Показано с 1 по 12 из 12.

Rootkit-AgentRss-нет сети (заявка № 93941)

  1. #1
    Junior Member Репутация
    Регистрация
    12.10.2007
    Адрес
    С-Петербург
    Сообщений
    32
    Вес репутации
    38

    Thumbs up Rootkit-AgentRss-нет сети

    Уважаемые helper-ы, прошу помочь в случае с руткитом на офисном ПК знакомых (winXP, выделенка, основная машина с бух. базами и общими файлами для всей раб. группы).

    Хронология.

    Пришел по просьба: проверить ПК после (якобы) удаления вирусов и установить антивирус вместо временного.

    Симптомы: сайты пингуются но все браузеры не грузят страницы, доступа по локалке нет.

    Выполнено.
    1) Предвар. действия. Esetnod32 Smart (30-дневная демо-версия) и CureIt (в безоп. режиме) - ничего не найдено. При неоднократной установке AVPTollkit сообщения об ошибочных файлах (каждый раз разных) в дистрибутиве -> прерывание установки.
    2) Работа с HiJack и AVZ. В условиях отсутствия Инета первоначальная работа шла НЕ по методике.
    Сделано: отключ. восстановления, запуск HiJack и пофиксены порядка 20 элементов (типа гугл, яндекс-тулбаров и т.п.). Лог не постится в связи с запретом на загрузку непрошенных файлов. Запуск AVZ и запуск станд. скрипта лечения руткитов при включенных драйверах (Guard и расш. режима) не в безопасном режиме. Найден руткит, после перезагрузки появилась сеть, лог не запостен. Чтение и сохранение страницы с Методикой для дальнейшей работы.
    3) Работа по Методике: подготовлены файлы syscheck, syscure, HiJack-log И подготовлены на другом ПК для посылки в форум.
    В логе после скрипта "подготовка файлов для раздела "Помогите" видны сообщения о перехваченных функциях.
    4) На другом ПК по собственному ротозейству неотключенный Eset smart с обновленными базами удалил вирус в зипе в папке infected (на проверяемом ПК файл остался нетронутым). Eset выдал сообщение "Модифицированный Win32.Agent.RSS троянская программа - файл очищен удалением в ...temp\avz00001.dta'
    5) На настоящий момент: режим восстановления отключен, Инет после перезагрузки после окончания работы по Методике и отключении драйверов AVZ есть в Mozille, в MS IE и Chrome страницы не грузятся, локалка работает.
    Планы: успешно вычистить руткит, включить восстановление, перекинуть общие файлы с бухгалтерского на другой ПК, сделать его основным файл-сервером рабочей группы
    Заранее спасибо!!

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    527
    1.Профиксите в HijackThis
    Код:
    R3 - URLSearchHook: (no name) - {95289393-33EA-4F8D-B952-483415B9C955} - (no file)
    R3 - URLSearchHook: Спутник@Mail.Ru - {09900DE8-1DCA-443F-9243-26FF581438AF} - c:\program files\mail.ru\sputnik\MailRuSputnik.dll (file missing)
    2.Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
     QuarantineFile('C:\WINDOWS\mkdrv.sys','');
     DeleteService('mkdrv');
     DeleteFile('C:\WINDOWS\mkdrv.sys');
     BC_ImportAll;
     ExecuteSysClean;
     ExecuteWizard('TSW', 2, 2, true);
     ExecuteWizard('SCU', 2, 2, true);
     RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

  4. #3
    Junior Member Репутация
    Регистрация
    12.10.2007
    Адрес
    С-Петербург
    Сообщений
    32
    Вес репутации
    38

    СПАСИБО!

    Спасибо за супер-оперативный ответ!
    Смогу выполнить все сказанное в среду-четверг.

  5. #4
    Junior Member Репутация
    Регистрация
    12.10.2007
    Адрес
    С-Петербург
    Сообщений
    32
    Вес репутации
    38

    работа согласно рекомендациям

    Здравствуйте, polword. Согласно Вашим рекомендациям сделано:
    1) Все, что указано в сообщении от 21.12 (исправления в HJ + скрипт-1
    При этом:
    - после выполнения 1-го скрипта в окне AVZ видны проскочившие "красные" сообщения;
    - затем сообщение об ошибке "Диск не найден" (скриншот сохранить не удалось - вызов всех действий при активном модальном окне блокирован); -после неоднократных нажатий на "Игнор" скрипт прошла перезагрузка;
    - после нее появилась сеть (в т.ч. ESET выдал предупреждении о невозможности обновить а/вир базы;
    - одновременно появилось окно "Мастер нового оборудования"; был снят по "Отмена".

    2) Запуск скрипта-2 (для карантина) - прошел успешно.
    3) Попытка получить syscheck. zip - успешно
    4) Попытка вызова hijack - неудачно: программа не запускается.
    5) Появилось сообщение антивируса ESET: произошла ошибка при загрузке файлов обновления
    6) Попытка скачать Hj в виде зипа с 1.exe и 1.cmd: после скачивания невозможно раскрыть архив НИ на один из дисков - сообщение "нет места на диске".
    7) Попытка переименовать имеющийся Hijack.exe в 1.exe: неудачноЕ программеа не запускается.
    Перезагрузка (несколько раз) неудачно - после ввода логина/пароля возврат к окну регистрации в системе.
    9) "Жесткий" останов системы (длительное удержание кн. вкл).
    10) Перезагрузка: запущен переименованный (но мой старый) HJack, получен лог. Файлы посланы согласно рекомендации (запрос карантина и Правила).
    11) Запущено сканирование ESET Smart для каталога Windows\*. Результат ожидаем - ничего не найдено. Продолжаю работу с AVZ по сканированию системы.

    Дополнение. Причина незапуска программ - предполагаю, что забыл удалить драйвер AVZ Guard. Хотя вроде бы делал это после перезагрузки...

    12) В процессе последующей работы стал появляться BSOD со ссылкой на файл ujmynzgo.sys по причине driver unloaded without cancelling pending operations
    13) При попытке загрузки последней версии cureIt опять BSOD
    14) При попытке в безопасном режиме запустить старую (от 16.12) версию CureIt - ничего не найдено.
    15) При попытке выполнить п.3 Правил дополнительно к данным рекомендациям находится и нейтрализуется руткит:
    Функция advapi32.dll:CryptAcquireContextA (135) перехвачена, метод APICodeHijack.JmpTo[60AF1846]
    >>> Код руткита в функции CryptAcquireContextA нейтрализован
    Функция advapi32.dllestroyPrivateObjectSecurity (179) перехвачена, метод APICodeHijack.JmpTo[60AF16C6]
    >>> Код руткита в функции DestroyPrivateObjectSecurity нейтрализован
    Функция advapi32.dll:SystemFunction035 (621) перехвачена, метод APICodeHijack.JmpTo[60AF1736]
    >>> Код руткита в функции SystemFunction035 нейтрализован
    Анализ ws2_32.dll, таблица экспорта найдена в секции .text
    Анализ wininet.dll, таблица экспорта найдена в секции .text
    Функция wininet.dll:InternetAlgIdToStringA (214) перехвачена, метод APICodeHijack.JmpTo[671F11C6]
    >>> Код руткита в функции InternetAlgIdToStringA нейтрализован
    Функция wininet.dll:InternetAlgIdToStringW (215) перехвачена, метод APICodeHijack.JmpTo[671F1376]
    >>> Код руткита в функции InternetAlgIdToStringW нейтрализован
    Анализ rasapi32.dll, таблица экспорта найдена в секции .text
    ---
    В системе установлена программа TaxCom общения с нал. службой через Интернет.
    Спасибо!
    Вложения Вложения
    Последний раз редактировалось anpspb; 24.12.2010 в 20:00. Причина: Появление BSOD

  6. #5
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,383
    Вес репутации
    3019
    Плохого не видно

    Выполнить скрипт
    Код:
     begin
    SetAVZPMStatus(False);
    ExecuteStdScr(6);
    RebootWindows(true); 
    end.
    Компьютер перезагрузится.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  7. #6
    Junior Member Репутация
    Регистрация
    12.10.2007
    Адрес
    С-Петербург
    Сообщений
    32
    Вес репутации
    38
    Скрипт смогу запустить в понедельник, сразу же выложу здесь ответ.

    Плохого не видно - это хорошо. Но комп стал непредсказуемо сваливаться в синий экран и в конце загрузки всегда запускает мастер установки нового оборудования: какой-то драйвер ищет? или побочное действие? и кто? зловред?

    И вдобавок при запуске стандартного скрипта лечения (вложить его helper-ы не предлагали, поэтому вывел фрагмент отчета в текст) появляются сообщения " Код руткита в функции CryptAcquireContextA нейтрализован" и др., возникающие при запуске AVZ после каждой загрузки... наверное, AVZ не врет.
    Или это новогодняя шутка? Бухгалтер должен отправить отчет в налоговую с этого компа в ближайшие дни... если не успею кокнуть зловреда в понедельник - мне будет не до шуток
    А запускать AVZ после каждой загрузки компа для нейтрализации вируса - пусть и bat-файлом - как-то не хочется: бог знает, что юзера сотворят в твое отсутствие... .

  8. #7
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,383
    Вес репутации
    3019
    Когда выплните скрипт, тогда и синева, думаю, прекратится

    Цитата Сообщение от anpspb Посмотреть сообщение
    " Код руткита в функции CryptAcquireContextA нейтрализован"
    Функция перехвачена CryptoPro
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  9. #8
    Junior Member Репутация
    Регистрация
    12.10.2007
    Адрес
    С-Петербург
    Сообщений
    32
    Вес репутации
    38
    Большое спасибо! А нельзя ли как-то узнать тип/вид вируса - не мог ли он по сети другие компы заразить. Симптомов еще нет, локалка работает нормально, инет есть, но вдруг "затаился"

  10. #9
    Junior Member Репутация
    Регистрация
    12.10.2007
    Адрес
    С-Петербург
    Сообщений
    32
    Вес репутации
    38

    27/12/10 -по-прежнему BSOD

    Здравствуйте, уважаемые helper-ы! Очередной рапорт "с фронта"
    1) После загрузки выполнен скрипт (без первоначально установленных драйверов мониторинга и guard).
    2) Запущен скрипт. После его выполнения на несколько сек. мигнуло аварийное окно "Access violation" - и перезагрузка. Т.к. скрипт не предусматривает остановки, то сохранить скриншот не смог.
    3) После перезагрузки выполнен станд. скрипт 3 (лечение) с предв. запущенными драйверами. В логе видны те же строки о нейтрализации руткита (файл вложил).
    4) После удаления из памяти драйверов и попытки просмотреть htm-файл лога - BSOD.
    5) После перезагрузки запуск станд. скрипта 7 обновления и лечения (Kasp.Lab) - те же предупреждения, на сканировании файлов, повторяющих работу скрипта 3 - снял avz.
    Локалка работает, интернет есть, однако по-прежнему после загрузки пытается установить какое-то оборудование.
    Hijack-ом с прошлого раза ничего не фиксил.

    Вопрос: действительно руткит или ложная тревога? Спасибо!
    Планы: последними AVPTools и CureIt еще раз просканировать в безопасном режиме.

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    527
    неизвестное устройство - удалите через диспетчер устройств.
    в остальном подозрительного нет.

  12. #11
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,383
    Вес репутации
    3019
    Цитата Сообщение от anpspb Посмотреть сообщение
    3) После перезагрузки выполнен станд. скрипт 3 (лечение) с предв. запущенными драйверами. В логе видны те же строки о нейтрализации руткита (файл вложил).
    Зачем Вы принудительно включаете AVZGuard и AVZPM? Из-за этого все Ваши беды

    Отключите драйвер AVZPM, удалите неизвестное устройство и проверьте, не появилось ли оно после перезагрузки
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  13. #12
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 2
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) anpspb, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Скорость внутри своей сети(сети Wi-Fi роутера)
      От PORSHEvchik в разделе Софт - общий
      Ответов: 0
      Последнее сообщение: 19.11.2011, 16:48
    2. Rootkit.HiddenValue@0 и Rootkit.HiddenKey@0 Вирусы?
      От Romik_lv в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 13.09.2011, 19:34
    3. Ответов: 5
      Последнее сообщение: 15.09.2010, 18:28
    4. Ответов: 3
      Последнее сообщение: 06.11.2009, 18:21
    5. Rootkit that bypasses Anti-Rootkit Software
      От Simple10 в разделе Viruses, Adware, Spyware, Hijackers
      Ответов: 3
      Последнее сообщение: 22.02.2008, 07:20

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00954 seconds with 17 queries