Показать полную графическую версию : [решено] модифицированный Win32/Injector.KT троян
pressmark
04-04-2009, 21:30
Доброго времени суток!
У меня проблема - никак не избавиться от зверя (модифицированный Win32/Injector.KT троян - по терминологии NOD32 или backdoor - по терминологии Dr.WEB). При сканирования антивирусами (NOD32 и cureit) обнаруживается и благополучно удаляется, но при следующем включении объявляется вновь! И так уже недели две! По мимо обязательных трех логов предоставляю лог вирусов из NOD32 (извините за его вид - не знаю как в NODе он импортируется)
Отключитесь от интернет на время лечения.
Скачайте ATF-Cleaner и удалите временные файлы.
Включите брандмауэр Windows, если не собираетесь использовать сторонний файрволл.
Скачайте kidokiller (http://data2.kaspersky.com:8080/special/KKiller_v3.4.3.zip) и запустите.
Поставьте заплатки, а лучше обновитесь до SP3
http://www.microsoft.com/technet/security/bulletin/MS08-067.mspx
http://www.microsoft.com/technet/security/bulletin/ms08-068.mspx
http://www.microsoft.com/technet/security/bulletin/ms09-001.mspx
В HijackThis поставьте галочку перед значением и нажмите Fix Checked
O2 - BHO: (no name) - {FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} - (no file)
В AVZ меню Файл - Выполнить скприпт. Скопируйте код и нажмите "Запустить".
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
SetServiceStart('msile', 4);
DeleteService('msile');
QuarantineFile('C:\WINDOWS\system\msile.exe','');
DeleteFile('C:\WINDOWS\system\msile.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После перезагрузки выполните еще скрипт.
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Карантин вышлите в РМ.
Повторите логи.
Severny, нужно собрать все в один скрипт.
Хм, что-то не видно вирусов в логах AVZ и HijackThis. Единственное - msile.exe. Правда, по логу NOD32 видны некоторые вирусные файлы.
Выполните скрипт в AVZ:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system\services.exe', '');
QuarantineFile('C:\WINDOWS\system\1sass.exe', '');
QuarantineFile('C:\WINDOWS\system32\drivers\sysdrv32.sys', '');
QuarantineFile('C:\WINDOWS\system\msile.exe','');
SetServiceStart('msile', 4);
DeleteService('msile');
DeleteFile('C:\WINDOWS\system\msile.exe');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится. Файл quarantine.zip обязательно отправьте на koshkin@rbcmail.ru
SetServiceStart('msile', 4); »
Severny, а это обязательно надо добавлять перед "DeleteService('msile');"? Просто я еще учусь заниматься "хелперством".
Перед выполнением скрипта отключить защитное ПО (антивирус). Включить брандмауэр Windows
Выполнить скрипт в AVZ
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system\msile.exe','');
DeleteService('msile');
DeleteFile('C:\WINDOWS\system\msile.exe');
DeleteFileMask('%Tmp%', '*.*', true);
DeleteFileMask('%userprofile%\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.Компьютер перезагрузится
Выполните скрипт в AVZ
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.quarantine.zip из папки AVZ отправьте на thyrex2002@tut.by, указав в теле письма ссылку на тему
Пофиксить в HiJack
O2 - BHO: (no name) - {FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} - (no file)
O23 - Service: microsoft install le (msile) - Unknown owner - C:\WINDOWS\system\msile.exe (file missing)
Повторите логи.
Ссылки на повторные логи, которые по ошибке присланы в PM.
Ссылки не будут работать, потому что файлы прикреплены к личному сообщению.
pressmark
05-04-2009, 11:55
Severny, прошу прощения за не туда выложенные повторные логи (я еще не совсем разобрался в тонкостях поведения на данной конференции).
Данные логи были получены после выполнения рекомендаций Severny в посте №2.
Также спасибо всем кто откликнулся на мою просьбу о помощи.
Жду комментариев по повторным логам!
pressmark
05-04-2009, 12:11
Выкладываю повторные логи.
pressmark, я не вижу ничего подозрительного в Ваших логах.
Все же выполните этот скрипт:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system\services.exe', '');
QuarantineFile('C:\WINDOWS\system\1sass.exe', '');
QuarantineFile('C:\WINDOWS\system32\drivers\sysdrv32.sys', '');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
В папке с AVZ появится файл quarantine.zip. Его отправьте на koshkin@rbcmail.ru
Если его не будет, ничего отправлять не надо.
pressmark
05-04-2009, 16:24
Котяра, скрипт выполнил, файл карантина появился, но он пустой. В протоколе AVZ показал следующие ошибки:
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system\services.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system\services.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system\1sass.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system\1sass.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\drivers\sysdrv32.sys)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\drivers\sysdrv32.sys)
Карантин с использованием прямого чтения - ошибка
Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено
Я так понимаю, что все нормально? Если нужен файл карантина, отпишитесь - я вышлю куда Вы указали.
pressmark, значит, этих файлов у Вас нет. А в чем собственно проблема? NOD ловит вирус. Может, это атаки из локальной сети?
pressmark
05-04-2009, 20:01
Пока все хорошо. Спасибо за помощь! Просто за последние две недели я уже привык по несколько раз на дню удалять вирусы - очень на нервы давит! Может и из локальной сети, потому что у знакомых такая же проблема (msile.exe), а как проверить из локальной сети или нет?
iskander-k
05-04-2009, 20:42
Просто за последние две недели я уже привык по несколько раз на дню удалять вирусы - очень на нервы давит! » Пора уже установить хороший антивирус и забыть эту дурную привычкупо несколько раз на дню удалять вирусы » :)
pressmark, в логах чисто. По другим компьютерам можете создать новую тему можете и сделать логи по правилам .
Рекомендую установить WindowsXP SP3 (http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4) и все последующие обновления - http://windowsupdate.microsoft.com
Советую отключить неиспользуемые службы (http://www.oszone.net/2517/), отключить автозапуск (http://forum.oszone.net/showpost.php?p=825101) со съемных носителей и настроить безопасность.
Для предотвращения заражения, рекомендую не работать за компьютером с правами администратора, не использовать Internet Explorer или отключить в нем ActiveX, использовать DropMyRights (http://download.microsoft.com/download/f/2/e/f2e49491-efde-4bca-9057-adc89c476ed4/DropMyRights.msi) см. здесь (http://saule.sporaw.ru/library/droprights.html) и здесь (http://virusinfo.info/showthread.php?t=2852) или SanboxIE (http://www.sandboxie.com), пользоваться браузером Opera или Firefox (http://www.mozilla-europe.org/ru/firefox/) c плагином NoScript (https://addons.mozilla.org/firefox/addon/722) и AdBlock Plus (https://addons.mozilla.org/ru/firefox/addon/1865)
Регулярно устанавливаете обновления - http://windowsupdate.microsoft.com и обновляйте антивирусные базы
По проблемам и вопросам, связанным с защитой ПК, советую посетить раздел Защита компьютерных систем (http://forum.oszone.net/forum-20.html)
Дополнительно можете протестировать и настроить безопасность с помощью Belarc Advisor (http://www.belarc.com/free_download.html) доп. см. здесь (http://virusinfo.info/showthread.php?t=19517)
Советую прочитать
Безопасный Интернет. Универсальная защита для Windows ME - Vista (http://security-advisory.ru/),
Базовая концепция системы безопасности ОС Windows семейства NT (http://forum.freesoft.ru/index.php?showtopic=1274)
Вы можете оказать помощь в сборе и пополнении базы чистых файлов AVZ (http://www.z-oleg.com/secur/news/news1347.php)
© OSzone.net 2001-2012
vBulletin v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.
Available in ZeroNet 1osznRoVratMCN3bFoFpR2pSV5c9z6sTC