Показано с 1 по 18 из 18.

Проблема с smtpdrv.sys (заявка № 16088)

  1. #1
    Junior Member Репутация
    Регистрация
    07.01.2008
    Сообщений
    13
    Вес репутации
    37

    Thumbs up Проблема с smtpdrv.sys

    Здравствуйте!
    Прошу о помощи. Проблема следующего характера: при очередном сканировании системы NOD32 выловил два заражённых файла — ip6fw.sys и smtpdrv.sys. Оба вручную были добавлены в карантин. После перезагрузки и повторного сканирования ip6fw.sys уже не помечается как заражённый, с ним проблем нет. Однако после загрузки Windows NOD32 указывает на два объекта:
    1. C:\WINDOWS\TEMP\127671.exe (Win32/Wigon.AH trojan);
    2. C:\WINDOWS\system32\drivers\smtpdrv.sys (Win32/Agent.NBT worm).
    Оба файла автоматически удаляются и помещаются в карантин. После перезагрузки всё повторяется снова.

    Логи прилагаю.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1695
    Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     StopService('Onh47');
     StopService('xpdx');
     QuarantineFile('C:\WINDOWS\system32\xpdx.sys','');
     QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
     QuarantineFile('C:\WINDOWS\Onh47.sys','');
     QuarantineFile('C:\WINDOWS\system32\DRIVERS\epfwtdir.sys','');
     QuarantineFile('C:\WINDOWS\system32\MSCORE.DLL','');
     QuarantineFile('C:\WINDOWS\system32\config32\updater.dll','');
     QuarantineFile('C:\WINDOWS\system32\config32\_0001\wizard.dll','');
     QuarantineFile('c:\windows\system32\svchost.exe','');
     DeleteFile('C:\WINDOWS\Onh47.sys');
     DeleteFile('C:\WINDOWS\system32\xpdx.sys');
     BC_ImportALL;
     BC_Activate;
     ExecuteSysClean;
     RebootWindows(true);
    end.
    Загрузите карантин согласно приложению №3 правил. Повторите логи.
    Последний раз редактировалось drongo; 07.01.2008 в 23:15.

  4. #3
    Junior Member Репутация
    Регистрация
    07.01.2008
    Сообщений
    13
    Вес репутации
    37
    Выполнил скрипт в первой редакции, т. е. со строкой:
    Код:
    StopService('epfwtdir');
    Загрузил карантин:
    Файл сохранён как 080107_144846_virus_4782902e64746.zip
    Размер файла 307996
    MD5 67651703f888499538d08688220810d2
    Логи прилагаю.

    NOD при загрузке Windows по-прежнему ругается на два указанных выше файла. Имя первого, правда, изменилось, но оно по-прежнему состоит из цифр.

    P.S. Кстати, NOD теперь стал ругаться: «An error occurred while starting services. Analysis of application protocols (POP3, HTTP) will not function».
    Вложения Вложения
    Последний раз редактировалось Striver; 07.01.2008 в 23:55. Причина: Добавление

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1695
    Цитата Сообщение от Striver Посмотреть сообщение
    P.S. Кстати, NOD теперь стал ругаться: «An error occurred while starting services. Analysis of application protocols (POP3, HTTP) will not function».
    Переустановите его. Я случайно принял драйвер НОДа за руткит, он без подписи и копирайта. Извиняюсь.

  6. #5
    Junior Member Репутация
    Регистрация
    07.01.2008
    Сообщений
    13
    Вес репутации
    37
    Цитата Сообщение от Maxim Посмотреть сообщение
    Переустановите его. Я случайно принял драйвер НОДа за руткит, он без подписи и копирайта. Извиняюсь.
    Окей, переустановлю.
    А что с вирусами делать?

  7. #6
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1695
    У Вас есть установочный диск Windows (не надо пока с ним ни чего делать!) ? Подождем результатов анализа присланных файлов.

  8. #7
    Junior Member Репутация
    Регистрация
    07.01.2008
    Сообщений
    13
    Вес репутации
    37
    Цитата Сообщение от Maxim Посмотреть сообщение
    У Вас есть установочный диск Windows (не надо пока с ним ни чего делать!) ? Подождем результатов анализа присланных файлов.
    Есть.
    «Не надо пока с ним ни чего делать» — пока не буду.

  9. #8
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1695
    Обновите базы AVZ.

    Выполните скрипт в AVZ
    Код:
    begin
     ClearQuarantine;
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     StopService('Onh47');
     StopService('smtpdrv');
     SetServiceStart('Onh47', 4);
     SetServiceStart('smtpdrv', 4);
     DeleteService('smtpdrv');
     DeleteService('Onh47');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Onh47.sys','');
     DeleteFile('C:\WINDOWS\system32\config32\_0001\wizard.dll');
     DeleteFile('C:\WINDOWS\system32\config32\updater.dll');
     DeleteFile('C:\WINDOWS\System32\Drivers\Onh47.sys');
     DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
     BC_DeleteFile('C:\WINDOWS\System32\Drivers\Onh47.sys');
     BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
     DelBHO('38DFDADF-BA43-4C43-7890-ADE6777666BB');
     DelBHO('38DFDADF-BA43-4C43-7890-ACAF12375911');
     DelBHO('06849E9F-C8D7-4D59-B87D-784B7D6BE0B3');
     BC_ImportALL;
     BC_Activate;
     ExecuteSysClean;
     RebootWindows(true);
    end.
    Загрузите карантин согласно приложению №3 правил. Повторите логи.

  10. #9
    Junior Member Репутация
    Регистрация
    07.01.2008
    Сообщений
    13
    Вес репутации
    37
    Спасибо, сейчас всё сделаю.

    Кстати, NOD32 (я его переустановил) после очередной проверки опять обнаружил ip6fw.sys:
    Код:
    C:\WINDOWS\system32\drivers\ip6fw.sys - Win32/Rootkit.Agent.DP trojan
    C:\WINDOWS\system32\drivers\Onh47.sys - error opening
    C:\WINDOWS\system32\drivers\smtpdrv.sys - Win32/Agent.NBT worm
    C:\WINDOWS\Temp\31609.exe - Win32/TrojanDownloader.Agent.NUI trojan

  11. #10
    Junior Member Репутация
    Регистрация
    07.01.2008
    Сообщений
    13
    Вес репутации
    37
    Базы обновил, скрипт выполнил.
    Карантин загрузил:
    Файл сохранён как 080108_030529_virus_47833cd96b119.zip
    Размер файла 1397
    MD5 7433bdb11515fec6f07f9f4328868e3f
    Логи прилагаю.
    Вложения Вложения

  12. #11
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    c:\windows\system32\svchost.exe у вас патченный.
    Его необходимо заменить оригинальным из дистрибутива.
    Как вариант - пролечить с помощью KAV 7.0.

    После этого выполнить следующий скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\MSCORE.DLL');
     DeleteFile('C:\WINDOWS\Onh47.sys');
     DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Сделайте новые логи для контроля (надеюсь, последние ).
    I am not young enough to know everything...

  13. #12
    Junior Member Репутация
    Регистрация
    07.01.2008
    Сообщений
    13
    Вес репутации
    37
    Всё сделал, как сказано.
    Логи прилагаю.

    Сейчас запущу NOD32, посмотрим, обнаружит ли что-нибудь.
    Вложения Вложения

  14. #13
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    Проблемы решены?
    Что из этого не нужно?
    >> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
    >> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
    >> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
    >> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
    >> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
    >> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
    > Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
    >> Безопасность: разрешен автозапуск программ с CDROM
    >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
    >> Безопасность: к ПК разрешен доступ анонимного пользователя

  15. #14
    Junior Member Репутация
    Регистрация
    07.01.2008
    Сообщений
    13
    Вес репутации
    37
    NOD32 обнаружил один заражённый файл:
    Код:
    C:\WINDOWS\Temp\31609.exe - Win32/TrojanDownloader.Agent.NUI trojan
    Залечил его путём удаления и добавления в карантин. Перезагрузился — всё в порядке. В Outpost тоже никакой необычной активности не наблюдается.

    rubin, не знаю, что именно из этого стоит убрать, но машина у меня в локалке, поэтому нужен доступ к расшаренным папкам и принтеру. Остальные перечисленные службы вроде как не задействованы.

  16. #15
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    Временную папку лучше вообще очистить, может еще какой мусор остался...

  17. #16
    Junior Member Репутация
    Регистрация
    07.01.2008
    Сообщений
    13
    Вес репутации
    37
    Ещё раз проверил C:\WINDOWS\ с помощью NOD32, ничего не найдено.
    Временную папку очистил, там остался только файл JETAE22.tmp, который удалить не удаётся (попробовать через безопасный режим?).

    Благодарю Maxim, Bratez и rubin за оказанную помощь!

    Интересует только вопрос: как NOD32 пропустил эту дрянь на машину и почему Outpost разрешал неустановленному (n/a) процессу открывать по 4000 портов (хотя у меня выбран режим блокировки)?

  18. #17
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    как NOD32 пропустил эту дрянь на машину
    Значит, дрянь попала на комп раньше, чем в базы вашего НОДа.
    почему Outpost разрешал неустановленному (n/a) процессу открывать по 4000 портов
    Вероятно, надо более тщательно изучить настройки Outpost'a...
    I am not young enough to know everything...

  19. #18
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 27
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\config32\\updater.dll - Trojan-Downloader.Win32.Small.hnc (DrWEB: Trojan.DownLoader.43006)
      2. c:\\windows\\system32\\config32\\_0001\\wizard.dll - Trojan-Downloader.Win32.Small.hnp (DrWEB: Trojan.DownLoader.43005)
      3. c:\\windows\\system32\\mscore.dll - Trojan.Win32.Small.yd (DrWEB: Trojan.DownLoader.43004)
      4. c:\\windows\\system32\\svchost.exe - Trojan.Win32.Patched.bh (DrWEB: Trojan.DownLoader.39301)
      5. c:\\windows\\system32\\xpdx.sys - Trojan-Clicker.Win32.Costrat.db (DrWEB: Trojan.Spambot.2570)


  • Уважаемый(ая) Striver, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. smtpdrv.sys
      От Holy в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 22.02.2009, 03:38
    2. smtpdrv.sys
      От Димитрий в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 22.02.2009, 03:33
    3. Всё о нём же - smtpdrv.sys
      От ~killer~ в разделе Помогите!
      Ответов: 31
      Последнее сообщение: 22.02.2009, 03:18
    4. все тот же smtpdrv.sys
      От pod в разделе Помогите!
      Ответов: 13
      Последнее сообщение: 22.02.2009, 03:17
    5. smtpdrv.sys
      От alex31 в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 14.01.2008, 22:20

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01575 seconds with 17 queries