Компьютер заражен? или нет...

Printable View

29.07.2009, 08:41
alivan

Компьютер заражен? или нет...

ОС Windows 2003 r2 ee sp2.
По истечении некоторого времени работы перезагружается. При загрузке очень медленно грузится (может минут 40).Удалось создать логи только скриптом лечения/карантина. При создании скриптом сбора информации зависает на smss.exe. Hijack This виснет на O20 AppInt_DLLsRegistry value...

Логи сделал в безопасном режиме.
29.07.2009, 10:55
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('G:\autorun.inf','');
DeleteFile('G:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи [COLOR="Red"]в нормальном режиме[/COLOR]
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
29.07.2009, 13:50
alivan

Карантин закачал. К сожалению, не могу сделать в нормальном режиме второй лог avz и hijackthis. Первый прикрепил. Может сделать в безопасном режиме?
29.07.2009, 19:14
alivan

Нашел что мешало созданию логов. Логи созданы в нормальном режиме.
29.07.2009, 19:24
Rene-gad

[QUOTE=alivan;439889]Нашел что мешало созданию логов..[/QUOTE]
А что мешало, обновить базы АВЗ, тоже нашли ? ;)

Проверьте ещё содержимое доверенных зон в установках интернета: там у Вас чего только нет...

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('nqojrd');
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
DeleteService('nqojrd');
DeleteFileMask('C:\WINDOWS\system32','*.tmp',false);
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('nqojrd');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]
29.07.2009, 20:06
alivan

Карантин закачал. Лог gmer прилагаю. Базы не обновил по глупости.
29.07.2009, 20:07
Rene-gad

[QUOTE=alivan;439918]Лог gmer прилагаю.[/QUOTE]Вы на кнопку SCAN нажимали?
29.07.2009, 20:33
alivan

Конечно. Повторил сканирование. Прикрепил скрины. Первый скрин при запуске gmerа.
29.07.2009, 22:45
pig

Терминальный сервер, понятно...
29.07.2009, 22:55
alivan

Вобщем-то да.
29.07.2009, 23:00
V_Bond

[QUOTE=alivan;440006]Вобщем-то да.[/QUOTE]

вобщем -то так не годится ....
29.07.2009, 23:02
alivan

[QUOTE=V_Bond;440009]вобщем -то так не годится ....[/QUOTE]
В каком смысле?
29.07.2009, 23:18
Rene-gad

[QUOTE=alivan;440010]В каком смысле?[/QUOTE]В смысле: логи нужны из локальной сессии.
29.07.2009, 23:24
alivan

Логи из локальной сессии. Непосредственно на серевере делаю под Администратором. Я имел ввиду, что поднят терминальный сервер.
29.07.2009, 23:26
Rene-gad

[QUOTE=alivan;440023]Логи из локальной сессии. [/QUOTE]Gmer тоже?
29.07.2009, 23:28
alivan

Все! GMER тоже.
29.07.2009, 23:46
Rene-gad

[QUOTE=alivan;440027]GMER тоже.[/QUOTE]OK, сделайте повторные логи АВЗ + Hijackthis, может, что Гмер на серваках тоже свои особенности имеет.
30.07.2009, 00:07
alivan

Новые логи.

С логами все в порядке?
30.07.2009, 20:18
Rene-gad

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('vsqrcjl');
BC_DeleteSvc('ymkrebof');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Это только надводная часть айсберга, подводную можно увидеть только через ГМЕР, а как мне удалось дочитаться - на серваках он не работает.

[QUOTE]The latest version of GMER 1.0.15.15011
GMER runs only on Windows NT/W2K/XP/VISTA[/QUOTE]

Попробуйте этим тулом лог сделать: [url]http://rootrepeal.googlepages.com/[/url]
Если последняя версия не запустися - берите предыдущую и т.д.
30.07.2009, 20:38
V_Bond

[QUOTE]а как мне удалось дочитаться - на серваках он не работает.[/QUOTE]
работает , работает ....
30.07.2009, 20:39
Rene-gad

[QUOTE=V_Bond;440513]работает , работает ....[/QUOTE][url]http://virusinfo.info/showpost.php?p=439941&postcount=8[/url]
30.07.2009, 20:43
V_Bond

проверено много- много раз ...
похоже в этот раз запускалось из - под локального беспарольного админа ( а не доменного) ....
30.07.2009, 21:24
alivan

Совершенно верно. Локальный, беспарольный админ. А как надо?
Вернее заходил локально, под админом, без пароля.
30.07.2009, 21:42
V_Bond

[QUOTE]А как надо?[/QUOTE]
зайдите под доменным админом ...
30.07.2009, 22:01
alivan

Захожу под учетной записью Администратор. Она входит в группу Администраторы домена. Это основная группа.
30.07.2009, 22:12
alivan

Лог сделаный rootrepeal.
30.07.2009, 23:28
V_Bond

[QUOTE]Захожу под учетной записью Администратор.[/QUOTE]
.... Администратор сделайте administrator исчезнет масса глюков ...
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\drivers\vsqrcjl.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ymkrebof.sys');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\nxkafakj.sys');
BC_ImportDeletedList;
BC_DeleteSvc('vsqrcjl');
BC_DeleteSvc('ymkrebof');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи
30.07.2009, 23:59
Rene-gad

Посмотрите ещё тут: [url]http://virusinfo.info/showpost.php?p=337062&postcount=1[/url]
31.07.2009, 00:10
alivan

Как сделать administrator? Просто создать учетную запись? Я сделал admin (по-короче).Gmer так и не сделал лог. Переименовать встроенную запись я думаю не получиться. Сервер русский.
Логи...

Лог VBA32

[QUOTE='Rene-gad;440509']Это только надводная часть айсберга[/QUOTE]

Похоже это тот айсберг, который потопил Титаник...
01.08.2009, 10:38
Rene-gad

[QUOTE=alivan;441158]Похоже это тот айсберг, который потопил Титаник...[/QUOTE]
Возможно... 8)
По крайней мере логи ничего плохого не показывают.
Отсюда могут идти только 2 дороги:
- вирус очень хорошо маскируется. Тут поможет только переустановка системы.
- вирус тут ни при чём, ошибки системного плана. Тут может помочь консультация у специалиста, который получит прямой доступ к компьютеру, установка/переустановка последнего сервис пака или переустановка системы.
02.08.2009, 10:38
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] g:\autorun.inf - [B]Net-Worm.Win32.Kido.ih[/B] ( DrWEB: Win32.HLLW.Shadow, BitDefender: Worm.Autorun.VHG )[/LIST][/LIST]