Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   Сетевая атака с компьютера на другой ПК в сети (http://forum.oszone.net/showthread.php?t=135820)

Dump 25-03-2009 14:32 1074326
Сетевая атака с компьютера на другой ПК в сети
 
Вложений: 1
С компьютера "А" постоянна идёт "атака" на другой компьютер в сети "Б", на котором расположен расшареный для всех ресурс с общим доступом. В расшареном ресурсе постоянно появляется файл autorun.inf и ещё один экзешник с разными именами, тут же файлы удаляются антивирусом компьютера "Б". Антивирус TrendMicro OfficeScan корпоративный определяет вирус как PE_CORELINK.DAM.
Итак виновником пока считается компьютер "А", проверку в безопасном режиме с помощью CureIt, AVP и т.д. сделать невозможно, так как ПК в безопасном режиме не грузиться, в обычном режиме данные программы просто зависают в р-не 3% проверки! Логи с компьютера "А" :

Ссори перепутал virusinfo_cure.zip с virusinfo_syscheck.zip, который я кстати не могу найти, почему ?
Выполнил два скрипта сначала третий потом, после перезагрузки, второй !

virusinfo_cure.zip выкладывать нельзя!

thyrex 25-03-2009 16:06 1074424
Отключите защитное ПО (антивирус, файрволл). Включите брандмауэр Windows. А вообще на время лечения сеть лучше отключить.
Выполните скрипт в AVZ
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('abp470n5', 4);
DeleteService('abp470n5');
QuarantineFile('C:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\msnmsngr.exe','');
 QuarantineFile('biogina.dll','');
 QuarantineFile('C:\WINDOWS\system32\gifsury.dll','');
 QuarantineFile('C:\WINDOWS\system32\XP-050BD4A5.EXE','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ooifj.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\ooifj.sys');
 DeleteFile('C:\WINDOWS\system32\XP-050BD4A5.EXE');
 DeleteFile('C:\WINDOWS\system32\gifsury.dll');
 DeleteFile('C:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\msnmsngr.exe');
DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

Выполнить скрипт в AVZ.
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip из папки AVZ отправьте на thyrex2002@tut.by

2. Пофиксить в HiJack
Код:
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,,explorer.exe
O4 - HKLM\..\Run: [fsuwcd] rundll32.exe "C:\WINDOWS\system32\gifsury.dll",uwmzvu
O4 - HKLM\..\Run: [XP-050BD4A5] C:\WINDOWS\system32\XP-050BD4A5.EXE
O20 - AppInit_DLLs: C:\WINDOWS\system32\tumint.dll
Повторите логи

>> Заблокировано изменение свойств экрана сами отключали?
z.bat вам знакомо?

thyrex, сорри, но строчку
DeleteFile('biogina.dll');
убрал из скрипта, biogina.dll д.б. от biolink
Добавил
DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');

Dump 25-03-2009 16:19 1074443
Сеть отключить не могу, так как комп находиться ну очень удалённо(100 км). Антивир отключал, после того как комп блокируется (по умолчанию 5 минут) заново вхожу, уже запущен антивир, эту проблему устраним :) Брандмауэр обязательно включать, если да, не подскажите, как до его включения прописать исключения в нём! Свойства экрана сами блокировали, z.bat мапирует сетевой диск! пошел выполнять скрипты...

я позволил себе удалить из скрипта строчку: DeleteFile('biogina.dll');
строку QuarantineFile('biogina.dll',''); удалять не стал.
Этот файл используется комплексом "Биолинк" - вход в систему посредством пальцевых отпечатков!

thyrex 25-03-2009 16:25 1074453
Цитата:
Цитата Dump
Сеть отключить не могу, так как комп находиться ну очень удалённо(100 км). Антивир отключал, после того как комп блокируется (по умолчанию 5 минут) заново вхожу, уже запущен антивир, эту проблему устраним Брандмауэр обязательно включать, если да, не подскажите, как до его включения прописать исключения в нём! Свойства экрана сами блокировали, z.bat мапирует сетевой диск! пошел выполнять скрипты... »
Имелось в виду отключить компьютер от сети. Пуск - Панель управления - Брандмауэр Windows - Исключения

Pili 25-03-2009 16:25 1074455
Dump, Здравствуйте. Дополню. Kaspersky Anti-Virus 7.0 и Trend Micro - оставьте что-нибудь одно.
Предварительно, для предотвращения заражения в ходе лечения, отключите автозапуск со съемных носителей, включите брандмауэр windows и уберите в исключениях брандмауэра общий доступ к файлам и принтерам.
Проверьте ещё раз работает ли безопасный режим, если нет - AVZ - восстановление системы - п.10 и дополнительно можете применить твик реестра из файла safeboot.zip
По логам у вас обнаружен драйвер abp470n5, подозрение на файловый вирус типа sality и ещё подозрение на kido, проверьтесь с помощью cureit в безопасном режиме и утилитой kidokiller строго по инcтсрукции (последняя после скрипта возможно уже не найдет kido)
Java\jre1.5.0_06 - Обновите Java Runtime Environment (JRE)
Скачайте JavaRA здесь или здесь
Распакуйте, запустите, выберите "Remove Older Versions",
Далее нажмите "Search For Updates", выберите "Update Using Sun Java's Website" и "Open Webpage"
Альтернативный вариант - после удаления старой версии скачайте и установите последнюю версию Java Runtime Environment (JRE) с сайта производителя.
Adobe Acrobat также обновите.

Цитата:
Восстановление системы: включено
Создайте новую контрольную точку восстановления и очистите предыдущие:
- Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно-Восстановление системы нажмите Очистить
- Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать

Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner
- скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли
- если вы используете Opera, нажмите Opera - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли

Скачайте Gmer, запустите программу. После автоматической экспресс-проверки, отметьте галочкой системный диск и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.
Сделайте новые логи по правилам.

Dump 25-03-2009 17:11 1074510
Вложений: 2
Пока готовятся логи, хотел бы немного объяснить ситуацию:
Комп находиться далеко в "деревне" :), все операции выполняю удалённо через ПО для удалённого администрирования. Для инженера, который там есть всё это сложно, поэтому необходимо добиться, чтобы комп загружался в безопасном режиме, далее надеюсь справится он там.

Цитата:
Цитата thyrex
Имелось в виду отключить компьютер от сети. Пуск - Панель управления - Брандмауэр Windows - Исключения »
не могу, я его потеряю :)
Цитата:
Цитата Pili
Dump, Здравствуйте. Дополню. Kaspersky Anti-Virus 7.0 и Trend Micro - оставьте что-нибудь одно. »
И Вам доброго вечера, касперского там нет, возможно остались какие-то следы ???
Цитата:
Цитата Pili
включите брандмауэр windows и уберите в исключениях брандмауэра общий доступ к файлам и принтерам. »
сейчас попробую
Цитата:
Цитата Pili
Создайте новую контрольную точку восстановления и очистите предыдущие:
- Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно-Восстановление системы нажмите Очистить
- Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать »
Всё это сделал перед выполнением скриптов в AVZ, единственно забыл выключить восстановление, потом выключил. Проделать ещё раз ?

Цитата:
Цитата Pili
Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner »
так же всё сделал перед выполнением скриптов.

Цитата:
Цитата thyrex
Файл quarantine.zip из папки AVZ отправьте на thyrex2002@tut.by »
Отправил с адреса sc_dump


Я добавил логи, не могу понять но файл virusinfo_syscheck.zip не создаётся, virusinfo_syscure.zip тоже не появился, в файле syscheck.rar скопированный текст с окна AVZ после выполнения стандартного скрипта №2 .

Pili 25-03-2009 17:30 1074543
Цитата:
Цитата Dump
не могу, я его потеряю »
Не потеряете, если порты для удаленного администрирования внесете в исключения, например 3389. Если заплатки (SP3 и все остальные) абсолютно все поставлены, то брандмауэр можно не включать.
Цитата:
Цитата Dump
касперского там нет, возможно остались какие-то следы ??? »
драйвер C:\WINDOWS\system32\drivers\klif.sys
служба O23 - Service: Kaspersky Anti-Virus 7.0 (AVP)
Пройдитесь утилитой KAVremover9.zip - http://support.kaspersky.ru/faq/?qid=208635705
Цитата:
Цитата Dump
единственно забыл выключить восстановление, потом выключил. Проделать ещё раз ? »
Восстановление системы можно не отключать, но в таком случае после скрипта надо очищать предыдущие точки восстановления и создавать новую, временные файлы после скрипта лучше чистить.

Цитата:
Цитата Dump
Я добавил логи »
А вы все предыдущие рекомендации выполнили? Судя ло логу HJT - нет. Защитное ПО выключали на время работы AVZ?

Dump 25-03-2009 21:02 1074741
Цитата:
Цитата Pili
А вы все предыдущие рекомендации выполнили? Судя ло логу HJT - нет. Защитное ПО выключали на время работы AVZ? »
Из того, что сделал:
1.Брандмауэр включил в исключениях убрал общий доступ
2. На время работы AVZ Тренд выгружал через трей, но уже позже заметил, что процессы в работе остаются.
3. временные файлы почистил
4.Установил обновления из статьи про KIDO
5. запустил на проверку CureIt в обычном режиме, в безопасном не смог ТАМ людей на месте уже нет (он прошёл порог в 3%)
6. Ушел домой :)
Яву и акробат не обновлял, Gmer не запускал, следы касперского не удалял, kidokiller тоже не запускал.

Цитата:
Цитата thyrex
Добавил
DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612'); »
вот эту строчку только заметил, её же отдельно можно будет выполнить ?

Dump 26-03-2009 08:59 1075032
Вложений: 2
Вот последние логи, вроде все рекомендации выполнил, лог AVZ так и не формируется :(

Pili 26-03-2009 10:53 1075118
Dump, с помощью kidokiller по инструкции проверяли систему? Cureit находил win32.sector (или AVPTool win32.sality)?
Код:
O4 - HKLM\..\RunOnce: [UnKAV] wscript.exe //b C:\DOCUME~1\9335~1\LOCALS~1\Temp\UnKAV.vbs
Знакомо? Если нет - пофиксите и очистите временные файлы.
AVZ запускали с консоли или через терминалку? Попробуйте отключить всё защитное ПО, брадндмауэр windows можете оставить, попробуйте запустить хотя бы 2-ой скрипт AVZ и выложить логи virusinfo_syscheck.zip

Скачайте Malwarebytes' Anti-Malware здесь, здесь, здесь или здесь. Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (удалить выделенные, внимание - проверьте то, что удаляете). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).

Скачайте OTListIt2, сохраните на рабочий стол и запустите, поставьте галочку Scan All Users, LOP Check, Purity Check и в Extra Registry - Use Safe list. Нажмите Run Scan, когда закончится процесс сканирования, откроются два файла OTListIt.Txt и Extras.txt , скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте полученные логи C:\OTListIt.Txt и C:\Extras.txt и прикрепите к сообщению.

Dump 26-03-2009 12:48 1075220
Цитата:
Цитата Pili
с помощью kidokiller по инструкции проверяли систему? Cureit находил win32.sector (или AVPTool win32.sality)? »
Да всё по инструкции, за исключением того, что от сети не отключал. CureIt находил win32.sector !!!

AVZ запускал в графическом режиме (если это имеется ввиду) ! Вот именно после выполнения второго скрипта в логах ничего не появляется!!!!

Pili 26-03-2009 13:20 1075246
Цитата:
Цитата Dump
CureIt находил win32.sector »
Это плохо, очень. Вам придется сначала провериться по методу лечения системы от файловых вирусов, и только затем делать логи.
Т.к. вирус живучий, после лечения рекомендуется не запускать exe файлы из источников, которые не проверялись антивирусом, Trend Micro OfficeScan по какой-то причине не знает о вашем экземпляре файлового вируса, поэтому рекомендую несколько зараженных файлов отправить в вирлаб Trend Micro или использовать другой антивирус.

Dump 26-03-2009 13:46 1075267
Malwarebytes' Anti-Malware 1.34
Версия базы данных: 1749
Windows 5.1.2600 Service Pack 2

26.03.2009 15:44:33
mbam-log-2009-03-26 (15-44-33).txt

Тип проверки: Полная (C:\|D:\|)
Проверено объектов: 157388
Прошло времени: 38 minute(s), 52 second(s)

Заражено процессов в памяти: 0
Заражено модулей в памяти: 0
Заражено ключей реестра: 1
Заражено значений реестра: 0
Заражено параметров реестра: 4
Заражено папок: 0
Заражено файлов: 2

Заражено процессов в памяти:
(Вредоносные программы не обнаружены)

Заражено модулей в памяти:
(Вредоносные программы не обнаружены)

Заражено ключей реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{28abc5c0-4fcb-11cf-aax5-81cx1c635612} (Trojan.Agent) -> Quarantined and deleted successfully.

Заражено значений реестра:
(Вредоносные программы не обнаружены)

Заражено параметров реестра:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetFolders (Hijack.Explorer) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL \CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop\NoChangingWallpap er (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Not selected for removal.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispCPL (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Not selected for removal.

Заражено папок:
(Вредоносные программы не обнаружены)

Заражено файлов:
C:\WINDOWS\system32\krnln.fnr (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\explorer.exe.de.bat (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.

Dump 26-03-2009 14:07 1075289
Цитата:
Цитата Pili
Это плохо, очень. Вам придется сначала провериться по методу лечения системы от файловых вирусов »
Тогда тему пока можно прикрыть, буду ждать пока компы мне вышлют.
По видимому решением будет переустановка образа :(

Pili 26-03-2009 14:34 1075313
Dump, зачем переустанавливать? Загрузиться с CD и проверить тем же cureit и затем, на всякий случай, APVTool.
По логу AVZ подозрительные c:\windows\system32\dwrcst.exe - создан: 25.03.2009 14:33:35, c:\windows\sminst\scheduler.exe изменен: 16.03.2009 10:27:20, с некоторыми другими файлами то же самое, вероятно заражены win32.sector, после проверки утилитами можно проверить такие файлы на virustotal.com
Если есть общие файловые ресурсы, их также следует проверить.

Dump 26-03-2009 15:02 1075326
жду компы...

thyrex 26-03-2009 22:02 1075725
Добрался наконец до своей почты. C:\WINDOWS\system32\gifsury.dll из вашего карантина мой KIS2009 определил как Net-Worm.Win32.Kido.ih


Время: 13:37.

Время: 13:37.
© OSzone.net 2001-