Symantec обнаружил Downloader system32\cssrss.exe и Hacktool.Rootkit system32\ ybikeI.syz

[shushurik]

Здравствуйте! На компьютере поселился троян! Симантек выдаёт сообщение: (см. рис 1)
Мой вирус1: Downloader
\WINDOWS\system32\cssrss.exe
Мой вирус2: Hacktool.Rootkit
C:\WINDOWS\system32\
Выполнил проверку своего компьютера согласно «правил».
Сейчас Симантек молчит. Но мне интересно, что за болячка была в первопричине и все ли теперь благополучно?
И еще, да простит меня модератор, но может посоветуете ,собственно только день как подключил ком к ADSL модему и в Интернет вышел, - посоветуйте файрвол.
Сейчас стоит следущее ПО для безопасности и поиска:

• Symantec AntiVirus™ Corporate Edition
• Ad-Aware SE Personal
• Windows-KB890830-V1.36.exe
• avz4
• cureit.exe
• HijackThis.exe

Всем этим просканировал.
Как обезопасить себя грамотно?

[Макcим]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Program Files\Aura\aura.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\LVPr2Mon.sys','');
 BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

"Пофиксите" в HijackThis

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = 
O4 - Startup: -
O4 - Global Startup: -

Загрузите карантин согласно приложению №3 правил.

Что из этого нужно?

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Добавлено через 4 минуты

Что касается профилактики - Symantec не самый лучший антиврус. Посмотрите сами http://virusinfo.info/showpost.php?p...&postcount=130
Ad-Aware - бесполезная софтина. Можно удалить.

AVZ, Курит, HJT это всё для диагностики и лечения, но не для защиты. Советую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

[shushurik]

цитата: "Что из этого нужно?
Код:
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)>> Безопасность: разрешен автозапуск программ с CDROM>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)>> Безопасность: к ПК разрешен доступ анонимного пользователя>> Безопасность: Разрешена отправка приглашений удаленному помошнику
"
На первый взгляд – ничего не нужно. Как запретить?

[Макcим]

Выполните скрипт в AVZ

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
end.

[shushurik]

Maxim, что за болячка была в первопричине и все ли теперь благополучно? Книгу читаю.

[Макcим]

Подождем ответа из вир. лаба. Как только придет - сообщим. Сейчас трудно сказать что было в первоисточнике, у Symantec нет точной классификации.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 7
• В ходе лечения вредоносные программы в карантинах не обнаружены