Не получается вычистить руткит!

Printable View

23.05.2007, 15:33
Mur466

Вложений: 3

Не получается вычистить руткит!

Компьютер попал ко мне в почти убитом состоянии - слетел драйвер видеокарты, не работал TCP-IP.
Лечил с помощью CureIt, NOD32, Kav, Avz. Все находили кое-что, но какая-то зараза оставалась.
С помощью загрузочного CD (Bart PE+Kasper Intrernet security) удалось вычистить казалось бы последнюю порцию заразы, в том числе кое-что классифицировалось как rootkit.

Но судя по всему что-то еще сидит. Симптомы следующие:
1. AVZ ругается на маскировку драйвера parport.sys, причем это ноутбук, у которого нету параллельного порта.
2. Сразу после загрузки Outpost ругается, что скрытый процесс запрашивает исходящее соединение (svchost.exe запущен winlogon.exe)
3. Система не грузится в safe mode. Загрузка доходит до списка пользователей (это XP home) и затем система выключается. Не падает, а именно выключается, так как перезагрузка после BSOD отключена, минидампы не создаются, а в system event log создается запись "Служба журнала событий остановлена".

Прилагаю протоколы avz и hijackthis собранные согласно правилам раздела.
23.05.2007, 15:59
PavelA

Почистить корзину и временные файлы Интернет.
Можно воспользоваться [URL="http://ccleaner.com"]CCleaner[/URL].

Много еще всего осталось. Сейчас попробую собрать воедино.
в AVZ выполнить скрипт:
[CODE]begin
SetAVZPM(true);
RebootWindows(true);
end.[/CODE]

После перезагрузки выполнить второй скрипт:
[CODE]
begin
SearchRootkit(true, true);
QuarantineFile('\SystemRoot\System32\Drivers\Parport.SYS' ,'');
RebootWindows(true);
end.[/CODE]

После перезагрузки прислать карантин через форму (ссылку см. вверху темы)
23.05.2007, 16:06
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\mprwanp.dll');
DeleteFile('C:\WINDOWS\system32\rpcc.dll');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
DeleteFile('atmmgr32.dll');
DeleteFile('atmstat.dll');
DeleteFile('confatm.dll');
DeleteFile('confjfg.dll');
DeleteFile('confjpg.dll');
DeleteFile('confwmv.dll');
DeleteFile('confxxn.dll');
DeleteFile('e1.dll');
DeleteFile('jfgmgr32.dll');
DeleteFile('jfgstat.dll');
DeleteFile('jpgmgr32.dll');
DeleteFile('jpgstat.dll');
DeleteFile('wmvmgr32.dll');
DeleteFile('wmvstat.dll');
BC_ImportDeletedList;
BC_DeleteSvc('MySQL');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis то, что останется из:
[code]
O2 - BHO: SXBandMaster Catcher - {628CD0A4-60A0-47C8-838F-86318CCEFB9B} - (no file)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Program Files\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Program Files\ICQLite\ICQLite.exe (file missing)
O20 - Winlogon Notify: atmmgr - atmmgr32.dll (file missing)
O20 - Winlogon Notify: jfgmgr - jfgmgr32.dll (file missing)
O20 - Winlogon Notify: jpgmgr - jpgmgr32.dll (file missing)
O20 - Winlogon Notify: mprwanp - C:\WINDOWS\system32\mprwanp.dll (file missing)
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll
O20 - Winlogon Notify: wmvmgr - wmvmgr32.dll (file missing)
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\system32\svshost.dll (file missing)
[/code]
Сделайте новые логи.
23.05.2007, 17:52
Mur466

Вложений: 3

[B]Для PavelA:[/B]
SetAVZPM(true); не проходит проверку синтаксиса, но я включил AVZPM через меню.
В остальном все сделал, как сказано, карантин отправил
Но avz продолжает ругаться на маскировку драйвера parport.sys

[B]для Bratez[/B]
После выполнения скриптов часть сообщений HJThis (O20) изменилась -
O20 - Winlogon Notify: atmmgr - atmmgr32.dll (file missing)
O20 - Winlogon Notify: jfgmgr - jfgmgr32.dll (file missing)
O20 - Winlogon Notify: jpgmgr - jpgmgr32.dll (file missing)
O20 - Winlogon Notify: mprwanp - C:\WINDOWS\system32\mprwanp.dll (file missing)
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll
O20 - Winlogon Notify: wmvmgr - wmvmgr32.dll (file missing)

Из них исчезло (file missing). Я теперь не знаю - фиксить их или нет

В результате всех действий:
1. Ругань на parport.sys осталась
2. Safe Mode не грузится
3. [B]НО [/B]пропал запрос скрытого процесса на исходящее соединение
23.05.2007, 18:14
PavelA

[QUOTE=Mur466;111586][B]Для PavelA:[/B]
SetAVZPM(true); не проходит проверку синтаксиса, но я включил AVZPM через меню.
В остальном все сделал, как сказано, карантин отправил
Но avz продолжает ругаться на маскировку драйвера parport.sys
[/QUOTE]
В карантин не попал parport.sys. Попала другая дллька
Скорее всего, это обшибочка AVZ.
[QUOTE=Mur466;111586]
[B]для Bratez[/B]
Из них исчезло (file missing). Я теперь не знаю - фиксить их или нет

В результате всех действий:
1. Ругань на parport.sys осталась
2. Safe Mode не грузится
3. [B]НО [/B]пропал запрос скрытого процесса на исходящее соединение[/QUOTE]

Где [b]file missing[/b] - фиксить, но только те строчки что писал Bratez.
Safe Mode - восстановить - AVZ - восстановление системы - п.10

Плюс профиксить:
[CODE]
O20 - Winlogon Notify: atmmgr - C:\WINDOWS\
O20 - Winlogon Notify: jfgmgr - C:\WINDOWS\
O20 - Winlogon Notify: jpgmgr - C:\WINDOWS\
O20 - Winlogon Notify: mprwanp - C:\WINDOWS\
O20 - Winlogon Notify: rpcc - C:\WINDOWS\
O20 - Winlogon Notify: wmvmgr - C:\WINDOWS\
[/CODE]
23.05.2007, 18:34
Mur466

[QUOTE=PavelA;111593]В карантин не попал parport.sys. Попала другая дллька
Скорее всего, это обшибочка AVZ.
[/QUOTE]
Я загрузился с загрузочного CD BartPE и сравнил C:\windows\system32\drivers\parport.sys с файлом с другой системы с помощью утилиты fc.exe. Они оказались одинаковые. На всякий случай я удалил C:\windows\system32\drivers\parport.sys. AVZ на него ругаться перестал, но в диспетчере устройств он вылез с воскл.знаком. Пришлось вернуть на место.

[QUOTE=PavelA;111593]Safe Mode - восстановить - AVZ - восстановление системы - п.10
[/QUOTE]
Не помогло :'-(

Плюс профиксить:
[CODE]
O20 - Winlogon Notify: atmmgr - C:\WINDOWS\
O20 - Winlogon Notify: jfgmgr - C:\WINDOWS\
O20 - Winlogon Notify: jpgmgr - C:\WINDOWS\
O20 - Winlogon Notify: mprwanp - C:\WINDOWS\
O20 - Winlogon Notify: rpcc - C:\WINDOWS\
O20 - Winlogon Notify: wmvmgr - C:\WINDOWS\
[/CODE]
Сделал. Никаких из менений в итоге не заметил.

Есть еще предложения?
Уж очень подозрительная ситуация с safe mode...
23.05.2007, 19:03
Muffler

Скопируйте вручную [B]parport.sys [/B] и пришлите нам по правилам...
23.05.2007, 19:11
Mur466

parport.sys скопировал, загрузившись с CD, и отправил
23.05.2007, 19:27
PavelA

@ Mur466 Нужен новый набор логов. Будем изучать, что осталось и подчистите "Корзину".
23.05.2007, 19:29
Mur466

Ок, логи сделаю, но теперь уже завтра с утра (я в Москве). Спасибо всем за оперативную помощь.
23.05.2007, 19:36
PavelA

Off: Да я тоже вообще-то в столице
24.05.2007, 11:24
Mur466

Вложений: 3

Напоминаю суть проблемы: после лечения зоопарка на ноутбуке, есть сомнения, что вылечилось не все.

Симптомы:
1. Не удается загрузить safe mode. Загрузка доходит до экрана со списком пользователей, через 1 секунду система перегружается. При этом в настоящий момент в system event log не появляется запись "служба журнала событий остановлена"(Хотя вчера при перезагрузке такая запись появлялась). Автоперезагрузка после синего экрана отключена. Создание минидампов включено, но после перезагрузки они не появляются.
Восстановление загрузки safe mode с помощью AVZ не помогает.

2. AVZ ругается на маскировку драйвера parport.sys. Сам драйвер вроде бы "родной". На ноутбуке параллельный порт не установлен.

Новые логи прилагаются.
24.05.2007, 11:56
PavelA

Профиксить в HijackThis строчку:
[CODE]
O20 - AppInit_DLLs: firewall\wl_hook.dll firewall\wl_hook.dll C:\PROGRA~1\Agnitum\Outpost Firewall\wl_hook.dll[/CODE]

По поводу SafeMode: есть утилита Bootvis. Где живет не помню, но можно поискать и при помощи нее посмотреть, что происходит при загрузке.
24.05.2007, 12:31
Mur466

[QUOTE=PavelA;111732]Профиксить в HijackThis строчку:
[CODE]
O20 - AppInit_DLLs: firewall\wl_hook.dll firewall\wl_hook.dll C:\PROGRA~1\Agnitum\Outpost Firewall\wl_hook.dll[/CODE]
[/QUOTE]
Сделал. Теперь outpost работает в каком-то Service Mode, не знаю что это такое.

[QUOTE=PavelA;111732]По поводу SafeMode: есть утилита Bootvis. Где живет не помню, но можно поискать и при помощи нее посмотреть, что происходит при загрузке.[/QUOTE]
К сожалению, он загрузку SafeMode не трассирует. По крайней мере у меня не получилось. Вместо этого он трассирует загрузку уже после попытки войти в SafeMode.
24.05.2007, 12:51
PavelA

Значит надо будет восстановить эту строчку из Backupa hijackThis и поискать в regedit firewall\wl_hook.dll. Причем именно так как написано.
Если найдется, то удалить. Затем заново сделать лог hijackThis и посмотреть на строку. Д.б. указание только на последнюю dll

К сожалению, не знаю как это исправить в Outpost. Может кто-то другой что-то подскажет.

Насчет parport.sys - возможно в BIOS включена поддержка порта. Вот винда и ставит этот драйвер.
24.05.2007, 16:58
Mur466

Переставил Outpost, теперь с этой строчкой все в порядке:
[CODE]O20 - AppInit_DLLs: C:\PROGRA~1\Agnitum\Outpost Firewall\wl_hook.dll[/CODE]

Про parport: В этом ноуте нет возможности войти в BIOS Setup, есть только утилиты для конфигурации BIOS в Control Panel. В них никак параллельный порт не упоминается
В ntbtlog.txt пишется, что он не не загружается.
[CODE]Did not load driver \Systemroot\System32\Drivers\Parport.sys[/CODE]
Может с ним все в порядке, так и должно быть?

Меня больше всего волнует не работающий Safe Mode. Ключ SafeBoot в регистри уже восстанавливал и с помощью AVZ и вручную копировал с другой машины. Не помогает :'-(
24.05.2007, 19:47
Макcим

[quote]Меня больше всего волнует не работающий Safe Mode.[/quote]Попробуйте так, как написанно [url=http://forum.kaspersky.com/index.php?showtopic=38566]здесь[/url] (пост №6).
25.05.2007, 10:30
Mur466

На этот пост я уже натыкался в своих поисках. Там проблема другая - F8 не работает. А у меня работает.

На всякий случай сделал то, что там описано (отредактировал boot.ini) и загурзил Safe Mode через меню. Ситуация не улучшилась.

Начинается загрузка в Safe mode. Загружаются драйвера, затем черный экран, по углам написано "Безопасный режим Windows XP сборка такая-то", затем синий экран с сообщением "Запуск Windows...", затем появляется список пользователей - под кем войти. Через секунду ноут идет на перезагрузку.
25.05.2007, 12:11
Ego1st

а пробовали AVZ - файл - востановление системы - востановление настроек загрузки в SafeMod поставить галочку и выполнить..
25.05.2007, 12:13
Mur466

[QUOTE=Ego1st;111988]а пробовали AVZ - файл - востановление системы - востановление настроек загрузки в SafeMod поставить галочку и выполнить..[/QUOTE]
Да, пробовал.
29.05.2007, 10:11
Mur466

ЛЮДИ!!! Ну подскажите, куда копать? Как вернуть Safe mode?
Я уже весь гугль перерыл, мыслей нету....

ПЛИИИИЗ!!!
29.05.2007, 11:07
PavelA

А может поставить режим выбора пользователя, как в 2000-ке? Может, почему-то ломается красивая оболочка.
29.05.2007, 11:11
Mur466

1. А как это сделать?
2. Почему она ломается только в safe mode?

Может что-то с видеодрайвером safe moda? Несколько секунд работает, потом вырубается? Как это проверить?
29.05.2007, 11:17
Mur466

А это нормально для Home, что я в обычном, не-safe режиме не могу зайти как Администратор?
29.05.2007, 11:20
PavelA

Для Home это нормально. У него Администратор закрыт.
29.05.2007, 12:09
PavelA

[url]http://support.microsoft.com/kb/315222[/url] - ссылка про Safe Mode

[url]http://www.pcstats.com/articleview.cfm?articleid=1643&page=2[/url] - еще одна про особенности Home.

ищем дальше.
29.05.2007, 13:09
Mur466

Если выбирать загрузку безопасного режима с поддержкой сети или с командной строкой, то перезагрузка происходит чуть позже. Можно даже успеть выбрать пользователя и начать вход в систему. Успевает появиться табличка "Windows работает в безопасном режиме (Да/Нет)" и после этого идет перезагрузка

Отсюда делаю вывод, что дело не в экране выбора пользователя, а в загрузке каких-то фоновых сервисов или устройств. Если вколючена поддержка сети, то загрузка фоновых процессов занимает больше времени и перезгрузка наступает позже.

Поскольку список устройств в ключе SafeBoot восстановлен с помощью AVZ, то вероятно какой-то из стандартных драйверов или сервисов поврежден или подменен.

Как это проверить или восстановить заведомо хорошие файлы?
sfc /scannow не работает, не принимает диск. Так как SP2 ставился отдельно.
К тому же диска с XP Home нету под рукой нету - XP предустановленная на ноуте и диска с виндой не было.

Попробовал откатить и переустановить SP2 - не помогло.
29.05.2007, 13:21
PavelA

К сожалению, Home под рукой нет, только Pro с SP2. Подвезти не могу.

[url]http://www.winzone.ru/articles/82[/url] - вот тут про разделы реестра, который использует Safe Mode. Только без слешей-разделителей.
29.05.2007, 15:58
Mur466

Статья классная, я как раз пытался найти что-то в этом роде.
Но пока практических мыслей у меня не прибавилось.

Попробовал отключать загрузку сервисов и драйверов просто удаляя их из ключа Safeboot, чтобы определить, из-за какого сервиса проблемы, но тогда вообще пошли синие экраны. Пришлось вернуть все назад.

Сравнил ntbtlog.txt с логом от другого компьютера. Они отличаются очень сильно, так как у ноута много лишних устройств. На свой неопытный взгляд ничего криминального я не увидел.

Может кто посмотрит ntbtlog.txt и найдет там лишний драйвер?

Удалось запустить sfc /scannow, и даже нашелся диск XP Home SP2. Sfc разок обратился к нему, не знаю уж что он там исправил, но загрузка безопасного режима не заработала.

Последующие запуски sfc /scannow уже не требуют диск XP, то есть все файлы нормальные...

То есть настройки реестра для загрузки SafeMode нормальные (avz), файлы драйверов и сервисов тоже нормальные (sfc).

В чем же тогда может быть дело?
29.05.2007, 16:01
Mur466

Вложений: 1

На всякий случай вот лог загрузки в безопасном режиме, может кто свежим взглядом увидит криминал какой...
22.02.2009, 01:47
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]

Текущее время: 16:56. Часовой пояс GMT +3.

Page generated in 0.01219 seconds with 10 queries