpapppactdcnty.sys','');
DeleteFile('I:\windows\system32\drivers\gaopdxtmtndyoygtexrmlsfncpapppactdcnty.sys');
DeleteFile('digeste.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=45156[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
05.05.2009, 14:58
AlexE2009

Вложений: 2

всё сделал

после перезагрузки нод заорал что в /system32/ троян и удалил его
05.05.2009, 14:59
AlexE2009

Скажите, что это было?
05.05.2009, 15:03
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('navigator');
QuarantineFile('I:\WINDOWS\fd.dll','');
QuarantineFile('I:\Documents and Settings\Alex\Application Data\AdobeUM\A346D81075266088\A346D81075266088','');
DeleteFile('I:\WINDOWS\fd.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('navigator');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
05.05.2009, 15:04
Bratez

[QUOTE=AlexE2009;397408]Скажите, что это было?[/QUOTE]
А вот что нод сказал, то и было! Вы ж пустой карантин прислали.
На будущее: антивирус нужно отключать при выполнении скриптов в AVZ.
05.05.2009, 15:21
AlexE2009

[QUOTE=Bratez;397415]А вот что нод сказал, то и было! Вы ж пустой карантин прислали.
На будущее: антивирус нужно отключать при выполнении скриптов в AVZ.[/QUOTE]

Отключил нод, восстановил из нодовского карантина, прислал заново, смотрите...
05.05.2009, 15:41
Гриша

DrWEB 5.0=Зловред [B]BackDoor.Tdss.115[/B]; VBA32=Зловред [B]Trojan.Win32.Olmarik.37[/B]; BitDefender=Зловред [B]Gen:Trojan.Heur.TDSS.207C83B3B3[/B]

Касперский пока не знает...
05.05.2009, 15:45
AlexE2009

Вложений: 3

2 Гриша
ВСе сделал логи положил...

Короче с "пофиксиньем" в реестре такая петрушка:
удаляю эти строчки - ни в ие, ни в гугле хроме ни одна страница не открывается, восстанавливаю - всё работает...
05.05.2009, 16:02
AlexE2009

[QUOTE=Гриша;397438]DrWEB 5.0=Зловред [B]BackDoor.Tdss.115[/B]; VBA32=Зловред [B]Trojan.Win32.Olmarik.37[/B]; BitDefender=Зловред [B]Gen:Trojan.Heur.TDSS.207C83B3B3[/B]

Касперский пока не знает...[/QUOTE]

А почему нод эту заразу не видел, пока авзшный скрипт не выполнил?

\Utils\avz4\avz4\Quarantine\2009-05-05\avz00001.dta - Win32/Agent.PAX троянская программа - очищен удалением - изолирован [1]

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

2 Гриша
Еще вопрос:
Вот это откуда могло взяться: 'I:\Documents and Settings\Alex\Application Data\AdobeUM\
Может вообще эту папку удалить?
05.05.2009, 16:08
Гриша

Где карантин после последнего скрипта?

После того как пофиксили, нужно ввести свои DNS выданные провайдером...
05.05.2009, 16:29
AlexE2009

Положил карантин после последнего скрипта

"\Utils\avz4\avz4\Quarantine\2009-05-05\avz00001.dta - Win32/Agent.PAX троянская программа - очищен удалением - изолирован [1]
" - это относилось к второму карантину

А как эти архивы открываются (пароль)? Если не секрет, конечно...
05.05.2009, 16:29
Alex_Goodwin

[QUOTE=AlexE2009;397442]А почему нод эту заразу не видел, пока авзшный скрипт не выполнил?[/QUOTE]
Нод не видит активный руткит. Только когда авз его нейтрализовал и закарантинил - тогда вуаля :)
05.05.2009, 16:35
Гриша

[B]Trojan-Downloader.Win32.Mutant.cht [/B]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('A346D81075266088');
DeleteFile('I:\Documents and Settings\Alex\Application Data\AdobeUM\A346D81075266088\A346D81075266088');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('A346D81075266088');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...
05.05.2009, 16:37
AlexE2009

[QUOTE=Alex_Goodwin;397467]Нод не видит активный руткит. Только когда авз его нейтрализовал и закарантинил - тогда вуаля :)[/QUOTE]

А кто нибудь еще видит, кроме авз?
И как вообще быть в таких ситуациях, как эти вирусы находить?
Ведь просто по протоколу сканирования авз не было видно угроз, просто обратил внимание на строчку про днс... А вышло что два трояна...
05.05.2009, 16:56
Гриша

Выполняйте скрипт и повторяйте логи...
05.05.2009, 17:08
AlexE2009

Вложений: 3

сделал, карантин пустой, логи положил

после скрипта комп сам нормально не перезагрузился, пришлось на ресет жать...
05.05.2009, 17:11
Гриша

В логах чисто...
05.05.2009, 17:14
AlexE2009

[QUOTE=Гриша;397485]В логах чисто...[/QUOTE]

1.4 Поиск маскировки процессов и драйверов
>> Маскировка драйвера: Base=B590A000, размер=81920, имя = "\SystemRoot\System32\Drivers\Parport.SYS"

а это?
05.05.2009, 17:15
Гриша

Нормально это...
05.05.2009, 17:22
AlexE2009

Спасибо за помощь!
А что посоветуете почитать об авз, чтоб самому разбираться что нормально, а что нет???
06.05.2009, 17:22
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] i:\documents and settings\alex\application data\adobeum\a346d81075266088\a346d81075266088 - [B]Trojan-Downloader.Win32.Mutant.cht[/B] ( DrWEB: Trojan.MulDrop.31200 )[*] i:\windows\system32\drivers\gaopdxtmtndyoygtexrmlsfncpapppactdcnty.sys - [B]Trojan.Win32.Agent2.izz[/B] ( DrWEB: BackDoor.Tdss.115, BitDefender: Gen:Trojan.Heur.TDSS.207C83B3B3 )[/LIST][/LIST]

Текущее время: 00:23. Часовой пояс GMT +3.

Page generated in 0.01300 seconds with 10 queries