Помогите - взлом webmoney

Printable View

14.03.2010, 22:02
rider-x

Помогите - взлом webmoney

Доброе время суток!
Проблема такого плана - пару дней назад при очередном запуске Вебмани Кипера, появилось сообщение "Серьезная ошибка при приеме команды". Исправить локально(переинициализировать) не удалось. После обращения в саппорт, стало ясно, что кипер был взломан. Деньги с кошельков пропали.
Помогите, пожалуйста, найти и обезвредить троян.
14.03.2010, 22:53
AndreyKa

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\xgfqsw.dll','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\jlsv.tmp 0yAAAAAAAA','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\jlsv.tmp','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Drivers32','midi9');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\jlsv.tmp 0yAAAAAAAA');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\jlsv.tmp');
RegKeyStrParamWrite('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows','AppInit_DLLs', '');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b]Прислать запрошенный карантин[/b][/color], вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.
14.03.2010, 23:09
rider-x

Скрип выполнил, файлы из карантина выслал.
Прикрепляю новый лог диагностики
14.03.2010, 23:28
AndreyKa

И в логе и в карантине чисто. Троян, возможно, самоликвидировался. Это для них характерно: [url]http://virusinfo.info/showthread.php?t=71976[/url]
Но посмотрите в папке с WebMoney Keeper нет ли файла inetmib1.dll.
14.03.2010, 23:53
rider-x

Нет, в папке с кипером нет. Есть в папках \windows\system32\dllcache\ и \windows\system32
15.03.2010, 00:05
AndreyKa

Скорее всего, это уже чистый системный файл. Но попробуйте прислать его в zip-архив с паролем virus через ссылку [color=red][b]Прислать запрошенный карантин[/b][/color] вверху этой темы.
15.03.2010, 00:34
rider-x

Прислал - из папки windows\system32.
15.03.2010, 00:50
AndreyKa

Файл чистый.
15.03.2010, 00:55
rider-x

Спасибо!
Возможно, дадите какие-то рекомендации, чтобы уберечься от подобного в будущем? Я имею ввиду не рекомендации общего плана(ознакомился в этой теме - [url]http://virusinfo.info/showthread.php?t=1431[/url]), а именно защиту от взлома кипера.
15.03.2010, 07:56
AndreyKa

Если бы вы соблюдали общие рекомедации, то всё было бы в порядке.
16.03.2010, 00:40
rider-x

Общие рекомендации, который приведены по ссылке выше? ([url]http://virusinfo.info/showthread.php?t=1431?[/url])
16.03.2010, 11:26
AndreyKa

Нет, этого не достаточно. Я имел ввиду это: [url]http://virusinfo.info/showthread.php?t=30339[/url]
17.03.2010, 01:12
rider-x

Зарегистрировал себе новый WMID, на время восстановления доступа к старому.
Сегодня на него пришла определенная сумма - и опять была попытка взлома. Пришло письмо о попытке активировать кипер с другого IP.
Троян все еще в системе :(
Помогите найти и уничтожить.
17.03.2010, 08:44
AndreyKa

Установите AVZPM через меню в AVZ.
Перезагрузите компьютер.
Запустите Keeper.
Обновите базы AVZ.
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

Выполните в AVZ скрипт из файла [url=http://df.ru/~kad/ScanVuln.txt]ScanVuln.txt[/url] и приложите к этой теме файл avz_log.txt из под-папки [b]log[/b].
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедится, что уязвимости устранены.
17.03.2010, 14:31
rider-x

AndreyKa, саппорт вебмани предлагает переустановить ОСь. Я тоже склоняюсь к этому варианту. После переустановки запущу [URL="http://df.ru/%7Ekad/ScanVuln.txt"]ScanVuln.txt[/URL], установлю обновления и приложу к этой теме его лог.

Или лучше все-таки сначала попробовать выполнить шаги, описанные вами? С целью обнаружения этой гадости и для того, чтобы было понятно с чем бороться не только мне, а и другим пользователям форума и вебмани в частности.
17.03.2010, 15:18
AndreyKa

[B]rider-x[/B], делайте так, как считаете нужным.
17.03.2010, 19:34
rider-x

Выполнил следующие указание:
[QUOTE]
Установите AVZPM через меню в AVZ.
Перезагрузите компьютер.
Запустите Keeper.
Обновите базы AVZ.
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.
[/QUOTE]
Единственное, что новый WMID уже заблокирован поэтому кипер висит запущенным на момент логина.
Лог прикрепил
17.03.2010, 21:06
AndreyKa

Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
QuarantineFile('C:\Program Files\WebMoney\*.dll','');
end.
[/code]
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b]Прислать запрошенный карантин[/b][/color], вверху этой темы.
17.03.2010, 21:12
rider-x

Сделал.
Вот протокол выполнения скрипта:

[CODE]Ошибка карантина файла, попытка прямого чтения (C:\Program Files\WebMoney\*.dll)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Program Files\WebMoney\*.dll)
Карантин с использованием прямого чтения - ошибка
Выполнен карантин файла C:\Program Files\WebMoney\bexth.dll
Выполнен карантин файла C:\Program Files\WebMoney\DefaultKSP.dll
Выполнен карантин файла C:\Program Files\WebMoney\Enum.dll
Файл успешно помещен в карантин (C:\Program Files\WebMoney\gausenum.dll)
Выполнен карантин файла C:\Program Files\WebMoney\gausenum.dll
Выполнен карантин файла C:\Program Files\WebMoney\gdiplus.dll
Файл успешно помещен в карантин (C:\Program Files\WebMoney\WMClient.dll)
Выполнен карантин файла C:\Program Files\WebMoney\WMClient.dll
[/CODE]
17.03.2010, 21:31
AndreyKa

В карантине 2 файла, у обоих действительная цифровая подпись. Больше мне придраться не к чему. :(
PS. Вы сменили пароль к почте, которую использовали для активации WebMoney?
17.03.2010, 21:34
rider-x

Может вручную скопировать *.dll из папки и приложить?

PS: да, сменил. сразу после того, как во время работы нового кипера пришло сообщение о попытке активировать с другого IP. и еще одно: не знаю насколько сыграло моё воспаленное воображение, однако когда я заполнял очередную заявку в арбитраж - в форме заявки посреди текста неожиданно появились случайные символы - что-то вроди "ыывывыыыыыыыыыыыывыыыыв". После этого я сменил еще пару паролей. Собираюсь переустановить систему и сменить пароли на все что можно :(
17.03.2010, 22:16
AndreyKa

[QUOTE='rider-x;605554']Может вручную скопировать *.dll из папки и приложить?[/QUOTE]
Не надо.[QUOTE='rider-x;605554']Собираюсь переустановить систему и сменить пароли на все что можно[/QUOTE]Действуйте.
18.03.2010, 22:16
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]