svchost рассылает спам

**Andrea** · 05.03.2008, 17:50

После инициализации окружения пользователя появляются 3 svchost процесса, один из которых имеет бурную активность на 25 порту. Удалить этот процесс не удается, он тут же рестартует. TrendMicro OfficeScan обнаруживает и успешно удалят bn2.tmp c Troj_Agent.JPZ. Drweb после каждой перезагрузки обнаруживает BackDoor.Bulknet.157

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 05.03.2008, 17:55

скачать C:\WINDOWS\system32\WLCtrl32.dll, C:\WINDOWS\System32\drivers\Ida23.sys -force delete
затем віполните скрипт ....

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  BC_DeleteSvc('Rei88');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Rei88.sys','');
  BC_DeleteSvc('Lnb10');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Lnb10.sys','');
 QuarantineFile('C:\WINDOWS\system32\45d257.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\2df1EB.SYS','');
 QuarantineFile('C:\WINDOWS\system32\drivers\0b51EA.SYS','');
 QuarantineFile('C:\WINDOWS\system32\drivers\0261E9.SYS','');
  BC_DeleteSvc('ctl_w32');
 QuarantineFile('C:\WINDOWS\system32\drivers\ctl_w32.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Ida23.sys','');
 QuarantineFile('C:\WINDOWS\TEMP\BN2.tmp','');
 QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
 QuarantineFile('c:\windows\temp\bn2.tmp','');
 DeleteFile('c:\windows\temp\bn2.tmp');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\TEMP\BN2.tmp');
 DeleteFile('C:\WINDOWS\System32\drivers\Ida23.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Lnb10.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Rei88.sys');
 DeleteFile('WLCtrl32.dll');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
повторите логи ...

**Andrea** · 06.03.2008, 09:17

По внешним признакам все пришло в норму, спасибо

**V_Bond** · 06.03.2008, 09:27

2Bratez -когда заходил никого не было ....
2 Andrea
45d257.sys ,0261E9.SYS ,0b51EA.SYS , 2df1EB.SYS - попробуйте поискать при помощи авз - сервис - поиск файлов на диске .... и пришлите согласно приложения 3 правил ...
выполните скрипт ...

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\Drivers\Ida23.sys');
 BC_DeleteSvc('Lnb10');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

**Andrea** · 06.03.2008, 14:36

скрипт выполнил, из списка приведенных файлов нашелся только первый, так же в системе присутствует lnb10.sys

**Bratez** · 06.03.2008, 14:49

Выполните такой скрипт:

Код:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\Lnb10.sys','');
 DeleteFile('C:\WINDOWS\Lnb10.sys');
BC_ImportALL;
ExecuteSysClean;
 BC_DeleteSvc('Ida23');
 BC_DeleteSvc('2df1EB');
 BC_DeleteSvc('0b51EA');
 BC_DeleteSvc('0261E9');
BC_Activate;
RebootWindows(true);
end.

Сделайте новый лог syscheck. Карантин пришлите.

**Andrea** · 06.03.2008, 15:32

скрипт выполнил, внешних проявлений наличия вируса не наблюдаю, спасибо

**Макcим** · 06.03.2008, 15:34

Карантин загружается по ссылке "Прислать запрошенные файлы". Больше за Вас делать этого не буду.

**Andrea** · 06.03.2008, 15:37

Извините, не дочитал. Исправил

**Bratez** · 06.03.2008, 16:19

Lnb10.sys - Trojan-Downloader.Win32.Agent.ggt (удален).
Больше ничего подозрительного нет.

**Andrea** · 06.03.2008, 16:20

Огромное спасибо за помощь

**CyberHelper** · 22.02.2009, 04:15

Статистика проведенного лечения:

Получено карантинов: 3
Обработано файлов: 26
В ходе лечения обнаружены вредоносные программы:
1. c:\\windows\\lnb10.sys - Trojan-Downloader.Win32.Mutant.aim (DrWEB: BackDoor.Bulknet.112)

svchost рассылает спам (заявка № 19242)

Опции темы