Подозрение на вирус

**Rimlyanin** · 29.05.2008, 23:50

Подозрение на вирус, использующий руткит, т.к. начали пропадать файлы с терминального сервера, точнее не пропадать, а становится нулевой длинны.

Стоит symantec 10.1.5.5000 обновленный, ничего подозрительного не видит, Cureit обнаружил только trojan.packed.424 в темповой папке пользователя с правами "user" и благополучно удалил, но система продолжает вести себя не корректно.

ОСЬ win2k3 Enterprise Edition SP1

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 30.05.2008, 00:15

выполните скрипт ...

Код:

begin
 QuarantineFile('C:\Documents and Settings\Administrator\WINDOWS\System32\Drivers\Beep.SYS','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\BCSWAP.sys','');
 QuarantineFile('Tnetianc.sys','');
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

**Rimlyanin** · 30.05.2008, 06:08

в карантине вижу только BCSWAP.sys

Вот лог:
Ошибка карантина файла, попытка прямого чтения (C:\Documents and Settings\Administrator\WINDOWS\System32\Drivers\Be ep.SYS)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Documents and Settings\Administrator\WINDOWS\System32\Drivers\Be ep.SYS)
Карантин с использованием прямого чтения - ошибка
Файл успешно помещен в карантин (C:\WINDOWS\system32\Drivers\BCSWAP.sys)
Выполнен карантин файла C:\WINDOWS\system32\Drivers\BCSwap.sys
Ошибка карантина файла, попытка прямого чтения (Tnetianc.sys)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (Tnetianc.sys)
Карантин с использованием прямого чтения - ошибка

**Rimlyanin** · 30.05.2008, 06:10

Логи прилагаются:

**Rimlyanin** · 30.05.2008, 06:36

загрузка карантина:

Результат загрузки
Файл сохранён как 080529_210831_virus_483f619fcc956.zip
Размер файла 33234
MD5 976358c7cb63cc283928f1fcb3c965a8
Файл закачан, спасибо!

Добавлено через 23 минуты

пойду посплю

**Rimlyanin** · 30.05.2008, 18:43

немного подремав, весь день следил за серваком, находившемся в "карантине", вроде работает

, значит с локалки гадость

**V_Bond** · 30.05.2008, 19:43

BCSWAP.sys Вредоносный код в файле не обнаружен.
больше нет ничего подозрительного ...

**CyberHelper** · 22.02.2009, 05:37

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 1
В ходе лечения вредоносные программы в карантинах не обнаружены

Подозрение на вирус (заявка № 23704)

Опции темы