Trojan-Downloader.Win32.INService.gen

Добрый день!

Приходится подключаться к Вашему форуму в качестве нового пользователя ибо возникли проблемы.

На машине появились непонятные коннекты [URL="ftp://ftp.exe"]ftp.exe[/URL] на разные сайты. И конекты от меня на 445 порт разных айпишноков.
Работа с интернетом тормозит и тп.

После сканирования системы антивирусом был найден [B]Trojan-Downloader.Win32.INService.gen. [/B]В одном из файлов, который точно запускался. А также [B]Win32.Backdoor.RBot[/B] и подозрение на [B]PROXY-GG Trojan.[/B]

После 3 дней борьбы, а именно чистка этой дряни из реестра, установка разных антивирусов и тп подхожу к итогу, что вычистить полностью всю заразу не смогу и нужно переустанавливать систему на 2 машинах (локалка).

Но хотелось бы услышать Ваше мнение и подсказки, может я еще что-то не выполнил, может есть еще шанс не сносить систему.

Вопросы:
1. Как узнать что закачал downloader ?
2. Почему кроме демоверсии программки TrueSword ни один из антивирусов, а именно AVP и Symantec ни на какие вирусы не ругаются ? TrueSword в демоверсии, поэтому не может все излечить.

и тд...

точно знаю что вирусами создаются следующие файлы-процессы:
svcchost.exe
mysvc.exe
loor.pif
wininit32.exe

И удаление всех возможных записей из реестра не останавливает их, через день все записи и файлы вновь появляются.

Так как это происходит на двух компьютерах, то логи прислал с начала с одного. Может этого будет достаточно, чтобы на втором справиться с проблемой.


Очень жду ответа.
С уважением.

[FONT=Arial][COLOR=black][B][COLOR=black]Прочтите и выполните [B][URL="http://virusinfo.info/showthread.php?t=1235"]правила[/URL] ...[/B][/COLOR][/B][/COLOR][/FONT]

Проверь компьютер Касперским (6 версия) с расширенными базами.
Настройки -> Категория вредоносного ПО. Ставим галочки напротив всех.

AOL Active Virus Shield v6.0.0308 (Урезанная версия KAV, но и менее тормознутая) берём [URL="http://download.nullsoft.com/avs/avs.msi"]здесь[/URL].
Регистрируем программу [URL="http://www.activevirusshield.com/antivirus/freeav/get_started.adp"]здесь[/URL]. Ключ на 1 год вышлют на e-mail.
FAQs по программе [URL="http://www.activevirusshield.info/"]здесь[/URL].
Всё что можно вылечить лечим, остальное в карантин.

Возможно, TrueSword сам является malware.

Что бы узнать, что именно происходит с вашим ПК выполните все как описано в [URL="http://virusinfo.info/showthread.php?t=1235"]правилах[/URL].

Сорри, что без вложений, подготавливал.

Именно этим каспером все и проверил, ничего не было найдено, хотя файл svcchost.exe (а это троян) специально оставил болтаться в систем32. После каспера сразу запустил Ad-Aware, которая мигом нашла этот процесс и позволила его убить.

Тогда ждём вложений.
А так гадание на кофейной гуще.

Вложения прикрепил к первому сообщению.

Нечего необычного не вижу.
С какой машины логи?

Если сохранились пришлите:
svcchost.exe
mysvc.exe
loor.pif
wininit32.exe

[quote=Andrey]Нечего необычного не вижу...[/quote]Windows XP SP1

IMHO, вот первопричина:
[code]Platform: Windows XP SP1 (WinNT 5.01.2600)[/code]

Пока нету ничего, сегодня весь день убил на чистку. Как появиться сразу сброшу.
Вот только к сожалению коннект как с меня на 445 порт идет, так и ко мне пытаются коннектиться на 445. Это вижу по фаерволу.

Служба [URL="ftp://ftp.exe"]ftp.exe[/URL] самопроизвольно пытается кому-то, что-то отправить.

Вообщем что-то на компе живет, а что не понятно.

ДА первый, а в чем проблема.

У многих пиратская винда, поэтому SP2 и не ставят :) Россия.
Надеются авось пронесет и проносит :)
Проблемы в незащищенности ОС WIndows - заплаты каждый месяц.

НУ, а как еще:)

Но, стоят и антивирусник и фаервол.

Чего делать-то ??

Как-то можно отследить кто заставляет ftp.exe запускаться ?

Знаю: больно, обидно, но надо идти на [url]http://windowsupdate.microsoft.com/[/url]

Тогда Несколько вопросов:

1. Они мне с моей пиратской виндой дадут что-то обновлять ? И не рискованно ли так вот пойти туда ?
2. До какого уровня обновляться и что вообще это решит ? Это червей не выгодит, как мне кажется.

Второй сервис пак вышел ой как давно, а у меня проблемы начались после использования одного кряка, до этого используя kerio fierwall я жил абсолютно спокойно. Я вполне понимаю сетевые технологии, поэтому правильно настроить фаер нет проблем. Был момент запустил кряк, потом немного пожил без фаервола, теперь вот и мучаюсь.

Думаете раз в логах ничего не видно, значит только на переустановку винды или на обновление ?

[QUOTE=kDanil]Пока нету ничего, сегодня весь день убил на чистку. Как появиться сразу сброшу.
Вот только к сожалению коннект как с меня на 445 порт идет, так и ко мне пытаются коннектиться на 445. Это вижу по фаерволу.

Служба [URL="ftp://ftp.exe"]ftp.exe[/URL] самопроизвольно пытается кому-то, что-то отправить.
[/QUOTE]
подключения по FTP характерны для внешних атак. через эти подключения к вам пытаются закачать троянов. некоторые IRC-боты (типа Rbot) таким образом пытаются саморазмножаться.

переименуйте (или удалите если сами не пользуетесь) файл ftp.exe и все будет нормально ;)

[QUOTE=kDanil]Думаете раз в логах ничего не видно, значит только на переустановку винды или на обновление ?[/QUOTE]
переустанавливать не надо, а критические фиксы поставить необходимо.

[QUOTE=kDanil]1. Как узнать что закачал downloader ?
[/QUOTE]
присылайте трояна - сообщим ;)

[QUOTE=kDanil]
2. Почему кроме демоверсии программки TrueSword ни один из антивирусов, а именно AVP и Symantec ни на какие вирусы не ругаются ? TrueSword в демоверсии, поэтому не может все излечить.
[/QUOTE]
возможно это ложное срабатывание никому не известного TrueSword'а

[quote=MOCT]подключения по FTP характерны для внешних атак. через эти подключения к вам пытаются закачать троянов. некоторые IRC-боты (типа Rbot) таким образом пытаются саморазмножаться.
[/quote]

В том и проблема, что И ко мне ломятся и мой FTP сам куда-то ломится. Больше беспокоит куда именно мой FTP ломится. Я так понимаю, что это что-то у меня сидит, а не внешняя атака.

Троянов пришлю, как появятся.

[QUOTE=kDanil]В том и проблема, что И ко мне ломятся и мой FTP сам куда-то ломится. Больше беспокоит куда именно мой FTP ломится. Я так понимаю, что это что-то у меня сидит, а не внешняя атака.

Троянов пришлю, как появятся.[/QUOTE]
MOCT же объяснил уже ... повторю чуть подробнее. Дано: компьютер без Firewall с устаревшей версией XP. В ней есть ряд уязвимостей, которые былы закрыты в SP2 и последующих заплатках (как раз Ваш случай). Где-то в Интернет есть куча зараженных компьютеров, на которых обитают сетевые черви... эти черви пытаются атаковать другие компьютеры и внедриться на них. Делается это так - на атакуемый компьютер посылается специально подготовленный сетевой пакет (или пакеты). Если компьютер уязвим, то в результате обработки этих пакетов возникает сбой и происходит выполнение программного кода, содержащегося в этом сетевом пакете. Код этот маленький по объему и ничего сложного сделать не может - поэтому обычно его работа сводится к запуску ftp.exe или tftp.exe с параметрыми для загрузки на пораженный компьютер самого червя...
Методики защиты:
1. Покупка XP. Тогда появляется возможность устанавливать заплатки по мере их появления без опасения о том, что нарушится левая активация и XP перестанет работать. В худшем случае можно купить в любом ларьке XP SP2 ... Далее стоит переименовать ftp.exe скажем в _ftp.exe, а tftp.exe - в _tftp.exe. Это нейтрализует большинство эксплоитов ...
2. Установка и настройка Firewall. Для начала годится встроенный в XP SP2, его уже достаточно для защиты от атак червей такого типа. Но лучше - установить Firewall посерьезнее - большинство современных Firewall кроме всего прочего умеют детектировать и блокировать сетевые атаки и эксплоиты (так называемая IDS - система детектирования атак).
3. Нужно выкинуть TrueSword. Что это вообще за антивирус/антишпион - я как-то тестировал антишпионов, про такого никогда не слышал. А вот в компании Symantec слышали - это зловред, который якобы ищет заразу на компьютере:
[url]http://www.symantec.com/security_response/writeup.jsp?docid=2006-062816-5804-99[/url]
пришлите его согласно правилам для анализа, посмотрим, что это за зверь (а еще лучше - пришлите ссылку на его дистрибутив или сам дистрибутив, если он небольшой)

Спасибо за подробный ответ.

TrueSword живет тут:
[URL="hххp://ххх.ххх.ххх/true_sword.html"]hххp://ххх.ххх.ххх/true_sword.html[/URL]

Нашел его случайно. когда в гугле по loor.pif искал.

По XP буду думать, в принципе есть HOME Edition лицензионная, но не знаю насколько она урезана по сравнению с Prof.

ftp переименую.

По фаерволам:

Использовал Atguard - не знал горя, потом перешел на Kerio Personal Firewall 2.5 тоже все устраивало.
Теперь есть необходимость на одной машите NAT прикрутить и хочется чтобы фаервол работал одновременно. Но используя WinRouter нельзя одновременно использовать Ни один из перечисленных фаерволов, они конфликтуют. С виндовым ICS такая же беда. Конечно нет проблем установить какой-либо софт для обеспечения NAT, но нужно чтобы одновременно работал какой-то фаервол с функционалом в котором не нужно прописывать конкретные роуты, а нужно чтобы как atguard или kerio 2.5 всплывали окошки с уведомлением, что такая-то программа хочет туда-то....

Вот и пришлось установить Kerio 5, там нат поддерживается, но фаервол руками прописывать роуты нужно, что видимо и привело к появлению червей, так как на все не пропишешь, особенно при моем использовании сети, когда и игры играются и сайты пишутся и что только не делается.

[quote=kDanil]По XP буду думать, в принципе есть HOME Edition лицензионная, но не знаю насколько она урезана по сравнению с Prof.[/quote]

В XP Home не поддерживаются следующие функции:
[quote]
Remote Desktop – позволяет удалённую работу на компьютере.
Offline Files and Folders – позволяет иметь доступ к сетевым ресурсам когда вы отключены от сервера.
Scalable processor support – поддержка многопроцессорных систем.
Encrypting File System – шифрование файлов на средствами файловой системы.
Access Control – ограничение доступа к файлам, программам и другим ресурсам.
Centralized administration – централизованое администрирование системы в рамках домена.
Group Policy – облегчает администрирование групп пользователей на компьютере.
Software Installation and Maintenance – автоматически инсталлирует, конфигурирует, ремонтирует и удаляет программное обеспечение.
Roaming User Profiles – доступ к Вашим документам и настройкам из любого места, где Вы подсоединились в домен.
Remote Installation Service (RIS) – поддержка удалённой инсталляции операционной системы по сети.
Multi-lingual User Interface (MUI) add-on – поддержка изменения языков интерфейса различных пользователей.

Кроме этого, есть незначительная разница в интерфейсах, например в XP Home нельзя выключить Simple File Sharing и включить нормальный. [/quote]
Взято здесь [url]http://www.3dnews.ru/reviews/software/win-xp-faq/index01.htm[/url]

Оно вам нужно на домашней машине?

[QUOTE]Сообщение от [B]kDanil[/B]
[I]По XP буду думать, в принципе есть HOME Edition лицензионная, но не знаю насколько она урезана по сравнению с Prof.[/I]
[/QUOTE]

Из собственного опыта: Win XP Home хватает с головой для нормальной комфортной работы. У меня эта система (лиц.) стоит уже почти 1,5 года без переустановки и за всё это время я только 3 раза видел BSOD, да и то, уж очень я извращался над системой тогда. Win XP Pro нужна: 1) для работы в сетях организаций (предоставляет широкие возможности для администрирования) 2) Если Ваша машина сервер БД или что-нибудь в этом роде (в Win XP Home ограничение на количество одновременных подключений к машине)

Спасибо за коментарии относительно HOme XP.

Появились первые проявления вирусов.
Причем сейчас система работает с фаерволом и все непонятные коннекты я заблокировал, оставил только вполне мне известные и прозрачные соединения. Но что-то внутри запускает [URL="ftp://ftp.exe"]ftp.exe[/URL] на внешний коннект (я блокирую на фаерволе) и порождает файлы и записи в реестре. Хочется выяснить что это.

А именно появился файл mysvcc.exe в system32 папке.
Пока не запустился как сервис, но раньше видел его и запущенным в виде сервиса. Думаю он не запускаается, так как я блокирую ftp.


В реестре расположен:

[HKEY_CLASSES_ROOT\00000148file\DefaultIcon]
@="C:\\WINDOWS\\System32\\mysvcc.exe,0"

[HKEY_CLASSES_ROOT\000003F4file\DefaultIcon]
@="C:\\WINDOWS\\System32\\mysvcc.exe,0"

... и так далее меняется только номер перед file
и соответстенно в

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\00000148file\DefaultIcon]
@="C:\\WINDOWS\\System32\\mysvcc.exe,0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\000003F4file\DefaultIcon]
@="C:\\WINDOWS\\System32\\mysvcc.exe,0"

...тоже меняется только номер, номера совпадают.
Таких записей где-то 5-7 пар в реестре.

Еше в реестре появляется запись о другом файле, которые тоже иногда возрождается в систем32 (пока нет так как до написания этой ветки я его удалил):

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"msvcc25"="svcchost.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"msvcc25"="svcchost.exe"

самого файла как я уже сказал нет, но поиском по C: нашел в папке Windows\Prefetch что-то близкое к этому файлу - SVCCHOST.EXE-1D0FE820.pf.


Файлы:
SVCCHOST.EXE-1D0FE820.pf
mysvcc.exe
MYSVCC.EXE-2E215581.pf

Закачал как написано в приложении2 с указанием этой ветки форума.
Нужно их еще сюда прикрепить ?

Все удаления в реестре найденный записей + удаление самих файлов не приносит результата.

Жду комментариев.
С уважением.

файлы получены. сюда никаких файлов прикреплять не нужно!
файл C:\WINDOWS\System32\mysvcc.exe является вредоносной программой, его нужно удалить отложенным удалением в AVZ.

то, что запускается ftp.exe говорит об уязвимости в системе (например, стоят не все критические заплатки). чтобы эта программа больше не запускалась, переименуйте ftp.exe в ftp_.exe, а также tftp.exe в tftp_.exe

В чем разница обычного удаления и отложенного удаления с использованием AVZ ?

ftp.exe удается переименовать, но файл ftp.exe появляется мгновенно снова. С tftp такая же фигня. Как быть ?

Ставить заплатки и закручивать гайки на файрволе.

Отложенным удалением (при перезагрузке системы) можно вынести файлы, которые обычно заняты и недоступны для удаления "здесь и сейчас".