Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 27.

Conficker.AA на W2K3server (заявка № 130904)

  1. #1
    Junior Member Репутация
    Регистрация
    10.01.2013
    Сообщений
    21
    Вес репутации
    19

    Conficker.AA на W2K3server

    Здравствуйте. Заражена система W2K3server_SP2. Наличие зверя постоянно отлавливается установленным НОДом - оттуда и название заголовка этой темы. Это подтверждается следующими сообщениями:

    24.01.2013 10:26:27 — Модуль Защита в режиме реального времени —
    Предупреждение об угрозе на компьютере SV1: объект
    C:\WINDOWS\System32\vnmylpp.lhg заражен вирусом Win32/Conficker.AA червь.

    1.При включенном планировщике заданий образуется AT... задание, плодящее процессы rundll32.exe и представленное командой: rundll32.exe vnmylpp.lhg ,zvpza с ежедневным её выполнением, примерно, каждый час.
    2.Средства CureIt ,Kidokiller, НОД - беспомощны на полное удаление.
    3.Заплаты MS08-067, MS08-068, MS09-001 стоят.
    4.При запуске GMER сервер уходит на перезагрузку.
    Надеюсь на Ваш совет. Спасибо.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,465
    Вес репутации
    343
    Уважаемый(ая) Capral55, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    25,434
    Вес репутации
    730
    Capral55 надо не только эти заплатки, а все обновления виндоус поставить !

    Скачайте, распакуйте и запустите TDSSKiller:
    http://support.kaspersky.ru/faq/?qid=208636926
    Если программа обругается на файл WINDOWS\system32\Drivers\sptd.sys, то не удаляйте его.
    Файл C:\TDSSKiller.***_log.txt приложите в теме.
    (где *** - версия программы, дата и время запуска.)

    - - - Добавлено - - -

    + логи сделаны из терминальной сессии, все логи надо делать из под локали.


    + Проведите процедуру, которая описана тут. Результат загрузки напишите в сообщении здесь.

  5. Это понравилось:


  6. #4
    Junior Member Репутация
    Регистрация
    10.01.2013
    Сообщений
    21
    Вес репутации
    19
    Провёл проверку TDSSKiller - обнаружен лишь упомянутый Вами сервис sptd
    Вот лог ( не нашёл, как сделать приложение файла к теме. Извините - исправлюсь ) Спасибо. Жду дальнейших рекомендаций.
    18:49:25.0921 2812 TDSS rootkit removing tool 2.8.15.0 Oct 31 2012 21:47:35
    18:49:27.0140 2812 ================================================== ==========
    18:49:27.0140 2812 Current date / time: 2013/02/02 18:49:27.0140
    18:49:27.0140 2812 SystemInfo:
    18:49:27.0140 2812
    18:49:27.0140 2812 OS Version: 5.2.3790 ServicePack: 2.0
    18:49:27.0140 2812 Product type: Server
    18:49:27.0140 2812 ComputerName: SV1
    18:49:27.0140 2812 UserName: shaa
    18:49:27.0140 2812 Windows directory: C:\WINDOWS
    18:49:27.0140 2812 System windows directory: C:\WINDOWS
    18:49:27.0140 2812 Processor architecture: Intel x86
    18:49:27.0140 2812 Number of processors: 2
    18:49:27.0140 2812 Page size: 0x1000
    18:49:27.0140 2812 Boot type: Normal boot
    18:49:27.0140 2812 ================================================== ==========
    18:49:27.0359 2812 !crdlk
    18:49:27.0359 2812 Drive \Device\Harddisk0\DR0 - Size: 0x5D26F00000 (372.61 Gb), SectorSize: 0x200, Cylinders: 0xBE00, SectorsPerTrack: 0x3F, TracksPerCylinder: 0xFF, Type 'W'
    18:49:27.0375 2812 Drive \Device\Harddisk1\DR1 - Size: 0x5D26F00000 (372.61 Gb), SectorSize: 0x200, Cylinders: 0xBE00, SectorsPerTrack: 0x3F, TracksPerCylinder: 0xFF, Type 'W'
    18:49:27.0390 2812 Drive \Device\Harddisk2\DR2 - Size: 0x5D26F00000 (372.61 Gb), SectorSize: 0x200, Cylinders: 0xBE00, SectorsPerTrack: 0x3F, TracksPerCylinder: 0xFF, Type 'W'
    18:49:27.0406 2812 ================================================== ==========
    18:49:27.0406 2812 \Device\Harddisk0\DR0:
    18:49:27.0406 2812 MBR partitions:
    18:49:27.0406 2812 \Device\Harddisk0\DR0\Partition1: MBR, Type 0x7, StartLBA 0x3F, BlocksNum 0xC34F28D
    18:49:27.0421 2812 \Device\Harddisk0\DR0\Partition2: MBR, Type 0x7, StartLBA 0xC34F30B, BlocksNum 0x225E4AF5
    18:49:27.0421 2812 \Device\Harddisk1\DR1:
    18:49:27.0421 2812 MBR partitions:
    18:49:27.0421 2812 \Device\Harddisk1\DR1\Partition1: MBR, Type 0x7, StartLBA 0x3F, BlocksNum 0x2E933DC1
    18:49:27.0421 2812 \Device\Harddisk2\DR2:
    18:49:27.0421 2812 MBR partitions:
    18:49:27.0421 2812 \Device\Harddisk2\DR2\Partition1: MBR, Type 0x7, StartLBA 0x3F, BlocksNum 0x2E933DC1
    18:49:27.0421 2812 ================================================== ==========
    18:49:27.0453 2812 D: <-> \Device\Harddisk1\DR1\Partition1
    18:49:27.0468 2812 F: <-> \Device\Harddisk0\DR0\Partition2
    18:49:27.0500 2812 C: <-> \Device\Harddisk0\DR0\Partition1
    18:49:27.0546 2812 E: <-> \Device\Harddisk2\DR2\Partition1
    18:49:27.0546 2812 ================================================== ==========
    18:49:27.0546 2812 Initialize success
    18:49:27.0546 2812 ================================================== ==========
    18:49:43.0812 0244 Deinitialize success

  7. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    25,434
    Вес репутации
    730
    Цитата Сообщение от regist Посмотреть сообщение
    + логи сделаны из терминальной сессии, все логи надо делать из под локали.

    + Проведите процедуру, которая описана тут. Результат загрузки напишите в сообщении здесь.
    жду

  8. Это понравилось:


  9. #6
    Junior Member Репутация
    Регистрация
    10.01.2013
    Сообщений
    21
    Вес репутации
    19
    Здравствуйте!
    Скажу сразу, что сообщения о наличии вируса программой НОД прекратились со 02.02.2013 с 17-30 местного времени, точнее говоря было проведено только полное обновление W2K3 server.
    Тем не менее, я довожу нашу переиску до логического конца и отправляю Вам результаты сегодняшней загрузки AVZ :
    Результат загрузки
    Файл сохранён как 130204_001625_virusinfo_files_SV1_510efdd9b7fc9.zi p
    Размер файла 1255742
    MD5 ea9e432348dc9fb5619cf93b66d9a38c
    Файл закачан, спасибо!
    И ещё вопрос - второй раз получил замечание "логи сделаны из терминальной сессии, все логи надо делать из под локали". Я их делаю не из терминальной сессии, а подключившись консолью непосредственно к серверу. Этот сервер имеет роль терминального. В чём я не прав ?
    Но главное - вируса больше нет. Благодарю Вас. Будет время - пожалуйста ответьте и совместно - закроем эту тему.

  10. #7
    Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mrak74
    Регистрация
    03.10.2009
    Адрес
    Москва
    Сообщений
    9,009
    Вес репутации
    466
    Что в Вашем понимании означает
    а подключившись консолью непосредственно к серверу.
    ?

    На серверах логи необходимо делать непосредственно на сервере, управлять с его монитора, его клавиатуры, его мыши.

  11. #8
    Junior Member Репутация
    Регистрация
    10.01.2013
    Сообщений
    21
    Вес репутации
    19
    дЫК.....ТАК ОНО И БЫЛО.....Консоль - это переключаемые по разным серверам клава и мышь ( KLM на 16 входов )

  12. #9
    Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mrak74
    Регистрация
    03.10.2009
    Адрес
    Москва
    Сообщений
    9,009
    Вес репутации
    466
    Тогда всё правильно. Обновить бы сервер не помешало.

    - Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
    Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
    Перезагрузите компьютер.
    Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

  13. #10
    Junior Member Репутация
    Регистрация
    10.01.2013
    Сообщений
    21
    Вес репутации
    19
    Я сделал это , скрипт прошёл без создания лога, выдав в конце : окно - Скрипт выполнен без ошибок. Окно результата:Поиск критических уязвимостей. Часто используемые уязвимости не обнаружены.

  14. #11
    Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mrak74
    Регистрация
    03.10.2009
    Адрес
    Москва
    Сообщений
    9,009
    Вес репутации
    466
    Через Windows update попробуйте.

    + Сделайте логи RSIT Нужны оба лога.

  15. #12
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    25,434
    Вес репутации
    730
    Цитата Сообщение от Capral55 Посмотреть сообщение
    Я их делаю не из терминальной сессии, а подключившись консолью непосредственно к серверу. Этот сервер имеет роль терминального. В чём я не прав ?
    логи были сделаны из терминальной сессии RDP-Tcp#22 об этом есть соответствующее уведомление в логах.

  16. #13
    Junior Member Репутация
    Регистрация
    10.01.2013
    Сообщений
    21
    Вес репутации
    19
    Я обновлялся именно через Windows Update. Сделал все обновления. После этого вирус НЕ обнаруживается программой НОД. Логи RSIT могу сделать только ночью - сервер постоянно в работе.. А надо ли ? - вируса-то нет. Всё работает нормально.

    - - - Добавлено - - -

    Самый первый лог - да, был грех, но потом-то...
    Я их делаю не из терминальной сессии, а подключившись консолью непосредственно к серверу. Этот сервер имеет роль терминального.
    Последний раз редактировалось Capral55; 05.02.2013 в 03:51.

  17. #14
    Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mrak74
    Регистрация
    03.10.2009
    Адрес
    Москва
    Сообщений
    9,009
    Вес репутации
    466
    Цитата Сообщение от Capral55 Посмотреть сообщение
    А надо ли ? - вируса-то нет. Всё работает нормально.
    Ну раз проблема исчерпана. То не надо.

  18. #15
    Junior Member Репутация
    Регистрация
    10.01.2013
    Сообщений
    21
    Вес репутации
    19

    продолжение Conficker на W2K3server

    Итак , враг не дремлет, и как только я расслабился он поднял свою поганую голову. Во вложениях - то, что Вы просили, Уважаемый mrak74
    Вложения Вложения
    • Тип файла: txt info.txt (37.7 Кб, 4 просмотров)
    • Тип файла: txt log.txt (59.3 Кб, 3 просмотров)

  19. #16
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    25,434
    Вес репутации
    730
    Код:
    C:\WINDOWS\tasks\At1.job
    C:\WINDOWS\tasks\At978.job
    эти задания вам знакомы ?

    Обновите базы AVZ и сделайте новый лог virusinfo_syscheck.zip

    + Сделайте лог полного сканирования МВАМ.

  20. #17
    Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mrak74
    Регистрация
    03.10.2009
    Адрес
    Москва
    Сообщений
    9,009
    Вес репутации
    466
    +
    C:\tsshutdown.bat
    Вам знаком ? Установите http://www.microsoft.com/ru-ru/downl...s.aspx?id=6676

  21. #18
    Junior Member Репутация
    Регистрация
    10.01.2013
    Сообщений
    21
    Вес репутации
    19
    Цитата Сообщение от regist Посмотреть сообщение
    Код:
    C:\WINDOWS\tasks\At1.job
    C:\WINDOWS\tasks\At978.job
    эти задания вам знакомы ?


    Обновите базы AVZ и сделайте новый лог virusinfo_syscheck.zip

    + Сделайте лог полного сканирования МВАМ.
    Да, только в назначенных всегда одно, в дан.случае AT978, причём цифра меняется, в тек момент их два 997 и 996. Если удалишь - появится новое 998. Они образуются , когда НОД фиксирует наличие вируса.

    Запустил MBAM во время работы сервера с пользователями - сервер завис, пришлось перегружать.

    [
    Вложения Вложения
    Последний раз редактировалось Capral55; 06.02.2013 в 08:16.

  22. #19
    Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для mrak74
    Регистрация
    03.10.2009
    Адрес
    Москва
    Сообщений
    9,009
    Вес репутации
    466
    Задания продолжают появляться ?

  23. #20
    Junior Member Репутация
    Регистрация
    10.01.2013
    Сообщений
    21
    Вес репутации
    19
    Пока нет в течение , около 4-х часов....Активности вируса также не фиксируется НОДом, хотя в " рабочем" состоянии это происходило каждые 48мин.

  • Уважаемый(ая) Capral55, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Страница 1 из 2 12 Последняя

    Похожие темы

    1. И снова он-Conficker.AA и новый Conficker.AE
      От Krossovka в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 21.08.2009, 22:49
    2. Conficker.Net
      От ipDoink в разделе Помогите!
      Ответов: 15
      Последнее сообщение: 29.04.2009, 10:55
    3. Conficker.X & Conficker.AA на Windows 2000 server
      От M.Kristo в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 03.04.2009, 07:13
    4. Conficker.
      От AndrewBG в разделе Помогите!
      Ответов: 33
      Последнее сообщение: 22.02.2009, 10:10
    5. Conficker.AA
      От karasik в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 13.01.2009, 14:22

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00944 seconds with 17 queries