Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 21.

Подозрительные процессы от имени MSSQL$SQLEXPRESS [HEUR:Trojan.MSIL.Fsysna.gen] (заявка № 220804)

  1. #1
    Junior Member Репутация
    Регистрация
    18.02.2008
    Сообщений
    38
    Вес репутации
    59

    Подозрительные процессы от имени MSSQL$SQLEXPRESS [HEUR:Trojan.MSIL.Fsysna.gen]

    Нашел в диспетчере задач подозрительные процессы.
    Они создаются вновь и файлы на тех же местах.
    На mssql и файлы windows они явно не похожи.
    Изображения Изображения
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,287
    Вес репутации
    378
    Уважаемый(ая) wizzard, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Выполните скрипт в AVZ из папки Autologger
    Код:
    begin
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
    DeleteService('wmiApSrvs');
     DeleteService('wmiApServs');
     DeleteService('DptfParticipant');
     DeleteService('DdptfParticipanta');
     QuarantineFile('C:\Windows\vss\sihosts.exe','');
     TerminateProcessByName('C:\ProgramData\Network\Windows\Microsoft.NET\Framework\v1.0.3705\wininit.exe');
     TerminateProcessByName('C:\ProgramData\Network\Windows\Microsoft.NET\Framework\v1.1.4322\winlogon.exe');
     QuarantineFile('C:\ProgramData\Network\Windows\Microsoft.NET\Framework\v1.1.4322\winlogon.exe','');
     QuarantineFile('C:\ProgramData\Network\Windows\Microsoft.NET\Framework\v1.0.3705\wininit.exe','');
     DeleteFile('C:\ProgramData\Network\Windows\Microsoft.NET\Framework\v1.0.3705\wininit.exe','32');
     DeleteFile('C:\ProgramData\Network\Windows\Microsoft.NET\Framework\v1.1.4322\winlogon.exe','32');
     DeleteFile('D:\Tmp\2\2511AEC7-FE4DF768-8CE62C68-417B98FC\157c546b7.sys','32');
     DeleteFile('D:\Tmp\2\15a40dcc6.sys','32');
     DeleteFile('C:\Windows\system32\drivers\3C52CFC511.sys','32');
     DeleteFile('C:\Windows\vss\sihosts.exe','32');
     DeleteFile('C:\Windows\system\csrss.exe','32');
     DeleteFile('C:\Windows\Help\csrss.exe','32');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    end.
    • Обратите внимание: перезагрузку компьютера нужно выполнить вручную после скрипта.


    Выполните скрипт в AVZ
    Код:
    begin
    CreateQurantineArchive('c:\quarantine.zip');
    end.
    c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

    Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  5. #4
    Junior Member Репутация
    Регистрация
    18.02.2008
    Сообщений
    38
    Вес репутации
    59
    Прикрепляю новые логи после лечения. Файл карантина прислал ранее как написано по красной ссылке.
    CollectionLog-2018.11.08-12.29.zip

    - - - - -Добавлено - - - - -

    После лечения файлы появились опять.... На тех же самых местах....

  6. #5
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.
    • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

    1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

    3. Нажмите кнопку Scan.
    4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
    5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
    6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  7. #6
    Junior Member Репутация
    Регистрация
    18.02.2008
    Сообщений
    38
    Вес репутации
    59
    Цитата Сообщение от thyrex Посмотреть сообщение
    6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
    Addition.zip

    Готово.

  8. #7
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    1. Выделите следующий код:
    Код:
    Start::
    CreateRestorePoint:
    2018-11-08 18:59 - 2018-11-08 18:58 - 000052736 __RSH (Microsoft) C:\Windows\system\csrss.exe
    S4 Pocal AushsHros; C:\Program Files (x86)\PestsHbs\DPInst.exe [X]
    S4 Pocal Autodesbk; C:\Program Files (x86)\Kingview\KingMet.exe [X]
    S4 Pocal Autodesk; C:\Program Files (x86)\Autodesk\GPInst.exe [X]
    HKU\S-1-5-80-3880006512-4290199581-1648723128-3569869737-3631323133\...\Run: [MpsSvcd] => C:\Users\Public\Documents\dllhost.exe <==== ATTENTION
    HKU\S-1-5-80-3880006512-4290199581-1648723128-3569869737-3631323133\...\Run: [MpsSvccv] => C:\Users\Public\Documents\ipodservice.exe
    File: D:\Program Files\Microsoft SQL Server\MSSQL11.SQLEXPRESS\MSSQL\Binn\sqlservr.exe
    End::
    2. Скопируйте выделенный текст (правая кнопка мышиКопировать).
    3. Запустите Farbar Recovery Scan Tool.
    4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.
    • Обратите внимание: перезагрузка компьютера нужно выполнить вручную после скрипта.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  9. #8
    Junior Member Репутация
    Регистрация
    18.02.2008
    Сообщений
    38
    Вес репутации
    59
    Цитата Сообщение от thyrex Посмотреть сообщение
    Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.
    Fixlog.txt
    Сделано.

  10. #9
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Что с проблемой?
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  11. #10
    Junior Member Репутация
    Регистрация
    18.02.2008
    Сообщений
    38
    Вес репутации
    59
    DataFiles.zip
    Висят под MSSQL$SQLEXPRESS
    Файлики в аттаче.

  12. #11
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Если их удалить вручную из-под другой учетки, они снова появляются?
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  13. #12
    Junior Member Репутация
    Регистрация
    18.02.2008
    Сообщений
    38
    Вес репутации
    59
    Цитата Сообщение от thyrex Посмотреть сообщение
    Если их удалить вручную из-под другой учетки, они снова появляются?
    Пока наблюдаю. После убиения процессы воскрешают через 5-6 часов. Сразу не вычислить.
    Вот список зловредов:
    "C:\ProgramData\Network\Windows\Microsoft.NET\Fram ework\v1.0.3705\wininit.exe"
    "C:\ProgramData\Network\Windows\Microsoft.NET\Fram ework\v1.1.4322\winlogon.exe"
    "C:\Windows\vss\sihosts.exe"
    "C:\ProgramData\DataFiles\netg.exe"
    "C:\ProgramData\DataFiles\Microsoft\Fonts\sqlbrows er.exe"
    "C:\ProgramData\DataFiles\Microsoft\Fonts\x64. exe"
    "C:\ProgramData\DataFiles\Microsoft\Fonts\o6.e xe"
    "C:\ProgramData\DataFiles\Microsoft\Images\sqlbrow ser.exe"
    "C:\ProgramData\DataFiles\Microsoft\Temp\sqlbrowse r.exe"
    "C:\Users\Public\Documents\dllhost.exe"

    Последний очень похож на xmr_stack_cpu - майнер монеро

  14. #13
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Проверьте, не Ваш ли это случай с задачами под MS SQL safezone.c_c/threads/opredelenie-vredonosnyx-ms-sql-jobs.32460/ (в имени домена уберите "_" после копирования)
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  15. #14
    Junior Member Репутация
    Регистрация
    18.02.2008
    Сообщений
    38
    Вес репутации
    59
    Цитата Сообщение от thyrex Посмотреть сообщение
    Если их удалить вручную из-под другой учетки, они снова появляются?
    Процессы запускаются. Но я зашел под обычным пользователем и запустил диспетчер задач под администратором.

    - - - - -Добавлено - - - - -

    Цитата Сообщение от thyrex Посмотреть сообщение
    Проверьте, не Ваш ли это случай с задачами под MS SQL safezone.c_c/threads/opredelenie-vredonosnyx-ms-sql-jobs.32460/ (в имени домена уберите "_" после копирования)
    Я зарегистрировался. Перешел по ссылке. Открылась страница с такой надписью:
    У Вас недостаточно прав для просмотра этой страницы или для выполнения этого действия.

    - - - - -Добавлено - - - - -

    Появились 2 процесса:

    "C:\ProgramData\Microsoft Labs\NetFramework\BreadcrumbStore\Main\csrss.exe"
    "C:\ProgramData\Microsoft Labs\NetFramework\BreadcrumbStore\Protect\csrss.ex e"

    Может поставить пароль на эту учетную запись? Или кейлоггер все равно его вычислит?

    - - - - -Добавлено - - - - -

    У меня есть подозрение, что вирус цепляется к mssql-ю. Выключил его. Наблюдаю.

  16. #15
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    - войти через ПУСК -> программы -> Microsoft SQL Server -> SQL Server Management Studio
    - авторизоваться
    - открыть дерево SQL Server Agent -> Jobs
    Смотрите, нет ли в задачах создания вредоносных файлов. Если есть, удалите подобные задачи.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  17. #16
    Junior Member Репутация
    Регистрация
    18.02.2008
    Сообщений
    38
    Вес репутации
    59
    Цитата Сообщение от thyrex Посмотреть сообщение
    Смотрите, нет ли в задачах создания вредоносных файлов. Если есть, удалите подобные задачи.
    Мне кажется, в экспресс версии slq-ля агента нет в принципе.
    Но вот есть вот такой интересный bat файл в Users\Public\Documents.Windowsup.bat.txt

  18. #17
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Сделайте лог МВАМ
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  19. #18
    Junior Member Репутация
    Регистрация
    18.02.2008
    Сообщений
    38
    Вес репутации
    59
    Угрозы не обнаружены.
    mbam.log

    Mssql с вечера выключен. Подозрительных процессов с указанными именами не рождается.
    Посмотрю, рождаются ли подозрительные файлы сами по себе.

  20. #19

  21. Это понравилось:

    SQ

  22. #20
    Junior Member Репутация
    Регистрация
    18.02.2008
    Сообщений
    38
    Вес репутации
    59
    Цитата Сообщение от regist Посмотреть сообщение
    wizzard,
    Можете прислать экспорт задач? инструкция - https://docs.microsoft.com/en-us/sql...ql-server-2017
    Я изменил пароль для sa. Зашел и увидел пользователя с именем So.Back. У него были права админа.
    Также обнаружил, что расширенные хранимые процедуры включены (которые позволяют запускать процессы ОС).

    Заблокировал пользователя.
    Поменял всё пароли.
    Выключил вызов расширенных хранимых процедур.
    Ну и в журнале много-много попыток входа под sa.
    Видимо бот сидит и перебирает пароли.

    После этих мероприятий зловреды лезть перестали.

    З.Ы. В списке задач - пусто.

  • Уважаемый(ая) wizzard, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Страница 1 из 2 12 Последняя

    Похожие темы

    1. подозрительные процессы
      От M@xWell в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 30.09.2014, 22:32
    2. Подозрительные процессы
      От Robin-333 в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 20.11.2011, 20:38
    3. Подозрительные процессы
      От Афродита в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 06.07.2011, 17:16
    4. подозрительные процессы upd.exe
      От Anton_Petrenko в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 04.08.2010, 10:11
    5. подозрительные процессы...
      От AleXPander в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 10.09.2009, 14:41

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00934 seconds with 20 queries