Показано с 1 по 19 из 19.

Набор: руткиты и трояны. (заявка № 42038)

  1. #1
    Junior Member Репутация
    Регистрация
    03.02.2009
    Сообщений
    29
    Вес репутации
    34

    Exclamation Набор: руткиты и трояны.

    Нет возможности выполнить правила форума. При загрузке в безопасном режиме выдает 0x0000007b (недоступно устройство загрузки). Это не смотря на то, что я жму esc на предложение отказаться от загрузки stpd.sys.
    Ситауация: Сначала перестали открываться странички (как в теме http://virusinfo.info/showthread.php?t=41640), то есть был заблокирован доступ к серверам обновлений антивирей и некоторым другим сайтам (virusinfo.info, sysinternals). Нашел файл tldmovze.dll, удалить нереально (позже при запуске Cure it в обычном режиме он его нашел и удалил). Посмотрел Process Explorer-ом - нету нигде этой длл-ки. Вынул винт вставил в другую машину. Прогнал кав-ом и авз. Ничего. Попробовал удалить эту длл, пока винт на другой машине - не дает. Ставлю обратно. Process Explorer уже не запускается. Кое-как скачал unlocker - не дает его запускать. HiJackThis не скачать. (С другой машины на флехе принес.) Внезапно длл-ка исчезает после перезагрузки. Rootkit Revealer прогнал два раза - сначала 105 косяков, потом 26. Его логи прикрепить не могу, так как при сохранении логов он виснет и не оживает. Еще деталь - два раза заметил такую вещь - собрался писать что-то в адресной строке бравзера, а в нее начинают вставлятся слова testtesttest и так раз 50. В буфере обмена этого не было... Затем в командной строке Total Comander-а собрался писать кажется regedit - опять этот testtest... Это было уже после двух перезагрузок. Комп в сети через вайфай роутер. (Кстати, нашел у себя sptd в устройствах). Судя по всему, у меня модифицированный вариант, причем кто-то им управляет в онлайне - блочит сайты и запуск программ по имени или заголовку. Главный вопрос - как найти этого товарища? Я уже сидел с TcpView полчаса - не увидел. Потом TcpView тоже перестал запускаться. Но я обманул хозяина - переименовал файл и он запустился. Постоянно идут запросы на локальный компьютер в сетке на порт 2869. Вызываются процессами explorer.exe и svchost.exe.
    Выдержки из логов MS Network Monitor с содердимым передаваемых пакетов имеются.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Закройте все программы.
    Отключите антивирус.
    Запустите AVZ.
    Выполните скрипт через меню Файл:
    Код:
    begin
    SetAVZGuardStatus(True);
    ClearQuarantine;
     BC_DeleteSvc('DATFXVJN');
     BC_DeleteSvc('LIUNFMEPAPJDWF');
     BC_DeleteSvc('N');
     BC_DeleteSvc('FILEMON701');
     DeleteService('DATFXVJN');
     DeleteService('LIUNFMEPAPJDWF');
     DeleteService('N');
     DeleteService('FILEMON701');
     QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\N.exe','');
     QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\LIUNFMEPAPJDWF.exe','');
     QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\DATFXVJN.exe','');
     QuarantineFile('G:\autorun.inf','');
    QuarantineFile('C:\WINDOWS\system32\tldmovze.dll','');
    DeleteFile('C:\WINDOWS\system32\tldmovze.dll');
     DeleteFile('G:\autorun.inf');
     DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\DATFXVJN.exe');
     DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\LIUNFMEPAPJDWF.exe');
     DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\N.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.
    Сделайте новые логи и приложите к этой теме.

    Ставьте надежный пароль на учетную запись Администратора.
    Устанавливайте обновления безопасности на Windows.

  4. #3
    Junior Member Репутация
    Регистрация
    03.02.2009
    Сообщений
    29
    Вес репутации
    34
    Все сделаю, однако замечу, что DATFXVJN,LIUNFMEPAPJDWF,N - созданы Rootkit Revealer. N.exe это он же, только переименованый.

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Rootkit Revealer вам ни к чему.

  6. #5
    Junior Member Репутация
    Регистрация
    03.02.2009
    Сообщений
    29
    Вес репутации
    34

    Готово

    Сайты грузятся, однако обращения к 3-м компьютерам в лвс на порт 2869 продолжаются постоянно.
    Вложения Вложения

  7. #6
    Junior Member Репутация
    Регистрация
    03.02.2009
    Сообщений
    29
    Вес репутации
    34
    И еще вопрос - что это было? Где почитать?

  8. #7
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    C:\WINDOWS\system32\tldmovze.dll = Trojan-Downloader.Win32.Kido.a

    http://www.viruslist.com/ru/viruses/...rusid=21782844

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Закройте все программы.
    Запустите AVZ.
    Выполните скрипт через меню Файл:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
     QuarantineFile('\??\C:\WINDOWS\system32\Drivers\vde2otqz.sys','');
     QuarantineFile('C:\WINDOWS\system32\Drivers\vde2otqz.sys','');
    BC_ImportAll;
    BC_Activate;
    RebootWindows(false);
    end.
    Компьютер перезагрузится.
    Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.

  10. #9
    Junior Member Репутация
    Регистрация
    03.02.2009
    Сообщений
    29
    Вес репутации
    34
    Не успел вчера скрипт выполнить. Сегодня обнаружил что он сменил имя с vde2otqz.sys на ute2otqz.sys и uje2otqz.sys. Не очень знаком с синтаксисом скриптов потому вопрос: будет ли работать скрипт если я заменю vde2otqz.sys на *2otqz.sys? Спасибо за помощь.

    В описании этого файла значится что это драйвер мониторинга AVZ.

  11. #10
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1786
    Это драйвер AVZ

  12. #11
    Junior Member Репутация
    Регистрация
    03.02.2009
    Сообщений
    29
    Вес репутации
    34
    Да я заметил, так вот и надо ли его присылать? Может у вас есть уже? Я срипт переделал он в логах пишет что все ок в канатин засунул эти файлы, но карантин пустой.

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Присылать не надо. Проблемы есть?

  14. #13
    Junior Member Репутация
    Регистрация
    03.02.2009
    Сообщений
    29
    Вес репутации
    34
    Проблема есть только с постоянной долбежкой на три других компа в локалке на порт 2869. Но в одном из перехваченных пакетов я увидел что это службы UPnP вроде пытается к кому подключится. Отключил UPnP, перезагрузился - обращения продолжаются, причем соединение устанавливается. Пойду те машинки поизучаю. А главной проблемой все так же остается проблема с csrcs... Это просто не излечимо. Весь форум облазил, все делал как пишут... один хрен появляется. Неужели нет антивирусов, которые могут с этой заразой справится?

  15. #14
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1786
    О каком csrcs речь?

  16. #15
    Junior Member Репутация
    Регистрация
    03.02.2009
    Сообщений
    29
    Вес репутации
    34
    Да все о том же... csrcs.exe (типа http://virusinfo.info/showthread.php...ight=csrcs.exe). На самом деле не в тему, просто по сети и по флехам продит эта зараза и антивири его не видят. Лечил всем чем можно. Все отлично максимум сутки. Потом как-то пролазит и снова в системах. Только когда он уже прописался его иногда отлавливают АВ. Ну и "компаньон" C:\Windows\Offline Web Pages\Svchost.exe.

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    972
    кстати, а что в автостарте на диске G у вас?
    C:\WINDOWS\Installer\1d0ac5b6.msi - и это что?
    P.S. csrcs - в логах нет,значит действительно не в тему.
    антивирусы и не будут видеть, если копия не попадёт в лабораторию. Как будет карантин с файлом, так и будет детект. Нет карантина- нет детекта

  18. #17
    Junior Member Репутация
    Регистрация
    03.02.2009
    Сообщений
    29
    Вес репутации
    34
    >кстати, а что в автостарте на диске G у вас?
    Это была флеха вставлена с тем самым autorun.inf, в котором прописан автозапуск с Recycled\sys.exe. Эта хрень создается процессом c:\windows\offline web pages\svchost.exe. Вот с этим и нереально бороться - АВ видят только авторан. Сам exe не трогают.
    >C:\WINDOWS\Installer\1d0ac5b6.msi - и это что?
    Это установщик драйвера и приложения для модема Yota. На других машинах авз увидел то же самое и с подозрением фыркнул. Дрова эти вшиты в саму йоту (там флеха есть, которая эмулируется как сд-ром и ставит свои приложения и дрова).
    А про csrcs - готовлю логи и открываю тему.

    Добавлено через 2 часа 39 минут

    Готово - http://virusinfo.info/showthread.php?t=42132
    Последний раз редактировалось qoma; 20.03.2009 в 16:53. Причина: Добавлено

  19. #18
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    972
    скопировать через avz по второму пункту сам ехе, и загрузить по красной ссылке

  20. #19
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,317
    Вес репутации
    954

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 4
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\windows\system32\tldmovze.dll - Trojan-Downloader.Win32.Kido.a ( DrWEB: Win32.HLLW.Shadow.based, BitDefender: Win32.Worm.Downadup.Gen )


  • Уважаемый(ая) qoma, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. трояны!!!! руткиты!!!! троянские dll
      От Dron23 в разделе Помогите!
      Ответов: 12
      Последнее сообщение: 06.09.2011, 08:37
    2. руткиты+трояны+бекдоры
      От uceps в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 07.04.2010, 23:22
    3. Трояны, руткиты
      От rustamakhmetov в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 02.09.2009, 13:53
    4. руткиты и трояны, как избавится?
      От hexm в разделе Помогите!
      Ответов: 24
      Последнее сообщение: 22.02.2009, 03:04
    5. трояны...руткиты
      От lemurz9 в разделе Помогите!
      Ответов: 12
      Последнее сообщение: 10.10.2008, 08:58

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01485 seconds with 17 queries