руткит или вирус, проблемы с ndis.sys и др

Printable View

Показывать 40 сообщений этой темы на одной странице

01.04.2007, 23:35
_geORge_

руткит или вирус, проблемы с ndis.sys и др

Здравствуйте!
Ноут стал очень долго грузится, и вылетал в синий экран с ndis.sys эту ветку прочитал ([URL]http://virusinfo.info/showthread.php?t=7912&highlight=ndis.sys[/URL]) ndis.sys заменил из дистрибутива - в синий экран больше не вылетает, но и никакие сетевые устройства не распознает. обновленные драевера тоже не дает ставить.
все по инструкции сдалал - файлы в приложении, также и ndis.bak залил.
Очень жду помощи! Завтра работать надо.
Спасибо, заранее!
01.04.2007, 23:45
_geORge_

Да еще, стоит SAV после перезагрузки не загружается и сканировать систему не дает (один раз, между двумя-тремя перезагрузками дал систему просканировать, но ничего не нашел).
И каждый раз перед перезагрузкой сообщение выводится - программа Sample не отвечает с предложением завершить сейчас (3 раза подряд), потом ccApp и в конце Symantec AntiVirus.
01.04.2007, 23:47
_geORge_

Про hijack забыл.
01.04.2007, 23:54
Muffler

AVZ -> Файл -> Выполнить скрипт:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\ClientCpl.cpl','');
QuarantineFile('C:\WINDOWS\System32\ipv6mons.dll','');
QuarantineFile('iwpdgina.dll','');
QuarantineFile('hblogon.dll','');
QuarantineFile('C:\WINDOWS\System32\mmrtkrnl.exe','');
QuarantineFile('C:\WINDOWS\System32\ZCfgSvc.exe','');
QuarantineFile('C:\WINDOWS\System32\LgNotify.dll','');
QuarantineFile('C:\WINDOWS\System32\DLGPC.DLL','');
QuarantineFile('C:\WINDOWS\Installer\{AC76BA86-1033-0000-7760-000000000002}\SC_Acrobat.exe','');
QuarantineFile('mmrtkrnl.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\DeviceLockDriverHlp.SYS','');
QuarantineFile('C:\WINDOWS\System32\Drivers\DeviceLockDriver0.SYS','');
QuarantineFile('C:\WINDOWS\System32\LSAWRAPI.dll','');
QuarantineFile('C:\WINDOWS\System32\iwpdgina.dll','');
QuarantineFile('C:\WINDOWS\system32\hblogon.dll','');
QuarantineFile('C:\WINDOWS\system32\ASWL2K.exe','');
QuarantineFile('C:\Program Files\Active Desktop Calendar\mousehook.dll','');
QuarantineFile('c:\windows\system32\aswlsvc.exe','');
QuarantineFile('c:\windows\system32\aswl2k.exe','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(false);
end.[/CODE]

После перезагрузки, запаковать все содержымое папки [B]Quarantine[/B] в архив с паролем [B][I]virus[/I][/B] и прислать нам через [URL="http://virusinfo.info/upload_virus.php?tid=8766"]эту форму[/URL].

Плюс, в папке AVZ найти файл [B]boot_clr.log[/B] и выложыть его сюда.
02.04.2007, 00:09
_geORge_

Огромное спасибо за столь оперативный ответ!
Скрипт выполнил - все про sample срашивает.
Перезагружаюсь....
02.04.2007, 00:27
_geORge_

Quarantine.zip закачал
Файла boot_clr.log не обнаружил.
Жду указаний.

Результат загрузки
Файл сохранён как 070402_002731_Quarantine_461015b368119.zip
Размер файла 1238944
MD5 a492b0ab49219dfa9c16daace7644a2c

Файл закачан, спасибо!
02.04.2007, 00:41
Синауридзе Александр

Если Вы не фанат Symantec, то лучше поставить другой антивирус. И самое главное: Windows XP SP1 - это что такое? Убрать и поставить SP2. Иначе может статься, что и здесь Вам не помогут.;)
02.04.2007, 00:47
_geORge_

А какой? nod? KAV? ...
sp2 уже после чистки.
много софта и настроек, времени жалко на переустановку.
02.04.2007, 13:57
_geORge_

Будто бы и забыли про меня вовсе...
02.04.2007, 15:31
Numb

Из того, что прислали, однозначно детектится следующее:
C:\Temp\ICD1.tmp\epl.exe - Trojan.Win32.LipGame.cd
C:\winddsa.exe - Trojan-Downloader.Win32.Small.cul
C:\WINDOWS\system32\uvcx.exe - Trojan-Downloader.Win32.Small.cul
(по Касперскому)
По результатам проверки на Virustotal:
C:\WINDOWS\System32\ipv6mons.dll - Win32/Spy.BZub.IK (НОД32)
C:\WINDOWS\System32\mmrtkrnl.exe - Backdoor.Win32.Delf.ach (VBA32)
02.04.2007, 16:05
PavelA

В AVZ выполнить скрипт:

[CODE]
begin
DeleteFile('C:\winddsa.exe');
DeleteFile('C:\WINDOWS\system32\uvcx.exe');
DeleteFile('C:\Temp\ICD1.tmp\epl.exe');
DeleteFile('C:\WINDOWS\System32\mmrtkrnl.exe');
DeleteFile('C:\WINDOWS\System32\ipv6mons.dll');
ExecuteSysClean;
end.[/CODE]

Если сломается RealAudio, то надо будет переустановить RealPlayer.

После выполнения скрипта сделать логи с п.10 Правил.
02.04.2007, 16:06
Numb

В добавок к тому, что написал PavelA, если время и канал позволяют, загрузите утилиту [URL="ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe"]CureIt![/URL] и проверьте систему в безопасном режиме (F8 в начале загрузки). По окончании проверки, сделайте новые логи, начиная с п. 10 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL]
02.04.2007, 21:54
_geORge_

Результаты

Все сделал, логи прикрепляю.

Также прислал найденный CureIt! - ом файл.

Файл сохранён как 070402_215050_DoctorWeb_4611427a9b547.zip
Размер файла 10540
MD5 3179e9b8e40f9b31101a100b0b3c6f44

Жду указаний.

Кажется, мне переустановка системы все же светит сегодня, а?
02.04.2007, 21:55
_geORge_

Система как тормозила, так и тормозит...
Сетевый устройства драйвера видеть в упор не хотят, абидэлись наверное ;-).
02.04.2007, 22:09
_geORge_

Удалил SAV, поставил NOD (он хоть заработал).
Сканирование показало, что есть такой гад - mmrtkrnl.exe.
Удалил он его к черту.
А тормоза теже.
И перед перезагрузкой предлагается принудительно завершить работу некоего "Sample".
02.04.2007, 23:23
_geORge_

Други, а-у!
03.04.2007, 04:05
Bratez

Выполните такой скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\ipv6mons.dll');
DeleteFile('C:\WINDOWS\System32\mmrtkrnl.exe');
BC_ImportDeletedList;
BC_DeleteSVC('MMRTKRNL');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
и повторите логи п.10 и 12 правил.
03.04.2007, 10:46
PavelA

В AVZ выполнить скрипт

[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\hblogon.dll','');
BC_ImportQuarantineList;
BC_Activate;
// Перезагрузка
RebootWindows(true);
end.[/CODE]

После перезагрузки прислать карантин. Есть подозрение, что друзей "зверька" забыли.
03.04.2007, 18:25
_geORge_

То PavelA - скрипт выполнил, тормозит система также.
То Bratez - скрипт выполнил, тормозит система также.

Логи выложил.

Очень жду ответа.
03.04.2007, 18:58
PavelA

1. hblogon.dll так и не увидел. Надо поискать в AVZ, добавить в карантин и прислать.
2. выполнить скрипт Bratez в SafeMode ( F8 ). Все, что удаляли, живо и невредимо. Перед выполнением отключить сканер Nod32.
3. Symantec в логах - что это такое? Если два антивируса, то это тормоза еще те.
03.04.2007, 19:09
_geORge_

Сейчас все сделаю.
Symantec так и не смог полностью удалить.
Попробую реестр почистить AVZ.
03.04.2007, 19:14
PavelA

Для Symanteca можно воспользоваться их фирменной утилитой.
Есть на [url]www.9down.com[/url]
См. также в теме про Symantec antivirus [url]http://virusinfo.info/showthread.php?goto=newpost&t=8779[/url]
03.04.2007, 19:37
_geORge_

В safe mode запустил скрипт.
Карантин прислал.

Сохра
нён как
070403_193437_2007-04-03_4612740de5683.zipРазмер файла21608MD551a8d753fd57d62601ca09659b44477b
03.04.2007, 19:57
PavelA

hblogon.dll - чистый.

Попробуем поступить так:
в HijackThis сделать Scan и профиксить:
[CODE]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\PCHEALTH\HELPCTR\System\panels\blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\WINDOWS\PCHEALTH\HELPCTR\System\panels\blank.htm
O4 - HKLM\..\Run: [Realtime Audio Engine] mmrtkrnl.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O23 - Service: Symantec Event Manager (ccEvtMgr) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: Symantec Settings Manager (ccSetMgr) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Unknown owner - C:\Program Files\Symantec AntiVirus\DefWatch.exe (file missing)
O23 - Service: SAVRoam (SavRoam) - Unknown owner - C:\Program Files\Symantec AntiVirus\SavRoam.exe (file missing)
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec AntiVirus - Unknown owner - C:\Program Files\Symantec AntiVirus\Rtvscan.exe (file missing)
[/CODE]
После этого перезагрузиться. посмотреть на состояние.

O15 - Trusted Zone: *.p0rt2.com

Если сам не прописывал, то тоже профиксить.

[CODE]C:\WINDOWS\PCHEALTH\HELPCTR\System\panels\blank.htm[/CODE] в карантин и прислать.
03.04.2007, 20:06
_geORge_

[quote=PavelA;102507]hblogon.dll - чистый.

O15 - Trusted Zone: *.p0rt2.com - а с эти что надо делать, Вы уж извините :embarasse .

Если сам не прописывал, то тоже профиксить.

У меня с прописыванием туго ;) сам ничего вроде не делал.

[code]C:\WINDOWS\PCHEALTH\HELPCTR\System\panels\blank.htm[/code] в карантин и прислать.[/quote]

Symantec утилитой удалил.
03.04.2007, 20:10
PavelA

Не прописывал, тогда профиксить эту строчку. Да и не относящиеся к Symantec в #24 тоже.
03.04.2007, 20:19
_geORge_

Разобрался.
Профиксил.
Перезагружаюсь.

А что может значить этот Sample, который каждый раз при перезагрузке висит?
Теперь уже три раза подряд надо его в ручную отрубать.
03.04.2007, 20:24
_geORge_

А что надо с этой строкой

Код:
C:\WINDOWS\PCHEALTH\HELPCTR\System\panels\blank.htm
делать?
03.04.2007, 20:27
PavelA

[QUOTE=_geORge_;102519]А что может значить этот Sample, который каждый раз при перезагрузке висит?
Теперь уже три раза подряд надо его в ручную отрубать.[/QUOTE]

Это что-то запускается при старте системы. Можно попробовать качнуть BootVis-Tools и посмотреть что стартует в процессе загрузки.

Подозрительное все вроде отключили, даже интересно вылезет Sample или нет.
03.04.2007, 20:28
_geORge_

Результаты.
А можно еще места для загрузки добавить, а то боюсь не хватит?
03.04.2007, 20:28
PavelA

[QUOTE=_geORge_;102520]А что надо с этой строкой

Код:
C:\WINDOWS\PCHEALTH\HELPCTR\System\panels\blank.htm
делать?[/QUOTE]

Запустить AVZ. Поискать на диске этот файл blank.htm без пробельчика
Если найдется, то положить в карантин и прислать сюда.
03.04.2007, 20:29
PavelA

Лишние логи можно поудалять. Те, что были вначале.
03.04.2007, 20:42
_geORge_

blank.htm нашел и отослал Вам.

Результат загрузки
Файл сохранён как 070403_204144_2007-04-03_02_461283c8e3d57.zip
Размер файла 22579
MD5 d11f82fadd4da9921c7a06f4e00e61df
03.04.2007, 20:43
_geORge_

Sample не исчез.
Грузится все также медленно.
03.04.2007, 20:47
PavelA

Файлик чистый.

Если вопросы остались, будем завтра разбираться. Иначе я домой больно поздно попаду.
03.04.2007, 20:55
_geORge_

Пожалуй и я сдаюсь.
[FONT="Arial Black"][SIZE="5"][COLOR="Red"][B]Самый лучший способ избавиться от вирусов - переустановить этот [URL="http://microsoft.com"]е..ный[/URL] Windows![/B][/COLOR][/SIZE][/FONT]
03.04.2007, 21:05
PavelA

Зря. Надо попробовать LSPFIX. Должен помочь.

[url]http://download.bleepingcomputer.com/spyware/lspfix.zip[/url]

Путь второй - переустановить драйвера сетевой карты. Удалить ее из конфигурации, после перезагрузки винда запросит драйвера. Нужно будет ей подсунуть.
03.04.2007, 21:17
_geORge_

Невозможно, говорит устройства удалить, они могут потребоваться для загрузки компьютера (особенно ик порт).
Такого я еще не видел.
03.04.2007, 21:22
_geORge_

Да, кстати, в safe mode, Sample тоже висит.
04.04.2007, 10:08
PavelA

Есть у тебя такая программа - DeviceLock. Посмотри ее настройки.
Описание на странице:
[url]http://kis.pcweek.ru/Year2004/N44/CP1251/NetWeek/chapt2.htm[/url]

mmrtkrnl - посмотри, нет ли такой гадости в диспетчере устройств.

Показывать 40 сообщений этой темы на одной странице