RootKit kprof со товарищи (Lika)

[Ивпал]

И вновь - целая толпа монстров:

[PavelA]

профиксить в hijackthis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\idaw64.exe,

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\kprof','');
QuarantineFile('C:\WINDOWS\system32\poof','');
 QuarantineFile('C:\WINDOWS\system32\idaw64.exe','');
 QuarantineFile('C:\DOCUME~1\CCD4~1\LOCALS~1\Temp\winlogon.exe','');
 QuarantineFile('\??\C:\WINDOWS\system32\DefLib.sys','');
 BC_QrSvc('poof');
 BC_QrSvc('kprof');
 BC_DeleteFile('\??\C:\WINDOWS\system32\DefLib.sys');
 DeleteFile('C:\DOCUME~1\CCD4~1\LOCALS~1\Temp\winlogon.exe');
 BC_DeleteFile('C:\DOCUME~1\CCD4~1\LOCALS~1\Temp\winlogon.exe');
 BC_DeleteFile('C:\WINDOWS\system32\poof');
 BC_DeleteFile('C:\WINDOWS\system32\kprof');
 BC_DeleteSvc('poof');
 BC_DeleteSvc('kprof');
 BC_DeleteSvc('FCI');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки загрузить карантин и сделать новые логи.

[Ивпал]

Остался Trojan-Spy.Win32.Iespy.

[PavelA]

А и где карантин после моего скрипта? Жалко, если его антивир съел, даже с ini-файламию
Есть карантин только после выполнения логов.

Осталось чуть больше зверей. Скрипт сейчас нарисую.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('mswshl.dll','');
 QuarantineFile('C:\WINDOWS\svchost.exe','');
 DeleteFile('C:\WINDOWS\svchost.exe');
 BC_DeleteFile('C:\WINDOWS\svchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузить конкретно mswshl.dll и C:\WINDOWS\svchost.exe + C:\WINDOWS\system32\mswapi.dll

[Ивпал]

Пардон, с карантином перемудрил, похоже.
Сейчас выслал старый.

Пошел скриптить...

[PavelA]

Backdoor.Trojan - 'C:\WINDOWS\svchost.exe' (по Симантеку)

А карантин опять не тот. Там минимум 5-файлов ini д.б.

[Ивпал]

Вот, нашел и такой, с пятью ini. Других больше нет

[PavelA]

То, что нужно.

Deflib.sys - Hacktool.Rootkit (по Симантеку)
mswapi.dll - Trojan-Spy.Win32.Iespy.cb (новый по Касперскому)
kpoof - Hacktool.Rootkit (по Симантеку)

[Ивпал]

И что же с этой троицей делать?
AVZ оять говорить про Trojan-Spy.Win32.Iespy.ag

[PavelA]

Это для его удаления.

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\mswapi.dll');
ExecuteSysClean;
RebootWindows(true);
end.

[Bratez]

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe','');
 QuarantineFile('C:\WINDOWS\system32\mswapi.dll','');
 DeleteFile('C:\WINDOWS\system32\mswapi.dll');
 DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
BC_ImportDeletedList;
BC_DeleteSvc('FCI');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Если что-то попадет в карантин - пришлите по правилам.

Пофиксите в HijackThis:

O2 - BHO: (no name) - {e3a729da-eabc-df50-1842-dfd682644311} - C:\WINDOWS\system32\mswapi.dll
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O20 - Winlogon Notify: reset6 - mswshl.dll (file missing)

Сделайте новые логи.

[Ивпал]

В Карантине пусто.
Новые логи.

[PavelA]

Что из этого не нужно? Можем помочь закрыть.

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[Ивпал]

Первые 4 и последние 2. Закрою.
Спасибо!