Подозрение на кейлоггер; не устанавливаются обновления Виндоуз

**baublys** · 26.05.2008, 10:51

- Kerio Winrout Firewall логирует hhtp-трафик с этой машины:
*.*.*.* - - [26May2008095142 +0400] POST d3m0n.tv/web/s.php? HTTP1.1 404 954

- Не устанавливаются обновления Виндоуз;

- Подозрение на кейлоггер.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Numb** · 26.05.2008, 11:24

Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\livenote.exe','');
QuarantineFile('C:\WINDOWS\System32\livenote.exe','');
QuarantineFile('C:\WINDOWS\System32\khooker.exe','');
QuarantineFile('C:\WINDOWS\htpatch.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\HSF_CNXT.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\rksample.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\basic2.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\anvioctl.sys','');
BC_ImportquarantineList;
BC_Activate;
RebootWindows(true);
end.

Система будет перезагружена. После перезагрузки, карантин AVZ загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=23423 , как написано в прил.3 правил.

**baublys** · 26.05.2008, 13:59

Дополнение:
- Kerio Winrout Firewall логирует hhtp-трафик с этой машины на

d3m0n.tv/web/s.php? один раз в минуту, и один раз в сутки на "GET

213.186.126.105/bots/cfg.bin HTTP/1.1" 200 36956

**baublys** · 27.05.2008, 09:41

Прошу помощи!

**Numb** · 27.05.2008, 10:41

В присланном карантине все файлы чистые. В карантин не попали livenote.exe , C:\WINDOWS\System32\khooker.exe , C:\WINDOWS\htpatch.exe . Попробуйте поискать их самостоятельно. Если найдете - запакуйте в архив с паролем virus и загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=23423

**baublys** · 27.05.2008, 17:24

khooker.exe найти не удалось.
livenote.exe и htpatch.exe закачал.

**baublys** · 30.05.2008, 11:38

Никто ничего не посоветовал, как поймать зловреда

Пришлось действовать самому.
Попытки накатить SP3 приводили к БСОД.
Переустановил ОС!
Всем спасибо!

**PavelA** · 30.05.2008, 13:30

Печально, что поздно увидел тему.

Кусочек лога AVZ:

Код:

Прямое чтение C:\Documents and Settings\Инна\Application Data\ntos.exe
Прямое чтение C:\Documents and Settings\Инна\Application Data\wsnpoem\audio.dll
Прямое чтение C:\Documents and Settings\Инна\Application Data\wsnpoem\video.dll

Скорее всего это те самые звери.