Подозрение на заражение рабочей станции

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - Подозрение на заражение рабочей станции (http://forum.oszone.net/showthread.php?t=132291)

Подозрение на заражение рабочей станции

Подозрение на заражение рабочей станции. Посмотрите, пожалуйста, логи...

Zabejalo, Здравствуйте. Предварительно, для предотвращения заражения в ходе лечения и после него, отключите автозапуск со съемных носителей, включите брандмауэр windows и уберите в исключениях брандмауэра общий доступ к файлам и принтерам
Запустите AVZ, далее в меню файл - выполнить скрипт, выделите и скопируйте текст ниже в окно выполнения скрипта AVZ, временно выключите антивирус и другое защитное программное обеспечение, нажмите кнопку «Запустить».

Код:

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 SetServiceStart('abp470n5', 4);

 QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\dll32.exe','');

 QuarantineFile('C:\WINDOWS\system32\winsys2.exe','');

 QuarantineFile('C:\WINDOWS\system32\drivers\llmpnt.sys','');

 DeleteFile('C:\WINDOWS\system32\drivers\llmpnt.sys');

 DeleteFile('C:\WINDOWS\system32\winsys2.exe');

 DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\dll32.exe');

 DeleteService('abp470n5');

 DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');

BC_ImportAll;

ExecuteSysClean;

 BC_DeleteFile('C:\WINDOWS\system32\winsys2.exe');

 BC_DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\dll32.exe');

 BC_DeleteFile('C:\WINDOWS\system32\drivers\llmpnt.sys');

 BC_DeleteSvc('abp470n5');

BC_Activate;

RebootWindows(true);

end.

Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт

Код:

begin        

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

Файл quarantine.zip отправьте на user15802[at]mail.ru, в письме укажите ссылку на тему, или выложите файл на ifolder.ru или другой файлообменник и дайте ссылку на него мне в ПМ.
Драйвер abp470n5 часто связан с наличием файлового вируса, типа sality, поэтому если вы не проверяли систему с помощью cureit и AVPTool, рекомендую проверить, загрузившись в безопасном режиме.

Скачайте SDFix здесь или здесь, загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat из папки SDFix - подтвердить, нажав "Y"), после окончания сканирования скопируйте (Ctrl+A, Ctrl+C) текст из C:\Report.txt и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\Report.txt и прикрепите к сообщению
Описание SDFix есть здесь и здесь

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.
Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix и здесь - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Программа для Windows XP Professional с пакетом обновления 2 (SP2): Установочные диски для установки с гибкого диска.
После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.
Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.
Как использовать ComboFix - how-to-use-combofix (на англ.яз.) и здесь (на русском)

Pili, спасибо! ЗдОрово.. Меня только немного смущает

Цитата:

Цитата Pili

скачайте установочный файл для своей ОС »

, т.е. я так понимаю, надо скачивать установочный образ системы... а это г. Астрахань, с 2.70 за Мб по дайлапу или adslью с обрывами, отключениями и медленной скоростью)

Zabejalo, хмм... вообще WindowsXP-KB310994-SP2-Pro-BootDisk-RUS.exe весит 4.4 МБ, но можете и не ставить, если это дорого.

))) я сначала неправильно понял. уже скачал, спасибо)

Pili, файл выложил, а вот дальше не получается: машина не грузится в безопасном режиме.

Цитата:

Цитата Zabejalo

машина не грузится в безопасном режиме. »

В AVZ - восстановление - п.10.
Дополнительно можете распаковать прикрепленный файл и запустить reg файл

Pili, всё сделал. Отчет SDFix (report_) в прикреплённом файле.

Вот ComboFix 09-02-15.01 - Администратор 2009-02-19 14:15:30.1 - NTFSx86 MINIMAL
Microsoft Windows XP Professional 5.1.2600.2.1251.1.1049.18.1022.851 [GMT 3:00]
Running from: c:\documents and settings\Администратор\Рабочий стол\ComboFix.exe
Command switches used :: c:\documents and settings\Администратор\Рабочий стол\WindowsXP-KB310994-SP2-Pro-BootDisk-RUS.exe
AV: ESET NOD32 Antivirus 3.0 *On-access scanning disabled* (Updated)

Zabejalo, по логам ничего плохого не видно. Деинсталлируйте ComboFix: нажмите пуск – выполнить - Combofix /u
Скачайте OTCleanIt, запустите, нажмите CleanUp!
Пофиксите в hijackthis строчку

Код:

O4 - HKLM\..\Run: [GEST]

Проверьте на всякий случай файл c:\windows\system32\winlogon.exe на virustotal.com
Как себя чувствует компьютер?

Pili, спасибо, после таких антибиотиков должен, вроде, чувствовать лучше) Смущает, правда, пара строк в автозагрузке (msconfig). В этой микросетке (6 машин) открыты все жёсткие диски на общий доступ, стоят 6 разных антивирусов - ни один не работает. На всех я прогнал и AVZ и cureit и avp. Нашел только sality.z. И только У этой машины была такая проблема - периодически "теряла сеть", как мне сказали. Сейчас, вроде, всё нормально, хотя, если честно, я так и не понял, болела она чем-нибудь сейчас или нет. Ж-)

Pili, скажите, пожалуйста, а

Цитата:

Цитата Pili

В AVZ - восстановление - п.10. »

сработает на Windows Server 2003?

Zabejalo, winlogon.exe по virustotal.com чист?

Цитата:

Цитата Zabejalo

Смущает, правда, пара строк в автозагрузке (msconfig) »

Какие строчки? Через msconfig у вас отключен NeroCheck.exe и winampa.exe - это легитимное ПО

Цитата:

Цитата Zabejalo

Нашел только sality.z. »

Zabejalo, По логам достаточно трудно определить файловый вирус, поэтому порекомендовал провериться с помощью cureit и AVPTool, надеюсь вы проверились этими утилитами, а вообще - метод лечения системы от файловых вирусов

Цитата:

Цитата Zabejalo

я так и не понял, болела она чем-нибудь сейчас или нет »

До выполнения скрипт были зловреды dll32.exe и llmpnt.sys, к сожалению в карантин они не попали, winsys2.exe - по ЛК чист, хотя здесь например числится зловредом.

Цитата:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Советую отключить неиспользуемые службы и настроить безопасность, если что не нужно, скажите, можно будет отключить скриптом (напр. доступ анонимного пользователя, административный доступ)
По службам можно почитать здесь, дополнительно по безопасности Windows XP можно почитать здесь

Цитата:

Цитата Zabejalo

В AVZ - восстановление - п.10. »
сработает на Windows Server 2003? »

Крайне не рекомендую, вы можете вывести из строя сервер