Показано с 1 по 13 из 13.

Троянцы атакуют (заявка № 12129)

  1. #1
    Junior Member Репутация
    Регистрация
    03.09.2007
    Сообщений
    45
    Вес репутации
    61

    Thumbs up Троянцы атакуют

    Здравствуйте все!

    Поймала на двух компьютерах (один из них - шлюз во внешний мир) троянцев. NOD'ом идентифицируются как
    Agent.OH
    TrojanDownloader.Small.EQN
    Nuwar.Gen.
    Похоже, что NOD находит только последствия - вредные процессы и файлы, но кто их порождает - выловить не могу. Делала все, что написано в указаниях по лечению этих троянцев, какие нашла в инете, но безуспешно. Помогите пожалуйста, люди добрые. Да, во время исполнения скрипта, формирующего virusinfo_syscure.zip, вспомнила, что не запустила браузер. Отключила исполнение скрипта, включила браузер, запустила скрипт на исполнение. В логе пропали строки об излечивании C:\Windows\system32\svchost.exe и о маскировке исполняемого файла им же. Не знаю, насколько эта информация полезна.

    Наталия
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,298
    Вес репутации
    1578
    Выполните скрипт в AVZ:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\vedxga3me2.exe','');
     QuarantineFile('C:\WINDOWS\system32\c++.exe','');
     QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe','');
    BC_ImportQuarantineList;
    BC_DeleteSvc('FCI');
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил.
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    03.09.2007
    Сообщений
    45
    Вес репутации
    61
    Доброе утро!

    Высылаю содержимое карантина.

    Наталия
    Последний раз редактировалось drongo; 03.09.2007 в 10:26.

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,298
    Вес репутации
    1578
    1. Карантин из темы уберите и отправьте через эту форму:
    http://virusinfo.info/upload_virus.php?tid=12129

    2. Очистите корзину.

    3. Пофиксите в HijackThis:
    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\c++.exe,
    4. Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFile('C:\WINDOWS\system32\vedxga3me2.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    5. Сообщите, используете ли вы что-то из нижеуказанного:
    Код:
    >> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
    >> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
    >> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
    >> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
    > Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
    >> Безопасность: разрешен автозапуск программ с CDROM
    >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
    >> Безопасность: к ПК разрешен доступ анонимного пользователя
    >> Безопасность: Разрешена отправка приглашений удаленному помошнику
    Добавлено через 52 минуты

    Забыл добавить: два антивируса сразу использовать настоятельно не рекомендуется. Во избежание тормозов и глюков один из них надо убрать (Imho, Аваст - самое слабое звено!(с) )
    Последний раз редактировалось Bratez; 03.09.2007 в 10:45. Причина: Добавлено
    I am not young enough to know everything...

  6. #5
    Junior Member Репутация
    Регистрация
    03.09.2007
    Сообщений
    45
    Вес репутации
    61
    Цитата Сообщение от Bratez Посмотреть сообщение
    5. Сообщите, используете ли вы что-то из нижеуказанного:
    Код:
    >> Нет Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр) 
    >> Нет Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
    >> Нет Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
    >> Нет Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
    > Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
    >> Да Безопасность: разрешен автозапуск программ с CDROM
    >> Нет Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
    >> Да Безопасность: к ПК разрешен доступ анонимного пользователя
    >> Нет Безопасность: Разрешена отправка приглашений удаленному помошнику
    Цитата Сообщение от Bratez Посмотреть сообщение
    Забыл добавить: два антивируса сразу использовать настоятельно не рекомендуется. Во избежание тормозов и глюков один из них надо убрать (Imho, Аваст - самое слабое звено!(с) )
    Да, я читала. Пора-таки вычистить Avast.

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,298
    Вес репутации
    1578
    Выполните такой скрипт в AVZ:
    Код:
    begin
    RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
    RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
    SetServiceStart('Schedule', 4);
    SetServiceStart('SSDPSRV', 4);
    SetServiceStart('TermService', 4);
    SetServiceStart('RemoteRegistry', 4);
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Сделайте для контроля новые логи, начиная с п.10 правил.
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    03.09.2007
    Сообщений
    45
    Вес репутации
    61
    Контрольный выстрел:
    Вложения Вложения

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    89
    .AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\winlogon.exe','');
     DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\winlogon.exe');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.
    Прислать карантин согласно приложения 3 правил .
    Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=12129

    Повторите логи.

  10. #9
    Junior Member Репутация
    Регистрация
    03.09.2007
    Сообщений
    45
    Вес репутации
    61
    Повторяю логи.
    Вложения Вложения

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,298
    Вес репутации
    1578
    Странно, что ваш НОД пропустил этого зверька. В начале ведь его не было! Базы НОДа не старые? Не забывайте обновлять!

    Последние логи чистые.
    I am not young enough to know everything...

  12. #11
    Junior Member Репутация
    Регистрация
    03.09.2007
    Сообщений
    45
    Вес репутации
    61
    Ура! Спасибо большое! (Пляшет джигу)
    NOD32 у меня почему-то вообще троянцев плохо видит. Базы в частности на этой машине обновляются каждый день через инет, на отлученных от инета - раз в неделю. Может, в компанию к NOD'у надо специализированную трояноловилку ставить, чтоб на взлете их пристреливал?

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    89
    Рекомендую работать под пользователем с ограниченными правами.
    По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
    Можете так же установить фаервол,подробнее о них можно узнать тут http://virusinfo.info/forumdisplay.php?f=40

    Советуем прочитать электронную книгу)"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
    Вы можете нас отблагодарить,оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

    Удачи!

  14. #13
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,233
    Вес репутации
    977

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 14
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\vedxga3me2.exe - Trojan-Downloader.Win32.Agent.coq (DrWEB: Trojan.DownLoader.31981)


  • Уважаемый(ая) Natalie, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Троянцы не удаляются
      От tenzor в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 10.05.2012, 18:16
    2. троянцы отакавали!!
      От boos в разделе Помогите!
      Ответов: 19
      Последнее сообщение: 22.02.2009, 01:52
    3. Троянцы и прочие гады
      От writeme в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 04.10.2008, 19:04
    4. Троянцы simp_dll.dll и totour.exe
      От Фоксег в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 16.10.2007, 17:54
    5. Одолели троянцы
      От Necrofag в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 26.12.2006, 08:38

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00778 seconds with 20 queries