Printable View
С трекера был скачан файл, проверен др.веб5 и запущен. В процесах он размножился на два - один скопировался в папку виндовс и другой остался в папке запуска, оба стали скрытыми. После запуска ос сама перезапустилась. После этого от имени системных процессов открывались около двадцати подключений на разные сайты. В фаерволе появилась помимо vоей локальной сети еще такого вида: fe80::1; fe80::20a:e6ff:fec5:dfda.
Что за файл скачали? Кряк какой-нибудь? ;)
Пришлите его, плиз, по правилам (приложение 2 и 3).
В логах ничего подозрительного.
Файл был программой для настройки торрента ((( .
Его я вообще удалил в процесе борьбы ))) Но в долгих поисках нашел в сети такой же, его и отправил вам.
Я его отправлял на [url]http://www.virustotal.com/ru/[/url]
получил 2 из 41:
CAT-QuickHeal 10.00 2009.08.22 (Suspicious) - DNAScan
McAfee-GW-Edition 6.8.5 2009.08.22 Heuristic.LooksLike.Worm.IRCBo.J
Самый неприятный факт это загадочный мутант сети
fe80::1; fe80::20a:e6ff:fec5:dfda.
Так его видит оутпост. Можете сказать что это?
[QUOTE=align;454354]Можете сказать что это?[/QUOTE]Торрент :) Вы же знаете принцип работы торрента :)
Присланный файл чистый.
Да знаю ... но как то не подумал. ((( Что-нибудь еще можно сделать?
А что делает тот файл что я прислал?
[QUOTE=align;454360]А что делает тот файл что я прислал?[/QUOTE]Вы должны были задать такой вопрос ПЕРЕД тем, как скачивать и устанавливать какой-либо файл :) Почитайте на том ресурсе, откуда Вы его брали.
А я лично в торренты не играю, по названию - ускоритель торрентных соединений. :>
[QUOTE='Rene-gad;454396']Вы должны были задать такой вопрос ПЕРЕД тем, как скачивать [/QUOTE]
Безусловно актуальный совет на все времена. ))))
К сежалению трояны выкладывают как правило без ридми...
А по действию это троян.
[QUOTE=align;454410]К сежалению трояны выкладывают как правило без ридми...[/QUOTE]Почему бы не пользоваться проверенными bittorrent - приложениями? Например плаг-ин в браузере Опера чем плох? 8)
Да ладно, я знаю что поступил как лох, хватит меня пинать, лучше помогите материально. )))
А для торрента я пользуюсь utorrent, его значек можно увидеть у троя который я прислал.
[QUOTE=align;454439]
А для торрента я пользуюсь utorrent[/QUOTE]Ну и чудненько :) Какие еще вопросы/проблемы и т.д.?
ПС: никто Вас не пинает... :)
[QUOTE='Rene-gad;454451']Какие еще вопросы/проблемы и т.д.? [/QUOTE]
помогите удалить трояна, если можете.
[QUOTE=align;454461]помогите удалить трояна, если можете.[/QUOTE]Не видно никакой троянской активности в логах.
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=454444&postcount=3"]Avenger[/URL]
Логи Avenger и Gmer
Ничего зловредного в логах нет.
Отправил файл доктору вебу.
Доктор Веб сообщает:
[QUOTE]
Ваш запрос был проанализирован. Соответствующая запись добавлена в вирусную базу Dr.Web и будет доступна при следующем обновлении.
Угроза: Trojan.Siggen.3559
Спасибо за сотрудничество.
-- С уважением, Служба вирусного мониторинга ООО "Доктор Веб"[/QUOTE]
[QUOTE=align;454526]Доктор Веб сообщает:[/QUOTE]Доктора тоже ошибаются - любой торрент в принципе зловреден, т.к. открывает доступ к ПК для неавторизировнных пользователей :)
У доктора достаточно большой вирусный опыт чтобы прислушаться к его мнению, к тому же он подтверждает мои опасения, точнее уверенность.
Правда мои поиски путей лечения пока ничем не увенчались, поэтому охота продолжается...
[QUOTE=align;455305]У доктора достаточно большой вирусный опыт чтобы прислушаться к его мнению, к тому же он подтверждает мои опасения, точнее уверенность..[/QUOTE]Я же, напротив, почти уверен, что Др.Веб тут не прав: Вы много видели зловредов, которые распространяются с помощью дигитально подписанных файлов с копирайтами и т.д.? Я - нет :)
В ваших словах есть логика, но согласитесь, после этого:
[QUOTE]В процесах он размножился на два - один скопировался в папку виндовс и другой остался в папке запуска, оба стали скрытыми. После запуска ос сама перезапустилась. После этого от имени системных процессов открывались около двадцати подключений на разные сайты. В фаерволе появилась помимо vоей локальной сети еще такого вида: fe80::1; fe80::20a:e6ff:fec5:dfda.[/QUOTE]
Я не могу спокойно пользоваться сетью, а что делать я не знаю.
Судя по этой странице : [url]http://www.freebsd.org/doc/de_DE.ISO8859-1/books/handbook/network-ipv6.html[/url] , таблица 31-2 Вы имеете дело с резервированными IP-адресами IPv6.
Действительно вы правы, я удалил из системы этот протокол и это сеть исчезла.
Из подозрительных событий есть еще вот это:
[URL=http://radikal.ru/F/s61.radikal.ru/i172/0908/05/56d55586781c.jpg.html][IMG]http://s61.radikal.ru/i172/0908/05/56d55586781ct.jpg[/IMG][/URL]
Это нормально?
[QUOTE=align;455564]
Из подозрительных событий есть еще вот это:
Это нормально?[/QUOTE]Если это: [url]http://www.hostforweb.com/[/url] - Ваше, то ДА :)
Да врде как не мое...
Фаервол все что можно запретил, а вот это значит что соединение с этим хостом не установлено, так?
[QUOTE][System Process]:0 TCP comp:1166 unknown.ord.scnet.net:https TIME_WAIT [/QUOTE]
И еще службы DNS DHCP я отключил, чтобы както ограничить сетевую активность системных процессов.
[QUOTE=align;455582] а вот это значит что соединение с этим хостом не установлено, так?[/QUOTE]У меня другой вопрос: кто/что пытается установить соединение? Или это пинги снаружи?
Мне самому интересно (был вариант что это троянская деятельность).
Вот еще интересно:
[URL=http://radikal.ru/F/s46.radikal.ru/i113/0908/da/7afa64476e8b.jpg.html][IMG]http://s46.radikal.ru/i113/0908/da/7afa64476e8bt.jpg[/IMG][/URL]
[QUOTE=align;455606]
Вот еще интересно[/QUOTE]
Это адрес IANA :[url]http://samspade.org/whois/172.17.100.63[/url]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]