-
Junior Member
- Вес репутации
- 55
Руткит и КейЛоггер
Доброго времени суток, товарищи!
Оговорюсь сразу, что логи были сделаны на заражённом компьютере удалённо, при помощи программы AMMYY_Admin(не имел возможности непосредственно заниматься с "больным"...).
Изначально на экране монитора появился рекламный баннер CMedia, требовавший отправки смс. Компьютер сильно тормозил, часто рвалось интернет-соединение.
В папке Application Data была обнаружена папка CMedia, после удаления которой баннер пропал. На компьютере был установлен NOD32, базы которого последний раз обновлялись несколько дней назад(до момента заражения). Но в запущенных процессах я его не обнаружил...
Проверка KidoKiller-ом ничего не дала. При экспрес-проверке Gmer-ом выявилась руткит-активность в процессе svchoost.exe. В AVZ был выполнен стандартный скрипт №1(Поиск и нейтрализация Rootkit/MalWare). После выполнения скрипта компьютер стал заметно меньше тормозить, интернет-соединение перестало рваться.
В процессе составления логов AVZ выявил и удалил "monitor.Win32.KeyLogger.ae". HijackThis выявил изменения в файле hosts(исправлю немного попозже). Владельцу компьютера сказал, чтобы сразу после лечения его компьютера(или с другой, незаражённой, машины изменил пароли на всех сервисах, на которые он заходил(Контакт, почта и т.д.)).
Пожалуйста, осмотрите логи и вынесите вердикт по данному делу
Последний раз редактировалось Hamrad; 15.01.2010 в 11:10.
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
Здравствуйте,
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.
-Пофиксите:
Код:
F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe inqk.hgo bulneyh
-Выполните скрипт:
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\windows\svchost.exe');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\inqk.hgo','');
QuarantineFile('c:\windows\svchost.exe','');
QuarantineFile('c:\documents and settings\qwerty\Мои документы\Загрузки\ammyy_admin.exe','');
DeleteFile('c:\windows\svchost.exe');
DeleteFile('C:\WINDOWS\system32\inqk.hgo');
DeleteService('honynspws');
RegKeyResetSecurity('HKLM','SYSTEM\CurrentControlSet\Services\honynspws');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
SetAVZPMStatus(True);
RebootWindows(true);
end.
Если у Вас после перезагрузки появится неизвестное устройство - удалите его через диспетчер устройств.
После перезагрузки:
- Удалите Bonjour приведенным скриптом.
- Очистите темп-папки, кэш проводников и корзину.
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Сделайте лог GMER.
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.
-
-
Junior Member
- Вес репутации
- 55
Доброго времени суток!
Лог Гмер в данный момент делается(уж больно долго...) - выложу его чуть позже. Скрипт выполнил, в Хайджеке пофиксил. Карантин выслал:
Файл сохранён как: 091112_123736_2009-11-12_4afbd76077463.zip
Размер файла: 76753
MD5: f4e43058c8ac5ae848d4dad4304695cb
Bonjour на компьютере нет(как и АйТюнса). Временные папки очищены CCleaner.
Сейчас выкладываю логи AVZ и HiJackThis. Пожалуйста, посмотрите:
Последний раз редактировалось Hamrad; 15.01.2010 в 11:10.
-
Junior Member
- Вес репутации
- 55
Последний раз редактировалось Hamrad; 15.01.2010 в 11:10.
-
Сохраните текст ниже как cleanup.bat в ту же папку, где находится GMER.exe (gmer)
Код:
GMER.exe -del file "C:\WINDOWS\system32\enjfbwsu.dll"
GMER.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\honynspws"
GMER.exe -reboot
И запустите cleanup.bat
Компьютер перезагрузится
Сделать новый лог gmer
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 55
Выполнил cleanup.bat. В процессе выполнения вылетела ошибка касаемо файла enjfbwsu.dll(скриншот прилагается). Сейчас буду делать новый лог Гмер.
А что с логами AVZ? Не нужно ли будет переделывать?
Последний раз редактировалось Hamrad; 15.01.2010 в 11:10.
-
Сообщение от
Hamrad
В процессе выполнения вылетела ошибка касаемо файла enjfbwsu.dll(скриншот прилагается). Сейчас буду делать новый лог Гмер.
Такое может быть, если файла нет, а запись в реестре осталась. Давайте новый лог гмер, других логов пока не надо.
-
-
Junior Member
- Вес репутации
- 55
И снова здравствуйте, товарищи!
Вот, посмотрите пожалуйста новый лог от Гмера:
Последний раз редактировалось Hamrad; 15.01.2010 в 11:10.
-
Сохраните текст ниже как cleanup2.bat в ту же папку, где находится GMER.exe (gmer)
Код:
GMER.exe -del file "C:\WINDOWS\system32\enjfbwsu.dll"
GMER.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\honynspws"
GMER.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\honynspws"
GMER.exe -reboot
И запустите cleanup2.bat
Компьютер перезагрузится
Сделать новый лог gmer
-
-
Junior Member
- Вес репутации
- 55
cleanup2.bat выполнил. В процессе выполнения вылетела такая же ошибка касаемо enjfbwsu.dll(указанный модуль не найден)...
Новый лог сейчас делается.
-
Junior Member
- Вес репутации
- 55
Лог сделан... Посмотрите пожалуйста:
Последний раз редактировалось Hamrad; 15.01.2010 в 11:10.
-
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 55
-
Итог лечения
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 3
- В ходе лечения обнаружены вредоносные программы:
- c:\windows\svchost.exe - Trojan.Win32.Buzus.cmda ( DrWEB: Trojan.Winlock.435, BitDefender: Trojan.Generic.2688968, AVAST4: Win32:VB-NPD [Drp] )
- c:\windows\system32\inqk.hgo - Backdoor.Win32.Bredavi.asu ( AVAST4: Win32:Oficla-D [Trj] )
-