-
Junior Member
- Вес репутации
- 47
Неуловимый руткит?
Добрый день.
Помогите, pls, поймать зубатого и вычистить его хвосты. Систма win xp с 3-м сервиспаком.
Проявления:
- блокированные ветки реестра с HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\*
- невозможно установить антивирусы (не хватает прав на доступ к каталогу установки в program files, при мониторе - не хватает прав на доступ к веткам реестра с полиси)
- зацикленная установка апдейтов от микрософт
- "восстанавливающиеся" автозапуски со всех типов дисков (авторанов не обнаружено), запрет на просмотр скрытых и системных файлов
- постоянное обнаружение нового оборудования "универсальный том" при этом кроме мыши никаких внешних 1394/bluetooth/usb-устройств не подключено (установка влияет на микшер звукозаписи ядра системы - пропадает звук до перезагрузки)
МВМ дает чистый лог, руткит ревальер аналогично, ауторанс/хиджак ничего "злобного" не показывают.
Логонсешн дает
C:\Program Files\Sysutil>logonsessions.exe
Logonsesions v1.21
Copyright (C) 2004-2010 Bryce Cogswell and Mark Russinovich
Sysinternals - wwww.sysinternals.com
[0] Logon session 00000000:000003e7:
User name: MYHOMEGROUP\POL$
Auth package: NTLM
Logon type: (none)
Session: 0
Sid: S-1-5-18
Logon time: 14.06.2011 20:18:00
Logon server:
DNS Domain:
UPN:
[1] Logon session 00000000:0000ed58:
User name:
Auth package: NTLM
Logon type: (none)
Session: 0
Sid: (none)
Logon time: 14.06.2011 20:18:00
Logon server:
DNS Domain:
UPN:
[2] Logon session 00000000:000003e4:
User name: NT AUTHORITY\NETWORK SERVICE
Auth package: Negotiate
Logon type: Service
Session: 0
Sid: S-1-5-20
Logon time: 14.06.2011 20:18:02
Logon server:
DNS Domain:
UPN:
[3] Logon session 00000000:00010eda:
User name: POL\Paul
Auth package: NTLM
Logon type: Interactive
Session: 0
Sid: S-1-5-21-117609710-1645522239-839522115-1003
Logon time: 14.06.2011 20:18:05
Logon server: POL
DNS Domain:
UPN:
[4] Logon session 00000000:000003e5:
User name: NT AUTHORITY\LOCAL SERVICE
Auth package: Negotiate
Logon type: Service
Session: 0
Sid: S-1-5-19
Logon time: 14.06.2011 20:18:10
Logon server:
DNS Domain:
UPN:
Скрипт восстановления полисей восстанавливает только до перезагрузки.
С LiveCD запуск куреит и подобных ничего не находит
Gmer стартует с ошибкой LoadDriver("C:/Temp\pxtdapow.sys") error 0xC000003A: Нельзя создать статический подпараметр для временного родительского параметра и C:\Windows\system32\config\system: Процесс не может получить доступ к файлу, т.к. этот файл занят другим процессом
Последний раз редактировалось ne_kodim; 14.06.2011 в 23:01.
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
Уважаемый(ая) ne_kodim, спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
-
-
Junior Member
- Вес репутации
- 47
Лог MBAM
Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org
Версия базы данных: 6859
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702
15.06.2011 10:19:57
mbam-log-2011-06-15 (10-19-57).txt
Тип сканирования: Полное сканирование (C:\|)
Просканированные объекты: 289482
Времени прошло: 36 минут, 19 секунд
Зараженные процессы в памяти: 0
Зараженные модули в памяти: 0
Зараженные ключи в реестре: 0
Зараженные параметры в реестре: 0
Объекты реестра заражены: 0
Зараженные папки: 0
Зараженные файлы: 0
Зараженные процессы в памяти:
(Вредоносных программ не обнаружено)
Зараженные модули в памяти:
(Вредоносных программ не обнаружено)
Зараженные ключи в реестре:
(Вредоносных программ не обнаружено)
Зараженные параметры в реестре:
(Вредоносных программ не обнаружено)
Объекты реестра заражены:
(Вредоносных программ не обнаружено)
Зараженные папки:
(Вредоносных программ не обнаружено)
Зараженные файлы:
(Вредоносных программ не обнаружено)
HKLM\Security\Policy\Secrets\SAC* "Ошибка при открытии раздела", просмотреть Разрешения -> Безопасность нельзя
аналогично с веткой HKLM\Security\Policy\Secrets\SAI*
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSM AN\* Security mismatch
-
Итог лечения
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 2
- В ходе лечения вредоносные программы в карантинах не обнаружены
-