Подмена E-GOLD аккоунта

Printable View

27.04.2007, 17:12
pavel77

Вложений: 3

Подмена E-GOLD аккоунта

1.Подменяется e-gold аккоунт обменника на хакерский в sci форме при обмене
e-golda в автообменниках
2.По логам фаервола происходит постоянное обращение по TCP
на 200.115.171.170.
3. часто виснет IE
Заранее спасибо
27.04.2007, 17:39
PavelA

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.[/URL]
[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\wsnpoem\video.dll
' ,'');
QuarantineFile('C:\WINDOWS\system32\wsnpoem\audio.dll','' );
QuarantineFile('tphklock.dll','');
QuarantineFile('notifyf2.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
BC_ImportQuarantinelist;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Прислать карантин после перезагрузки согласно приложения 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] .
+ лог-файл boot_clr.log из директории AVZ

Это не лечение, это только анализ.
27.04.2007, 17:48
pavel77

[quote=PavelA;106432][URL="http://virusinfo.info/showthread.php?t=7239"]AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.[/URL]
[code]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\wsnpoem\video.dll
' ,'');
QuarantineFile('C:\WINDOWS\system32\wsnpoem\audio.dll','' );
QuarantineFile('tphklock.dll','');
QuarantineFile('notifyf2.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
BC_ImportQuarantinelist;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/code]

Прислать карантин после перезагрузки согласно приложения 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] .
+ лог-файл boot_clr.log из директории AVZ

Это не лечение, это только анализ.[/quote]
Пишет ошибка в 4.16
27.04.2007, 17:51
Numb

Опечатка. Прывильный скрипт: [code]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\wsnpoem\video.dll','');
QuarantineFile('C:\WINDOWS\system32\wsnpoem\audio.dll','' );
QuarantineFile('tphklock.dll','');
QuarantineFile('notifyf2.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
BC_ImportQuarantinelist;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/code]
27.04.2007, 18:24
pavel77

Вложений: 1

[quote=Numb;106441]Опечатка. Прывильный скрипт: [code]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\wsnpoem\video.dll','');
QuarantineFile('C:\WINDOWS\system32\wsnpoem\audio.dll','' );
QuarantineFile('tphklock.dll','');
QuarantineFile('notifyf2.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
BC_ImportQuarantinelist;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/code][/quote]
Выполнил:карантин гигантский получился 2.512k -залил через ссылку"прислать запрошенные файлы"
27.04.2007, 18:38
PavelA

Вверху см. ссылку
27.04.2007, 18:45
pavel77

залил
27.04.2007, 18:51
PavelA

По симантеку ;) Infostealer.Banker.c ntos.exe и все tmp из директории TEMP

В безопасном режиме выполнить скрипт.

[CODE]
begin
ClearQuarantine();
SetAVZGuardStatus(True);
QuarantineFile('tphklock.dll','');
QuarantineFile('notifyf2.dll','');
BC_DeleteFile('C:\temp\*.*');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportAll;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/CODE]

После перезагрузки прислать boot_clr.log и если что-то попадет в карантин.
27.04.2007, 19:02
pavel77

что значит удалить с shift?
27.04.2007, 19:14
PavelA

Это когда в проводнике удаляешь, то нажимаешь правую клавишу мыши, выбираешь удалить и держишь нажатой клавишу "Shift"

Я попробовал это в скрипте сделать. Проверим как это сработает.
27.04.2007, 19:30
pavel77

Не пускается:
too many aktual parametrs в позиции 7-12
27.04.2007, 19:36
PavelA

поправил. Никак не возьму в голову привычку проверять скрипт перед отправкой.
27.04.2007, 19:49
pavel77

Вложений: 1

[quote=PavelA;106475]поправил. Никак не возьму в голову привычку проверять скрипт перед отправкой.[/quote]
запустил
27.04.2007, 20:06
PavelA

В карантин, кроме ini-файлов что-то попало?
Чистим директорию Temp ручками.

Делаем лог hijackThis.
27.04.2007, 20:23
pavel77

Вложений: 1

[quote=PavelA;106483]В карантин, кроме ini-файлов что-то попало?
Чистим директорию Temp ручками.

Делаем лог hijackThis.[/quote]
Только ini-файлы
temp очистил
ломиться на 200.115.171.170
перестало
28.04.2007, 00:56
drongo

уже чисто.
а это ваши ? :
O17 - HKLM\System\CCS\Services\Tcpip\..\{7FC0A6C5-3BE2-471F-A781-E3EF454D8FA5}: NameServer = 81.25.32.9
O17 - HKLM\System\CCS\Services\Tcpip\..\{DC238D73-6318-4877-9E82-524267973958}: NameServer = 81.25.32.34,81.25.32.9
28.04.2007, 01:55
pavel77

[quote=drongo;106536]уже чисто.
а это ваши ? :
O17 - HKLM\System\CCS\Services\Tcpip\..\{7FC0A6C5-3BE2-471F-A781-E3EF454D8FA5}: NameServer = 81.25.32.9
O17 - HKLM\System\CCS\Services\Tcpip\..\{DC238D73-6318-4877-9E82-524267973958}: NameServer = 81.25.32.34,81.25.32.9[/quote]

не знаю:
в локальной сети дали:
Предпочитаемый DNS - 81.25.32.34
Альтернативный DNS - 81.25.32.9
28.04.2007, 09:32
PavelA

Вот это непорядок. Д.б. только userinit.exe с запятой. Не совсем уверен, что это можно в Hijack профиксить.

[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,[/CODE]
29.04.2007, 13:05
pavel77

Вложений: 1

[quote=PavelA;106569]Вот это непорядок. Д.б. только userinit.exe с запятой. Не совсем уверен, что это можно в Hijack профиксить.

[code]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,[/code][/quote]

пофиксил
теперь порядок?
P.S.
Всем большое спасибо и удачи
29.04.2007, 13:14
Bratez

Остался еще загадочный файл [B]notifyf2.dll[/B], который упорно уклоняется от карантинизации :) Попробуйте разыскать его вручную (см. приложение 2 правил).
29.04.2007, 13:49
pavel77

[quote=Bratez;106803]Остался еще загадочный файл [B]notifyf2.dll[/B], который упорно уклоняется от карантинизации :) Попробуйте разыскать его вручную (см. приложение 2 правил).[/quote]

не получается:попытка прямого чтения-не удаётся поместить в карантин-ошибка прямого чтения
29.04.2007, 14:10
Bratez

Т.е., файлик действительно существует? Попробуйте перед попыткой поместить в карантин выполнить стандартный скрипт #1 (антируткит). Если не поможет, сделайте то же самое в безопасном режиме.
29.04.2007, 14:20
Rene-gad

[QUOTE=Bratez;106816]Попробуйте перед попыткой поместить в карантин выполнить стандартный скрипт #1 (антируткит). Если не поможет, сделайте то же самое в безопасном режиме.[/QUOTE]
А если совсем не получится - то расслабьтесь и попейте пива ;) [url]http://www.castlecops.com/o20list-201.html[/url]
29.04.2007, 14:32
Bratez

[quote=Rene-gad;106818]расслабьтесь и попейте пива ;) [URL]http://www.castlecops.com/o20list-201.html[/URL][/quote]

Спасибо! Погуглить мне, как всегда, было лень, а интуиция на этот раз подвела :)

@pavel77: Отбой, ложная тревога! Выполняйте совет [B]Rene-gad[/B] :beer:
29.04.2007, 14:35
pavel77

[quote=Rene-gad;106818]А если совсем не получится - то расслабьтесь и попейте пива ;) [URL]http://www.castlecops.com/o20list-201.html[/URL][/quote]
так у меня ноут ibm
это его файлик?
29.04.2007, 14:58
Rene-gad

[QUOTE=pavel77;106828]так у меня ноут ibm это его файлик?[/QUOTE]Correct :thumbsup:
22.02.2009, 01:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]56[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ntos.exe - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\a.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\b.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\c.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\d.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\1a.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\1b.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\1d.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\1e.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\1f.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\1.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\11.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\15.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\16.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\17.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\18.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\19.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\2.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\25.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\3.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\30.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\31.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\4.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\47.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\5.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\6e.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\6.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\7d.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\7.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[*] c:\\windows\\temp\\8.tmp - [B]Trojan-Spy.Win32.Zbot.adj[/B] (DrWEB: Trojan.Proxy.1724)[/LIST][/LIST]