Показано с 1 по 11 из 11.

Подозрение на Троян (заявка № 8510)

  1. #1
    Junior Member Репутация
    Регистрация
    29.12.2006
    Сообщений
    203
    Вес репутации
    44

    Question Подозрение на Троян

    Здравствуйте.
    Хочу у вас опять попросить помощи.
    На работе коллега заразил комп свой. Нортон ноходит 9 файлов, хотя в отчете остаются только 4 и обзывает их: PHP.RSTBackdoor virus и 3*Hacktool virus.
    Хотя при загрузке системы тот же нортон все время пытается заблокировать Трояна.
    Последний раз редактировалось gorvit82; 18.04.2007 в 23:11.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1698
    Выполните скрипт в AVZ
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('c:\windows\system32\r_server.exe','');
    RebootWindows(true);
    end.
    После перезагрузки пришлите файлы карантина по правилам раздела "Помогите".
    Сообщите путь и имя файлов на которые ругается нортон.

  4. #3
    Junior Member Репутация
    Регистрация
    29.12.2006
    Сообщений
    203
    Вес репутации
    44
    Нортон выдавал следующие файлы:
    The compressed file r57shell.php within G:\DISTRIBUTIV\Электронные продукты для сайта +++\Wmshop 8 от петиlaza.rar is infected with the PHP.RSTBackdoor virus.
    The compressed file redirect.php within G:\DISTRIBUTIV\Электронные продукты для сайта +++\Wmshop 8 от петиlaza.rar is infected with the Hacktool virus.
    The compressed file tovar.php within C:\Documents and Settings\ВаВан\Рабочий стол\ВСЕ ЭЛЕКТРОННЫЕ ТОВАРЫ\ЭЛЕКТРОННЫЕ продажа NEW\Скрипт магазина\45976_t119u1610w2282o1421c1904f1645p406b1 820z3024q3829y3052.rar is infected with the Hacktool virus.
    The compressed file tovar.php within G:\DISTRIBUTIV\Электронные продукты для сайта +++\Магазины\Скрипт магазина\45976_t119u1610w2282o1421c1904f1645p406b1 820z3024q3829y3052.rar is infected with the Hacktool virus.

  5. #4
    Junior Member Репутация
    Регистрация
    29.12.2006
    Сообщений
    203
    Вес репутации
    44
    Карантин вечером принесу.

  6. #5
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1698
    Захватите заодно и вышеперечисленные файлы. Заархивируйте их под пароль virus и пришлите вместе с карантином по правилам раздела.

  7. #6
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2502
    1.На компьютер r_admin сами устанавливали?

    2. Там заблокирован regedit. Это сделано Вами самими или вирусом?
    Если не Вами, то выполните скрипт:
    Код:
    begin
    ExecuteRepair(6);
    end.
    3. В дополнение к скрипту от MaXim: Выполните скрипт. Получившийся карантин загрузите через форму для загрузки.
    Код:
    begin
    QuarantineFile('G:\ФЛЭШКА 1\_____МОИ  САЙТЫ______\____САЙТЫ____\PLATIWM.IMFO_20\ВСЕ ТОВАРЫ\Электронные   товары\Новая папка\2\neosap.rar' ,'');
    QuarantineFile('G:\ФЛЭШКА 1\_____МОИ  САЙТЫ______\____САЙТЫ____\PLATIWM.IMFO_20\ВСЕ ТОВАРЫ\ТОВАРЫ\34.rar','');
    end.
    Последний раз редактировалось Макcим; 02.05.2007 в 16:14.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  8. #7
    Junior Member Репутация
    Регистрация
    29.12.2006
    Сообщений
    203
    Вес репутации
    44
    R_admin устанавливал, по-моему, коллега себе (если я не путаю, он управлял с помощью этой проги аппаратурой по сети).
    Сегодня могу выложить только карантин после второго поста (компьютер на работе).

  9. #8
    Junior Member Репутация
    Регистрация
    29.12.2006
    Сообщений
    203
    Вес репутации
    44
    Карантин залил.
    Файл сохранён как 070320_180304_virus_45fff7a80f643.zip
    Размер файла 1241817
    MD5 b542dd5138e533e7ddfb9d8cfe0a4171
    А код второго пункта поста 6 надо выполнить или нет? Даже если прогу сами ставили.

  10. #9
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2502
    Если нужен доступ к реестру, то нужно. А так вобщем-то можно и с этим жить. Есть у нас клиенты, которым специально это закрыли.

    Флешкины файлы с подозрениями, но не более. Надо бы их чем-нибудь, акромя virustotal проверить.
    Последний раз редактировалось PavelA; 20.03.2007 в 18:54.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1698
    Присланные файлы (По Kaspersky)
    Backdoor.PHP.Rst.g - r57shell.php
    not-a-virus:RemoteAdmin.PHP.RemView.a - redirect.php
    not-a-virus:RemoteAdmin.PHP.RemView.a - tovar.php

  12. #11
    Junior Member Репутация
    Регистрация
    29.12.2006
    Сообщений
    203
    Вес репутации
    44
    Подозрительные файлы из поста 3 закачал:
    Файл сохранён как 070321_180031_virus_files_4601488f2bc18.zip
    Карантин после выполнения скрипта поста 6 закачал. Он один-в-один как и карантин после выполнения скрипта поста 2.
    Файл сохранён как 070321_181315_virus_quarant_46014b8b2f026.zip
    Каковы мои следующие действия?

  • Уважаемый(ая) gorvit82, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Подозрение на WM троян
      От -=DeS=- в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 15.05.2010, 09:43
    2. Подозрение на троян.
      От qokyon в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 03.04.2010, 23:57
    3. Подозрение на троян
      От psyinfo в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 05.12.2009, 12:20
    4. Подозрение на троян
      От Brodsky в разделе Помогите!
      Ответов: 14
      Последнее сообщение: 22.02.2009, 04:06
    5. Подозрение на троян Подозрение на Trojan.Win32.Pakes.lis
      От Валентин_K в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 03.02.2009, 15:37

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01180 seconds with 16 queries