Возможно вирус разрушающий файловые системы (очень опасно)

Printable View

02.12.2010, 14:35
sir-gorgoroth

Возможно вирус разрушающий файловые системы (очень опасно)

Добрый день.

Кратко опишу события происходящие в моей организации.
Ко мне обратились с просьбой проверить ЮСБ-флеш диск, компьютер пользователя не видит его. Я включил - все работает.
Пошел посмотреть компьютер на котором не работает. Вставляю влешку, ее определяет виндовс ХП, но при обращении к этому диску выдает сообщение - Вставьте диск в дисковод либо диск не найден (что то типа такого). Потом я глянул на свойства - флеш диск в системе RAW.
Пробую эту же флешку на других компьютерах все ОК. На этом компьютере я попробовал три других флеш диска и все они были RAW.
До этого компьютер работал нормально.
Прошло несколько дней и ко мне с такой же проблемой обратилось еще двое человек. Ситуация абсолютно аналогичная.

На одном из компьютеров я решил обновить виндовс до сервис пак 3 + поставил критические обновления вышедшие после СП3. Флеш диск заработал.
Но на следующий день пользователь пришел и сказал что флеш диск снова не работает.

А сегодня утром произошел еще более странный случай. Один из компьютеров перестал видеть два раздела на винчестере. Виндовс грузится и диск С полностью работоспособный, а вот диски Д и Е в системе есть но они как бы не отформатированы. Оба в системе RAW.
Я снял винчестер и посмотрел его на другом компьютере - тоже самое диск С есть два других диска отсутствуют. Так же я посмотрел на состояние диска в програмах по работе с HDD. Проверку віполнить не удается так как формат РАВ.
Далее я пошел на такой єксперимент, загрузил больной компьютер + подключил к нему рабочий HDD с другого компьютера.
После загрузки у меня есть на старом винчестере только системный диск С, а на винчестере втором пропал системный раздел + есть два других раздела, но они точно так же не отформатированы. Я выключил компьютер и загрузился с другого винчестера (тот что я подключил) - все загрузилось и все разделы на месте, добавился системный раздел с которого я загрузился и заработали оба других раздела.
Я снова загрузился со старого винчестера - опять все разделы стали не отформатированы кроме системного диска С.

Я не знаю что это такое, но это явно не проблемы с железом. Если это вирус то в нашей организации наступит армагеддон.

Кто то с таким сталкивался?

Прошу помочь. логи прилагаю.
02.12.2010, 14:54
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Documents and Settings\user\Application Data\zkdrzi.exe','');
DeleteFile('C:\Documents and Settings\user\Application Data\zkdrzi.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Прокси сами прописывали? - [CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = [B]192.168.0.1:3128[/B]
[/CODE]
02.12.2010, 15:05
sir-gorgoroth

Да это мой прокси сервер.

192.168.0.1:3128
02.12.2010, 15:09
olejah

После выполнения скрипта повторите логи
02.12.2010, 15:16
sir-gorgoroth

Карантин выслал. скрипты все выполнил. Результат - без перемен.
По прежнему не работают два раздела на HDD

[size="1"][color="#666686"][B][I]Добавлено через 38 секунд[/I][/B][/color][/size]

Логи сейчас сделаю
02.12.2010, 16:18
sir-gorgoroth

логи повторно
02.12.2010, 18:29
миднайт

AVZ обновите. Базы обновите. Логи переделайте.
03.12.2010, 09:24
sir-gorgoroth

новые логи с обновленным АВЗ
03.12.2010, 10:31
миднайт

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Program Files\DrUpdate\drupdate.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\ipfltdex.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\nwlnk2k.sys','');
QuarantineFile('C:\WINDOWS\assembly\Keylog Detective\KD.exe','');
QuarantineFile('C:\WINDOWS\System32\spool\PRTPROCS\W32X86\x5print.dll','');
QuarantineFile('C:\WINDOWS\System32\KERNEL32.DLL.ASLR.000150fb','');
QuarantineFile('C:\WINDOWS\system32\KERNEL32.DLL.ASLR.00014ff1','');
DeleteFile('C:\WINDOWS\system32\KERNEL32.DLL.ASLR.00014ff1');
DeleteFile('C:\WINDOWS\System32\KERNEL32.DLL.ASLR.000150fb');
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Логи повторите.
"O4 - HKCU\..\Run: [SystemCheck] RUNDLL32.EXE syschecks.dll,SysCheckStartup"
SpyMyPC устанавливали на систему?
03.12.2010, 11:27
sir-gorgoroth

SpyMyPC да это дело когда то устанавливали, для экспериментов.

сейчас займусь скриптами и карантином

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Скрипты выполнил, карантин выслал. Но мне кажется при создании карантина возникли ошибки. Просто так быстро прошел процесс сбора карантина что я не успеваю прочесть. По моему он не все туда копирует.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

диски по прежнему не отформатированы после выполнения скрипта.
03.12.2010, 15:26
миднайт

Логи повторите. Некоторые файлы требуют анализа, ждем ответа аналитика.
03.12.2010, 18:12
sir-gorgoroth

Снова прилагаю самые свежие логи.
04.12.2010, 00:34
thyrex

sfcfiles.dll присутствует в system32?

Выполните скрипт в AVZ
[code]begin
ExecuteRepair(19);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Что-либо изменилось?
06.12.2010, 13:50
sir-gorgoroth

Файл sfcfiles.dll присутствует в System 32

Скрипт выполнил.

На компьютере по прежнему отсутствуют разделы Д и Е.

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 45 минут[/I][/B][/color][/size]

в целях эксперимента подключил к больному компьютеру винчестер с установленным Виндовс 7. Видит только системный диск С с виндовс ХП больного компьютера. Все остальные разделы неотформатированны.
Проверил подключаемый винчестер с ним все в порядке.
07.12.2010, 13:00
sir-gorgoroth

Люди помогите хотя бы понять это вирус который убивает HDD диски, портит NTFS и FAT таблицы... или нет?
07.12.2010, 13:17
миднайт

[url=http://virusinfo.info/showthread.php?t=7239]Выполните в AVZ скрипт[/url] из файла [URL=http://dataforce.ru/~kad/ScanVuln.txt]ScanVuln.txt[/URL] и приложите к этой теме файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.
Сделайте лог [url=http://virusinfo.info/showthread.php?t=59446]GSI[/url],[b] ссылку на результат проверки напишите.[/b]
08.12.2010, 11:24
sir-gorgoroth

Добрый день!

Выполнил все ваши указания.
Лог АВЗ прикладываю к теме.

Сделал тестирование GetSystemInfo

Ссылка
[url]http://www.getsysteminfo.com/read.php?file=a2de1184688cc36c06816fd133148ef1[/url]
08.12.2010, 17:59
миднайт

Однако это интересно.
В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
DeleteService('MRxCls');
DeleteService('MRxNet');
QuarantineFile('C:\WINDOWS\system32\drivers\mrxcls.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\mrxnet.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\mrxcls.sys');
DeleteFile('C:\WINDOWS\system32\drivers\mrxnet.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Ask Toolbar удалите.
Логи AVZ и GSI повторите.
09.12.2010, 12:06
sir-gorgoroth

Скрипты выполнил, карантин выслал.

логи новые прилагаю.

[url]http://www.getsysteminfo.com/read.php?file=c0b973266d3f6b04fcd2d18d92ef51a6[/url]

На компьютере без перемен. Разделы винчестера не видит.
10.12.2010, 15:52
миднайт

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\program files\cl\budstandart\server\svcinfolib.exe','');
QuarantineFile('C:\Documents and Settings\admin\Application Data\zkdrzi.exe','');
DeleteFile('C:\Documents and Settings\admin\Application Data\zkdrzi.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.

[url=http://virusinfo.info/showthread.php?t=7239]Выполните в AVZ скрипт[/url] из файла [URL=http://dataforce.ru/~kad/ScanVuln.txt]ScanVuln.txt[/URL] и приложите к этой теме файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

Повторите логи AVZ с подключенными флэшками.
11.12.2010, 15:52
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]23[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\user\\application data\\zkdrzi.exe - [B]Worm.Win32.VBNA.b[/B] ( DrWEB: Trojan.Siggen1.27214, BitDefender: Gen:Trojan.Heur.mq0@s98GqBBab, NOD32: Win32/Inject.NDO trojan, AVAST4: Win32:VB-QSB [Drp] )[/LIST][/LIST]