Printable View
Ломился в сеть от имени IE, пришлось дать доступ, потому как иначе приходилось бы блокировать работу IE. Что это за гадость и надо ли теперь менять пароли, в особенности там, где я логинился через веб-интерфейс?
Предварительно сканировал CureIT! и проверял НОД32, они в этом файле ничего не нашли.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
BC_QrSvc('pe386');
BC_DeleteSvc('pe386');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Потом ещё один
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\SystemRoot\System32\Drivers\cvintdrv.SYS','');
QuarantineFile('C:\WINDOWS\system32\nidscmem.dll','');
QuarantineFile('c:\windows\system32\nisvcloc.exe','');
QuarantineFile('c:\program files\national instruments\shared\security\nidmsrv.exe','');
QuarantineFile('c:\windows\system32\lktsrv.exe','');
QuarantineFile('c:\windows\system32\lkcitdl.exe','');
QuarantineFile('c:\windows\system32\lkads.exe','');
QuarantineFile('c:\program files\internet explorer\iexplore.exe','');
RebootWindows(false);
end.[/CODE]
После перезагрузки пришлите файлы карантина по правилам раздела "Помогите".
Повторите логи, а также добавьте файл boot_clr.log из папки AVZ. Найдите и пришлите по правилам ibm00001.dll.
Все сделал.
Да, и еще - сколько должно быть процессов svchost? А то у меня их 8 :O
[QUOTE]Да, и еще - сколько должно быть процессов svchost? А то у меня их 8[/QUOTE]Важно не количество, а качество ;)
Руткит убили, результат анализа присланных файлов ещё не пришел.
выполните пока , чтобы добить гадость.
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\Downloaded Program Files\popcaploader.dll');
DeleteFile('C:\WINDOWS\system32:lzx32.sys:$DATA');
DeleteFile('C:\WINDOWS\system32:lzx32.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('PE386');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки прикрепите файл boot_clr.log из папки AVZ к своему следующему сообщению.
На время уходил, комп выключил. При включении комп вис при окончании загрузки Винды, в т.ч. и в безопасном режиме. Загрузился через другого пользователя, выполнил скрипт в безопасном режиме. Потом через него же, в обычном режиме, повторил по логи AVZ и HiJackThis. Сейчас проблем с загрузкой нет. Логи прикладываю.
Пофиксите в HijackThis эту строчку:
[code]
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab
[/code]
и поищите файл [I]popcaploader_v5.cab[/I], если найдется - удалите.
Более ничего криминального в логах не видно.
А что делать с iexplore.exe? Он попал в карантин? Вроде он патченый.
А как дела у ibm00001.dll?
[quote=MaXim;107612]А что делать с iexplore.exe? Он попал в карантин? Вроде он патченый.
А как дела у ibm00001.dll?[/quote]
MaXim, Вы у меня спрашиваете? Судя по посту #4, Вы карантином занимались... Ладно, посмотрим тогда.
У меня сейчас проблемы с интернетом, поэтому я карантин временно не проверяю :)
Результаты проверки на Virustotal:
Насчет [B]iexplore.exe [/B]
[QUOTE]DrWeb 4.33 05.04.2007 Trojan.PWS.GoldSpy
eTrust-Vet 30.7.3612 05.03.2007 Win32/Goesna
Ewido 4.0 05.03.2007 Trojan.GoldSpy
Fortinet 2.85.0.0 05.04.2007 suspicious
VirusBuster 4.3.7:9 05.03.2007 Trojan.Patched.Q[/QUOTE]
остальные - no virus found.
Про [B]ibm00001.dll [/B]высказались только трое:
[QUOTE]eSafe 7.0.15.0 05.03.2007 Suspicious Trojan/Worm
Ikarus T3.1.1.7 05.04.2007 Trojan.Win32.Obfuscated.ft
Prevx1 V2 05.04.2007 Trojan.VCClient[/QUOTE]
Я отправил обоих в вирлаб ЛК, посмотрим, что скажут.
[B]Bratez[/B], спасибо!
А где находиться ibm00001.dll? В логах его я не увидел.
C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.dll
А вот и ответ из ЛК про него:
[QUOTE]Здравствуйте,
avz00009.dta - Trojan-PSW.Win32.Agent.lk
Детектирование файла будет добавлено в следующее обновление.
Пожалуйста, при ответе включайте переписку целиком.
--
С уважением, Дмитрий Швецов
Вирусный аналитик Лаборатории Касперского.
e-mail: [email][email protected][/email][/QUOTE]
Хотя и не похоже, что он как-то задействован в системе, удалять будем по всем правилам:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Про iexplore.exe пока тишина.
popcaploader_v5.cab не нашел, в HiJack пофиксил, ibm00001.dll успешно удалился.
Насчет IE - может, мне лучше пока под Оперой посидеть? И надо ли менять пароли (через Оперу, разумеется) везде, где я логинился через веб-интерфейс?
[QUOTE]Насчет IE - может, мне лучше пока под Оперой посидеть? И надо ли менять пароли (через Оперу, разумеется) везде, где я логинился через веб-интерфейс?[/QUOTE]
Да, лучше пока пользуйтесь Оперой, а пароли меняйте обязательно.
Тем не менее файл IE лучше [URL="http://virusinfo.info/showthread.php?t=9219"]восстановить[/URL]. По окончании процедуры сделайте новые логи с запущенным IE.
Все сделал. На всякий случай прикрепил еще и логи от haxfix
Так всё чисто, эксплорер заменён на чистый из кэша .
Хотя меня смущает вот это :
F729C000 018000 (98304)
Что это такое и что с ним делать?
[quote=AriaL;107769]Что это такое и что с ним делать?[/quote]
Давайте так, avz-сервис-модули пространства ядра, найти и кликнуть на пустую чёрточку, которая вместо имени .Затем нажать на крайне правый айкон - "снять дамп памяти текущего модуля" .Нажать да.Получившийся файл, из папки AVZ загрузить сюда.
Файл в архиве dmp.zip, пароль - virus
[B][COLOR="Red"]Удалил и загрузил по правилам.[/COLOR][/B]
-а объект из памяти выудился и впрямь подозрительный:
[QUOTE]Complete scanning result of ".dmp", received in VirusTotal ...
Authentium 4.93.8 05.04.2007 could be a corrupted executable file
Fortinet 2.85.0.0 05.05.2007 suspicious
Webwasher-Gateway 6.0.1 05.05.2007 Win32.Malware.gen!80 (suspicious)[/QUOTE]
Файл чистый.
Олег Зайцев посмотрел,и сказал следующее :
"
Не опасно - судя по всему очередной CD эмулятор и его трюки для защиты от обнаружения со стороны защиты игрушек с привязкой к диску"
-ну и ладно, что всё так сложилось... тот самый случай, когда лучше пере-бдеть нежели не до.. ;)
Всем большое спасибо за оказанную помощь! :)