возможно Trojan-Proxy.Win32.Dlena.bv

помогите опознать и удалить заразу
по какому-то событию (НЕ сразу после включения компа) начинает ломиться в интернет и забивает весь канал... пока не заметил, с компа отослалось 350Мб спама, потом прикрыл на сервере выход с этой машины, пролечил cureit!'ом - вроде притихло... сегодня открыл доступ, смотрю - опять ломанулось (лезет много куда на 25ые порты)... прикрыл нафиг, и понял, что одним вэбом тут не обойтись... часть удалил AVZ'ой, часть - hijackthis... так что файлов немного больше... и решил написать вам...

заранее спасибо за содействие
ps: в базу spamcop.net уже добавили... :о(

Уберите файл virusinfo_cure.zip с форума!!!

[quote=AndreyKa;94054]Уберите файл virusinfo_cure.zip с форума!!![/quote]

извините, убрал

Выполнить скрипт, содержимое карантина прислать по правилам

[CODE]begin
QuarantineFile('c:\windows\explorer.exe','');
QuarantineFile('C:\WINDOWS\system32\rpcc.dll','');
QuarantineFile('C:\Program Files\Common Files\dbmio32.dll','');
QuarantineFile('C:\WINDOWS\system32\msnetax.dll','');
end.[/CODE]

[quote=Geser;94057]Выполнить скрипт, содержимое карантина прислать по правилам
[/quote]
done.
Файл сохранён как 070202_182323_virus_45c3576b7870f.zip

и на всякий случай логи того, что я УЖЕ удалил hijack'ом

Один троян обнаружиился.
C:\WINDOWS\system32\rpcc.dll
Остальные файлы в проверке

[quote=Geser;94073]Один троян обнаружиился.
C:\WINDOWS\system32\rpcc.dll
Остальные файлы в проверке[/quote]
ага... значит я его правильно удалил... и AVZ на него ругался изначально...
ждут дальше...
вопрос: как эта зараза вообще могла на комп попасть? пользователь работает только в САПР + смотрит погоду на гисметео (на десктопе линк), мужику 65лет, врят ли он стал бы где-то еще лазить... хотя, кто знает %)

C:\Program Files\Common Files\dbmio32.dll это тоже судя по всему кусок трояна. Попасть мог через уязвимость какую-то

[quote=Geser;94076]C:\Program Files\Common Files\dbmio32.dll это тоже судя по всему кусок трояна. Попасть мог через уязвимость какую-то[/quote]
файло удалю...
уязвимость, за натом? скорее всего кто-то что-то где-то не там все же ткнул... :о/

Уязвимоть в браузере. И тыкать не нужно. Достаточно зайти на зараженную страницу.

[quote=Geser;94079]Уязвимоть в браузере. И тыкать не нужно. Достаточно зайти на зараженную страницу.[/quote]
ну да... наверное...
я так понимаю, все остальное в норме или на рассмотрении?

На рассмотрении. Эксплорер похоже пропатченый. Точно пока не могу сказать.

если не сильно заняты, можно в двух словах принцип работы? эта ерунда управляется по сети и базы рассылок и, собсно, самих писем получает постоянно? или оно хранит все на диске? можно ли "вычислить" управляющий компьютер и просто заблокировать доступ его в свою сеть? таким образом даже если кто-то заразится, массовой рассылки можно избежать... или у него какой-то более хитрый механизм работы?

[QUOTE=Warwar;94090]если не сильно заняты, можно в двух словах принцип работы? эта ерунда управляется по сети и базы рассылок и, собсно, самих писем получает постоянно? или оно хранит все на диске? можно ли "вычислить" управляющий компьютер и просто заблокировать доступ его в свою сеть? таким образом даже если кто-то заразится, массовой рассылки можно избежать... или у него какой-то более хитрый механизм работы?[/QUOTE]
Не в курсе как конкретно этот троян работает.
c:\windows\explorer.exe действительно патченый его нужно заменить на чистый, потом удалить
C:\Program Files\Common Files\dbmio32.dll
C:\WINDOWS\system32\rpcc.dll
если они опять появятся.

[quote=Geser;94092]Не в курсе как конкретно этот троян работает.
c:\windows\explorer.exe действительно патченый его нужно заменить на чистый, потом удалить
C:\Program Files\Common Files\dbmio32.dll
C:\WINDOWS\system32\rpcc.dll
если они опять появятся.[/quote]
огромное спасибо... буду бороться дальше )
если не сложно, объясните как выудить из дистрибута чистый эксплорер?.. я как-то больше по 98ой... в XP не сильно знаю...

[QUOTE=Warwar;94093]огромное спасибо... буду бороться дальше )
если не сложно, объясните как выудить из дистрибута чистый эксплорер?.. я как-то больше по 98ой... в XP не сильно знаю...[/QUOTE]
Если есть фирменный диск Microsoft с виндой - можно выполнить команду [b]Sfc /scannow[/b] она сама выудит нужный файл, если нет - ищите в каталоге файл explorer.ex_ потом распакйте файл - [b]expand explorer.ex_[/b]

[quote=RiC;94099]Если есть фирменный диск Microsoft с виндой - можно выполнить команду [B]Sfc /scannow[/B] она сама выудит нужный файл, если нет - ищите в каталоге файл explorer.ex_ потом распакйте файл - [B]expand explorer.ex_[/B][/quote]
спасибо

а можете в общих чертах объяснить, как определяется степень зараженности того или иного файла?.. неужели прямо полным реверс-инжиниригом? или есть какие-то экспресс-тесты?.. интерес не пустой... хочется понять, что бы а) потом не задавать лишних вопросов, б) помочь кому-то попавшему в подобную ситуацию...
как я уже понял, вэб почему-то не сильно хорошо справляется с подобными вещами.. :о/

[QUOTE=Warwar;94272]а можете в общих чертах объяснить, как определяется степень зараженности того или иного файла?.. неужели прямо полным реверс-инжиниригом? или есть какие-то экспресс-тесты?.. [/QUOTE]
Самый простой вариант - залить подозреваемого на [url]www.virustotal.com[/url], из представленных на нем полутора десятков антивирусов есть шанс что у кого-то подозреваемый уже есть в базе.
Для исполняемых файлов на сайте Norman есть Sandbox, можно закачать к ним, качество этого "автомата" весьма среднее, но с простым трояном он разобраться способен.

[QUOTE=RiC;94281]Самый простой вариант - залить подозреваемого на [url]www.virustotal.com[/url], из представленных на нем полутора десятков антивирусов есть шанс что у кого-то подозреваемый уже есть в базе.
Для исполняемых файлов на сайте Norman есть Sandbox, можно закачать к ним, качество этого "автомата" весьма среднее, но с простым трояном он разобраться способен.[/QUOTE]
а если эти все ребята сказали, что все ОК, то что?

[QUOTE=Warwar;94305]а если эти все ребята сказали, что все ОК, то что?[/QUOTE]
Простых тестов в свободном доступе, сколько мне известно, больше нет (если не считать аналогов Virustotal, таких как Jotty), поэтому или Вам придется или удовлетворится полученным результатом или послать подозреваемого аналитиком в Вируслаб (кстати вируслабы и КАВ и Web обычно отписываются о результатах).

[QUOTE=RiC;94316]Простых тестов в свободном доступе, сколько мне известно, больше нет (если не считать аналогов Virustotal, таких как Jotty), поэтому или Вам придется или удовлетворится полученным результатом или послать подозреваемого аналитиком в Вируслаб (кстати вируслабы и КАВ и Web обычно отписываются о результатах).[/QUOTE]
т.е. СВОИ секреты работы вы не рассказываете? )
в любом случае, огромное спасибо за помощь, заразу-таки похоже удалось удавить )

еще вопрос... не знаю, в тему или не совсем... недавно искал себе считалку для траффика, домой, скачал BMExtreme 2.48... не пользуйте, мой вам совет... сканит комп при старте (кэш IE и history IE как минимум) и постоянно держит коннект с googl'ом... интересно, зачем :о/ нашлось только конкретным разбирательством с тем, чем-таки занимается прога при старте... так вот, ни один из антивирусов ничего подозрительного не обнаруживает... а это, как минимум, SpyWare... сейчас залил это файло на virustotal... тоже 0 эффекта... кто-нить вообще на уровне эвристики это дело отлавливает?.. т.е. БЕЗ установки... понятно, что когда прога работает и постоянно куда-то ломится, это и без антивируса видно... а вот не ставя?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\common files\\dbmio32.dll - [B]Trojan-Proxy.Win32.Pixoliz.ib[/B] (DrWEB: Trojan.Packed.76)[*] c:\\windows\\explorer.exe - [B]Trojan.Win32.Patched.k[/B][*] c:\\windows\\system32\\msnetax.dll - [B]Trojan.Win32.Msnetax.f[/B] (DrWEB: Trojan.Sender)[*] c:\\windows\\system32\\rpcc.dll - [B]Trojan-Proxy.Win32.Dlena.bv[/B] (DrWEB: Trojan.Spambot)[/LIST][/LIST]