Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 22.

Трояны-заражение (заявка № 13104)

  1. #1
    Junior Member Репутация
    Регистрация
    25.07.2007
    Сообщений
    28
    Вес репутации
    38

    Thumbs up Трояны-заражение

    Недавно взломали асю (2 дня назад). Подозреваю что троем вскрыли, его я не нашел просканил
    всю систему на том и успокоился. И сегодня с утра пошло поехало вирус за вирусом...
    Win32:Small - EPJ[Trj]
    Win32:Agent - LYK[Trj]
    Win32:Agent - KIR[Trj]
    Посстаянно выдает что идет соединение на котором заражение и выдает странные адреса.
    Комп постоянно ребутится самостоятельно... вот только в сейв моде смог подержать его
    подольше и запусть сканер AVZ и HJ.
    Помогите пож-та. Зарание благодарен.
    Логи:

    Вложение 19656
    Вложение 19657
    Последний раз редактировалось LamBerT; 12.03.2010 в 22:50.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    virusinfo_syscure.zip нужен. Карантин отсюда надо убрать.
    Логи посмотрю.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  4. #3
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
     QuarantineFile('c:\windows\system32\svchost.exe:ext.exe','');
     QuarantineFile('C:\Program Files\BitAccelerator\BitAccelerator.dll','');
     QuarantineFile('C:\Program Files\ConnectionServices\ConnectionServices.dll','');
     QuarantineFile('C:\WINDOWS\system32\_svchost.exe','');
     QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
     QuarantineFile('C:\DOCUME~1\Fenix\LOCALS~1\Temp\winlogon.exe','');
     QuarantineFile('c:\windows\system32\drivers\Acqr67.sys','');
     QuarantineFile('C:\Documents and Settings\All Users.WINDOWS\Документы\Settings\partnership.dll','');
     DeleteFile('C:\Documents and Settings\All Users.WINDOWS\Документы\Settings\partnership.dll');
     DeleteFile('c:\windows\system32\drivers\Acqr67.sys');
     DeleteFile('C:\DOCUME~1\Fenix\LOCALS~1\Temp\winlogon.exe');
     DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
     DeleteFile('C:\WINDOWS\system32\_svchost.exe');
     DeleteFile('C:\Program Files\ConnectionServices\ConnectionServices.dll');
     DeleteFile('C:\Program Files\BitAccelerator\BitAccelerator.dll');
     DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
     DeleteFile('c:\windows\system32\svchost.exe:ext.exe');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил.
    Пофиксите в HijackThis (что останется):
    Код:
    O2 - BHO: ConnectionServices module - {6D7B211A-88EA-490c-BAB9-3600D8D7C503} - C:\Program Files\ConnectionServices\ConnectionServices.dll
    O2 - BHO: BitAccelerator module - {92860A02-4D69-48c1-82D7-EF6B2C609502} - C:\Program Files\BitAccelerator\BitAccelerator.dll
    O4 - HKLM\..\Run: [Microsoft Internet Explorer] C:\WINDOWS\system32\_svchost.exe
    O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
    O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
    O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\Fenix\LOCALS~1\Temp\winlogon.exe
    O20 - Winlogon Notify: partnershipreg - C:\Documents and Settings\All Users.WINDOWS\Документы\Settings\partnership.dll
    Обновите базы AVZ.
    Сделайте новые логи в нормальном режиме.
    I am not young enough to know everything...

  5. #4
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    ConnectionServices просто можно деинсталлировать.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  6. #5
    Junior Member Репутация
    Регистрация
    25.07.2007
    Сообщений
    28
    Вес репутации
    38
    Что написали сделал, щас вывешу логи... помогло. СПАСИБО.
    Базы обновил. правда моему Avast'у что-то там не понравилось в папке с AVZ... выдал 2 троя.
    Что добавлять в карантин?

    Тогда погодите отрублю и сново прогоню...
    Последний раз редактировалось LamBerT; 11.10.2007 в 17:42.

  7. #6
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    На время проверок антивирус надо отключать, а то он нашу добычу съест.

    Грузи весь карантин через http://virusinfo.info/upload_virus.php?tid=13104
    См. приложение 3 Правил.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  8. #7
    Junior Member Репутация
    Регистрация
    25.07.2007
    Сообщений
    28
    Вес репутации
    38
    Новые логи:

    Вложение 19710

    Вложение 19711

    Вложение 19712

    Карантин отправил.
    071011_094700_virus_470e37645dbff.zip

    Всем еще раз огромное спасибо!=)
    Последний раз редактировалось LamBerT; 12.03.2010 в 22:50.

  9. #8
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Выплыл еще один.
    Выполнять в защищенном режиме:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    BC_QrFile('C:\WINDOWS\system32\drivers\symavc32.sys');
    BC_deleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
    BC_DeleteSvc('Microsoft Internet Explorer');
    BC_Activate;
    RebootWindows(true);
    end.
    Добавлено через 2 минуты

    На асе пароль сменил?
    Последний раз редактировалось PavelA; 11.10.2007 в 17:52. Причина: Добавлено
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  10. #9
    Junior Member Репутация
    Регистрация
    25.07.2007
    Сообщений
    28
    Вес репутации
    38
    Скрипт выполнил.
    Обновленные логи:

    Вложение 19713

    Вложение 19714

    Вложение 19715

    Старый уин аси ради прикола кто-то вскрыл и сменил пароль, потому как на продажу 9-знак самый обычный явно не тянет, жалко просто 2 года на ней сидел ни разу даже намека не было, все меня под ней знали, примак не ставил, не думал, что может понадобиться... а как еще вернуть не знаю... пароль не подходит, из поддерки ась-кью ответа нет. Пароли сменил везде поставил 16-знак-букв-символ (на асю 8 ) =))))
    Последний раз редактировалось LamBerT; 12.03.2010 в 22:50.

  11. #10
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Просто фантастика! Одного убиваешь на его место два новых залетает.

    почисти временные файлы Инета. Ни на один сайт пока не ходи.
    Сейчас еще парочку удалять будем, опять же в защищенном режиме.

    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     Clearquarantine;
     QuarantineFile('\SystemRoot\System32\Drivers\augyrxkd.SYS','');
     QuarantineFile('C:\WINDOWS\system32\kprof','');
     QuarantineFile('C:\WINDOWS\system32\poof','');
     BC_Deletefile('C:\WINDOWS\system32\poof');
     BC_Deletefile('C:\WINDOWS\system32\kprof');
     BC_DeleteSvc('poof');
     BC_Deletesvc('kprof');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Затем сделать новые логи
    и загрузить карантин, куда положено.
    Последний раз редактировалось PavelA; 11.10.2007 в 18:15.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  12. #11
    Junior Member Репутация
    Регистрация
    25.07.2007
    Сообщений
    28
    Вес репутации
    38
    Вынужден отойти на 15-20 минут.
    мдя... кролики блин что ли!?
    Напишите пока что сдеалть пож-та...

    Добавлено через 5 минут

    Может быть где-то что-то на других дисках засело и распространяется, я ведь только системынй сканю...

    Скрипт выполнил. логи
    Вложение 19729

    Вложение 19730

    Вложение 19731

    Карантин еще раз закинуть?
    Последний раз редактировалось LamBerT; 12.03.2010 в 22:49.

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    971
    C:\Program Files\PremiumSoft\Navicat MySQL\navicat.exe.BAK- Trojan-Dropper.Win32.Delf.ahf (kaspersky)
    загрузчик троянов- пока не удалите- можно только новых ждать

  14. #13
    Junior Member Репутация
    Регистрация
    25.07.2007
    Сообщений
    28
    Вес репутации
    38
    А что мне с ним делать-то?

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    971
    Цитата Сообщение от LamBerT Посмотреть сообщение
    А что мне с ним делать-то?
    удалить советую на всякий случай просканировать касперским как указано в правилах , может ещё какие большие проги заражены. Только другие антивирусы удалить.

  16. #15
    Junior Member Репутация
    Регистрация
    25.07.2007
    Сообщений
    28
    Вес репутации
    38
    Да я уже удалил свой аваст и поставил Касперского интернет секьюрити и сканю уже еще 3 часа скана... правда зараза ключик требует а поможет ли удаление?

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    66
    Вы какую версию установили?есть пробные 30-ти дневные версии http://www.kaspersky.ru/trials
    не забудьте удалить C:\Program Files\PremiumSoft\Navicat MySQL\navicat.exe.BAK.

  18. #17
    Junior Member Репутация
    Регистрация
    25.07.2007
    Сообщений
    28
    Вес репутации
    38
    Я поставил 7.0 - и пробник тоже=)
    PavelA, фантастика, еще 12 троев ... у меня самого вопрос откуда?
    Вроде все почистил... вроде нормально... логи:
    Вложение 19751
    Вложение 19752
    Вложение 19753

    Если что напишите я каратин вышлю, если надо....
    Последний раз редактировалось LamBerT; 12.03.2010 в 22:49.

  19. #18
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Muzzle
    Регистрация
    07.02.2007
    Адрес
    Владивосток
    Сообщений
    1,068
    Вес репутации
    66
    Пришлите zavet.mp3 ,он уже попал в карантин

    Что из этого вам нужно?остальное пофиксим
    >> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
    >> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
    >> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
    >> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
    >> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
    >> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
    > Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
    >> Безопасность: разрешен автозапуск программ с CDROM
    >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
    >> Безопасность: к ПК разрешен доступ анонимного пользователя
    >> Безопасность: Разрешена отправка приглашений удаленному помошнику

  20. #19
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Цитата Сообщение от LamBerT Посмотреть сообщение
    Я поставил 7.0 - и пробник тоже=)
    PavelA, фантастика, еще 12 троев ... у меня самого вопрос откуда?
    Сказали же: дроппер сидел. Работал в полную силу.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  21. #20
    Junior Member Репутация
    Регистрация
    25.07.2007
    Сообщений
    28
    Вес репутации
    38
    Карантин, как просили выслал...
    071012_034636_virus_470f346c3b908.zip

    А скажите, пож-та сейчас-то логи чистые?

    P.S.
    Хочу еще раз всем сказать Огромное Спасибо.

  • Уважаемый(ая) LamBerT, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Страница 1 из 2 12 Последняя

    Похожие темы

    1. Заражение 006
      От 9073 в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 22.02.2009, 07:15
    2. Заражение-3
      От SonarMaster в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 22.02.2009, 02:44
    3. Заражение-2
      От SonarMaster в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 22.02.2009, 02:43
    4. Ответов: 13
      Последнее сообщение: 24.10.2008, 11:33
    5. Заражение-1
      От SonarMaster в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 23.10.2007, 14:33

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00539 seconds with 16 queries