Вирус MAIBANAN

**y.xakep** · 18.12.2009, 19:57

Очень интересный вирус под названием MAIBANAN
Очень навязчевый.

Файл, присвоен системе как дривер:
C:\WINDOWS\System32\Drivers\maibanan.sys

Не могу открыть.

NotePad: A device attached to the system is not functioning.

AkelPad: Невозможно открыть файл.

Viewrer: Файл не найден.

Не могу удалить.

Explorer: Error Deleting File or Folder: Cannot delete mailbanan: Cannot read from the source file ot disk.

TtlCmdr: Нет доступа или файл уже используется.

Unlocker: "Не найден блоирующий десскриптор". При попытке удалить - "Удаление объекта невозможно", даже при селдующей загрузки системы.

Avast: Hidden services - Win32:Rootki-gen [Rtk]. При попытке удалить - ничего не происодит.

AVPTool: Невозможно удалить при перезагрузке: Rootkit.Win32.Agent.aaba

Регистр, создает невидимые или неразрешенные ключи:

Вот невидемые:

Код:

 
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\maibanan]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\maibanan]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\maibanan]

Regedit выдает: Error Opening Key:Cannot open maibanan: Error while opening key

Удалить неудается даже утилитой RegDelNull

А вот неразрешенные ключи:

Код:

 
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MAIBANAN]
"NextInstance"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MAIBANAN\0000]
"Service"="maibanan"
"Legacy"=dword:00000001
"ConfigFlags"=dword:00000000
"Class"="LegacyDriver"
"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"DeviceDesc"="maibanan"
"Capabilities"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MAIBANAN\0000\Control]
"ActiveService"="maibanan"
 
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_MAIBANAN]
"NextInstance"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_MAIBANAN\0000]
"Service"="maibanan"
"Legacy"=dword:00000001
"ConfigFlags"=dword:00000000
"Class"="LegacyDriver"
"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"DeviceDesc"="maibanan"
"Capabilities"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MAIBANAN]
"NextInstance"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MAIBANAN\0000]
"Service"="maibanan"
"Legacy"=dword:00000001
"ConfigFlags"=dword:00000000
"Class"="LegacyDriver"
"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"DeviceDesc"="maibanan"
"Capabilities"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MAIBANAN\0000\Control]
"ActiveService"="maibanan"

Удалить удается после создания рарешений: Permissions... FullControl - Allow

Но поевляется опяь после перезагруски компютера.

Вирус отсылает по протоколу TCP спам на 25 порт разных, многих SMTP серверов.
А также 12025 порт localhost
Процесцы разные и невидемые. Иногда это - системный services.exe, а иногда - просто, пустая строка.

Использует email спамлист. Вот пару адрессов:

Код:

[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]

Использует smtp лист. Вот пару адрессов:

Код:

 
mail-in.freeserve.com
ppagent1.ad.uab.edu
mail1.bluetie.com
relay.bc.edu
p2.nsm.ctmail.com
mx01.mx-server.net
server97.appriver.com
server74.appriver.com
82.1c.374a.static.theplanet.com
188.132.196.200
server41.appriver.com
kr-inmail.lycos.co.kr
mail.esat.ie
wsip-98-174-84-46.ri.ri.cox.net
sv121.visun.vn
s6a1.psmtp.com
mail1.garnethill.com
email.phoenix.edu
mail.emecmt.com
smtp2.thementornetwork.com
imss01.bes.com.tw
p2.nsm.ctmail.com
mail.bfsent.com 
p2.nsm.ctmail.com

Avast на высоком уровне email мониторинга находит:

Код:

 
There are too many identical e-mails in appointed time
 
Sender:  VIAGRA © Online Shop <RandomUser@MyRealHost.MyRealDomain>
Recipient:  <SpamUser>@<SpamDomain>
Subject:  For <SpamUser> special 80% OFF on Pfizer

Вот само сообщение:

В нем много ссылок, но URL один:
http://profiles.yahoo.com/blog/W45OUR2JTXH2YZ6GQJONUZYKTM
или
http://profiles.yahoo.com/u/W45OUR2JTXH2YZ6GQJONUZYKTM

Если отключится от сети - спит себе спокойно.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Никита Соловьев** · 18.12.2009, 20:01

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\CAMTHWDM.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\maibanan.sys','');
 QuarantineFile('C:\WINDOWS\system32\LogonDll.dll','');
 DeleteFile('C:\WINDOWS\system32\Drivers\maibanan.sys');
 BC_ImportALL;
 ExecuteSysClean;
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\maibanan.sys');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам

Сделайте новые логи + лог GMER (ссылка у меня в подписи)

**y.xakep** · 18.12.2009, 20:17

1. Скрипт выполнен.
2. После перезагруски все также.
3. Карантин закачан.

Код:

Файл сохранён как 091218_201628_virus_4b2bb8ecb8c1a.zip 
Размер файла 81116 
MD5 e80c640700fe49097aca1af3aa78e889

4. Буду делать новые логи и Gmer

**Никита Соловьев** · 18.12.2009, 20:18

Сообщение от Venus Doom

Сделайте новые логи + лог GMER (ссылка у меня в подписи)

...

**y.xakep** · 19.12.2009, 00:42

Во время сканирования GMER на RootKit произошла китическая ошибка (синий экран).
Не успел сохранить лог, но коечто запомнил:
GMER в табе RootKit обнаружил maibanan в трех местах
GMER в табе Services обнаружил service maibanan при BOOT загрузке.

Перезагрузился комп.
Не отссылается никакой спам. Всё тихо.
Service maibanan - дезактивирован и позволяет удалять себя.

Файл C:\WINDOWS\System32\Drivers\maibanan.sys стал нулевым [0 байт].
И позволяет себя удалять без особого труда.
Регистры остались но уже не скрытны:
Вот они:

Код:

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\maibanan]
"Type"=dword:00000001
"Start"=dword:00000004
"ErrorControl"=dword:00000000
"Group"="Boot Bus Extender"
"e0p5kRmW6"=hex:33,f1,33,96,34,7a,90,2f
"xYo8sW2l"=hex:50,99,19,32,3c,53,48,69,5a,51,a9,98,ee,ac,5a,e8,50,85,13,f8,b5,\
  b1,85,f5,5e,c1,2f,dd,80,3b,0d,5e,86,2b,89,9a,fb,f3,28,35,aa,34,be,46,82,0b,\
  c2,17,62,b2,04,93,51,36,fd,57,97,3e,ef,b2
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\maibanan\Enum]
"0"="Root\\LEGACY_MAIBANAN\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\maibanan]
"Type"=dword:00000001
"Start"=dword:00000004
"ErrorControl"=dword:00000000
"Group"="Boot Bus Extender"
"e0p5kRmW6"=hex:33,f1,33,96,34,7a,90,2f
"xYo8sW2l"=hex:50,99,19,32,3c,53,48,69,5a,51,a9,98,ee,ac,5a,e8,50,85,13,f8,b5,\
  b1,85,f5,5e,c1,2f,dd,80,3b,0d,5e,86,2b,89,9a,fb,f3,28,35,aa,34,be,46,82,0b,\
  c2,17,62,b2,04,93,51,36,fd,57,97,3e,ef,b2

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\maibanan]
"Type"=dword:00000001
"Start"=dword:00000004
"ErrorControl"=dword:00000000
"Group"="Boot Bus Extender"
"e0p5kRmW6"=hex:33,f1,33,96,34,7a,90,2f
"xYo8sW2l"=hex:50,99,19,32,3c,53,48,69,5a,51,a9,98,ee,ac,5a,e8,50,85,13,f8,b5,\
  b1,85,f5,5e,c1,2f,dd,80,3b,0d,5e,86,2b,89,9a,fb,f3,28,35,aa,34,be,46,82,0b,\
  c2,17,62,b2,04,93,51,36,fd,57,97,3e,ef,b2
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\maibanan\Enum]
"0"="Root\\LEGACY_MAIBANAN\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001


[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MAIBANAN]
"NextInstance"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MAIBANAN\0000]
"Service"="maibanan"
"Legacy"=dword:00000001
"ConfigFlags"=dword:00000000
"Class"="LegacyDriver"
"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"DeviceDesc"="maibanan"
"Capabilities"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MAIBANAN\0000\Control]
"ActiveService"="maibanan"
 
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_MAIBANAN]
"NextInstance"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_MAIBANAN\0000]
"Service"="maibanan"
"Legacy"=dword:00000001
"ConfigFlags"=dword:00000000
"Class"="LegacyDriver"
"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"DeviceDesc"="maibanan"
"Capabilities"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MAIBANAN]
"NextInstance"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MAIBANAN\0000]
"Service"="maibanan"
"Legacy"=dword:00000001
"ConfigFlags"=dword:00000000
"Class"="LegacyDriver"
"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"DeviceDesc"="maibanan"
"Capabilities"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MAIBANAN\0000\Control]
"ActiveService"="maibanan"

Мой вопрос:
Удалить процес сейчас?
Удалить ключи сейчас?
Удалить файл сейчас?
Или для вас еще важны коекакие логи?

**Никита Соловьев** · 19.12.2009, 00:54

Сделайте новый лог virusinfo_syscheck.zip

**y.xakep** · 19.12.2009, 01:06

Новые логи:
"Скрипт сбора информации для раздела "Помогите!" virusinfo.info"

**Никита Соловьев** · 19.12.2009, 01:14

В логах он больше не виден. Удаляйте

**y.xakep** · 19.12.2009, 01:20

Удалил - [Излечено]
Огромное спасибо Venus Doom.

**CyberHelper** · 20.12.2009, 01:20

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 8
В ходе лечения вредоносные программы в карантинах не обнаружены

Вирус MAIBANAN (заявка № 64265)

Опции темы

Вирус MAIBANAN

Next

Новые логи

Итог лечения

Метки для этой темы

Ваши права в разделе