|
|
|
|
| Компьютерный форум OSzone.net » Информационная безопасность » Защита компьютерных систем » Trojan-Downloader.Win32.Small.BFN Остались хвосты и не лечатся |
|
||||
|
|
Trojan-Downloader.Win32.Small.BFN Остались хвосты и не лечатся
|
|
Новый участник Сообщения: 11 |
Здравствуйте, уважаемые.
XP CE SP2 En, no any updates Намотал заразу. Кличут по разному, но первое более распространено. Trojan-Downloader.Win32.Small.BFN TR/Dldr.Small.bfn.2 W32/Downldr2.AIIA suspicious Trojan/Worm Downloader.Generic6.QWH W32/Downloadeк Nod32, актуальный на тот момент, не сработал. Он его только через пару суток начал опознавать. Обновляю его раз в сутки - по любому. Засветил мне этого трояна файер, вот я и бросился лечить. Описания нигде нет. Сквозняком все гуглы прошерстил. Помог http://www.norman.com/microsites/nsi...it/40980/en-us - юзайте, эффект есть. Он его в песочнице крутит. Вот результат: Код:
 syskfws.exe : INFECTED with W32/FileInfector (Signature: NO_VIRUS)
[ DetectionInfo ]
* Sandbox name: W32/FileInfector
* Signature name: NO_VIRUS
* Compressed: YES
[ General information ]
* Decompressing UPX.
* File length: 3584 bytes.
* MD5 hash: 609987e4727cdeed976d2abdc544dfab.
[ Changes to filesystem ]
* Creates file C:\WINDOWS\del.bat.
* Creates file C:\WINDOWSL @H????D???? $.
[ Network services ]
* Connects to "promocash24.com" on port 80 (TCP).
* Opens URL: promocash24.com/setup/2192e9b8fff335f761af72fccb63287f/tek.exe.
* Connects to "besttopsearch2007.com" on port 80 (TCP).
* Opens URL: besttopsearch2007.com/counter/fout.phpW.
[ Spreading by infecting files ]
* File infector; modifies existing executable files.
[ Security issues ]
* Starting downloaded file - potential security problem.
[ Process/window information ]
* Creates a COM object with CLSID {4991D34B-80A1-4291-83B6-3328366B9097} : BIT
Control Class 1.0.
[ Signature Scanning ]
* C:\WINDOWS\del.bat (4096 bytes) : no signature detection.
* C:\WINDOWSL @H????D???? $ (143 bytes) : no signature detection.
(C) 2004-2006 Norman ASA. All Rights Reserved.
The material presented is distributed by Norman ASA as an information source only.
Я все перепроверил, по всем наколкам от нормана прошел - банан (про реестр позже). Чисто. В процессах - все стерильно родное и чистое. Но ведь лезет, падла. Нодом системный диск (он у меня не C:\), кеш IE, загрузочный диск, всякие темпы-мэмпы проверил. Чисто. Изучил описание службы BTI - Background Intelligent Transfer Service (респекты OSZone), вырубил ее и запретил впредь (правда возникло у меня deja vu, что вырубал я ее при настройке и оптимизации оси, а оказалась она в автомате). Лезет. Вот сейчас сверился с логом файера - лезет с произвольной регулярностью. Вернее вообще без оной... Как ей карта ляжет. Ага, еще один момент: файер (OutPost 4) мне название процесса-то не показывает. n/a пишет. Может это ужЕ и не svchost... Я же саму заразу-то в файере так и не видел, она ведь не сама, только через svchost лезла. Я видел ее, работающую, глазками только в ProcessExplorer Руссиновича видел. Может это еще другая попалась, по ходу, если нод ее прошляпил. Но пара суток уже прошла, он вот только обновился, млин! Я, вообще-то, плотно закрыт, по картинкам с этого компа не лажу. Эту-то гадость с вполне легитимного сайта надыбал... Видимо дело в реестре и этих COM-объектах, что норман упоминал: Код:
* Creates a COM object with CLSID {4991D34B-80A1-4291-83B6-3328366B9097} : BIT
Вот и получается, что заразу-то я вырезал, а подлечиться до конца не удалось. Как бы это сделать? Перезагружу ее только завтра (м.б.)... Если дело не в COM-ах, а в другом, невидимом ноду файле, то как и где его искать? Другим тестером, так их туева хуча, одни кажут, другие нет. Ну, правда, последний вариант остался - это своп. Но опять надо ресетить, да и вероятность более чем малА. Помогите, плз, если кто руками трогал эти COM-объекты, а, паче чаяния, и сам этот троян. |
|
|
Отправлено: 23:34, 30-10-2007 |
|
Ветеран Сообщения: 3487
|
Профиль | Сайт | Отправить PM | Цитировать Скачай Cureit , и проверь системный диск в безопасном режиме.
Скачай HijackThis сделай лог и выкладывай здесь. Скачай AVZ , распакуй, обнови и перейди в меню Файл-Исследование системы. Полученный лог запакуй и выкладывай здесь. |
|
------- Отправлено: 23:37, 30-10-2007 | #2 |
|
Новый участник Сообщения: 11
|
Профиль | Отправить PM | Цитировать Severny, спасибо за оперативность.
Только вот в безопасный я раньше завтрашнего вечера не смогу :( Каким из них можно на ходу попробовать с бОльшей степенью достоверности? AVZ я вроде трогал год-полтора назад. Его вперед и попробую. О результатах доложу. |
|
Отправлено: 00:52, 31-10-2007 | #3 |
|
Новый участник Сообщения: 11
|
Профиль | Отправить PM | Цитировать Severny,
Ну вот. Первый результат. AVZ не видит этот вирус (он у меня в папочке сохранен). Я, конечно, просканировал загрузочный, системный, swap диски и TMP-хранилища (cache IE & OS). Со всеми галками на средней эвристике. Исследование системы тоже сделал. Подозрительного ничего не увидел. Кое-какие есть вопросики по отчету, но они не критичны, имо. БУду пробовать HiJack. Я его, оказывается, тоже трогал буквально намедни (какая-то мдм из MS советовала в своем блоге). |
|
Отправлено: 02:44, 31-10-2007 | #4 |
|
Новый участник Сообщения: 11
|
Профиль | Отправить PM | Цитировать Ну вот. Эпопея завершилась. Как всегда сама-собой.
Мне пришлось-таки перезагрузиться. В безопасном режиме проверился, по совету Severny, DrWeb не увидел этот вирус в его папочке, минут за 50 проверил от силы четверть планируемого, больше времени я не имел и выключил его. AutoRub-ом Руссиновича проверил всю автозагрузку. Криминала не нашел. Загрузился. Файер молчит. И ужЕ никто никуда не лезет. Видимо гадость эта осталась в памяти после остановки службы BTI, ну а после ресета, понятно, исчезла. Для интереса я запустил службу вновь, и вот уже пару часов файер молчит, на левые адреса никто не рвется. Службу остановил взад. Жаль, что такие, казалось, зубры, как Nod, DrWeb, AVZ не видят его, по крайней мере на сегодняшний день... Всем спасибо |
|
|
Отправлено: 22:46, 31-10-2007 | #5 |
Ветеран Сообщения: 20046
|
Профиль | Отправить PM | Цитировать Очень интересный выход из ситуации.
Может ни чего и небыло? |
|
------- Отправлено: 23:04, 31-10-2007 | #6 |
|
Ветеран Сообщения: 3487
|
Профиль | Сайт | Отправить PM | Цитировать asbo,
C:\_Vir\_Vir.rar/ Ну а что у тебя по этому пути? Судя по названию архив с вирусами, вроде как и не скрывалось. |
|
------- Отправлено: 23:40, 31-10-2007 | #7 |
|
Новый участник Сообщения: 11
|
Профиль | Отправить PM | Цитировать yurfed,
Цитата yurfed:
Цитата yurfed:
Распальцованные антивири облажались в очердной раз - вот главный вывод. Хочешь его уточнить по-делу - во вложении он самый. Плз. Тренируйся и результаты отпиши поподробней (расширение не забудь сменить, архиватор можешь здесь взять http://www.rarlab.com/rar/wrar371.exe) . Nod, кстати, до сих пор его не видит. Пять минут назад обновился до 2630(20071031). Удачи. |
||
|
Отправлено: 23:40, 31-10-2007 | #8 |
|
Новый участник Сообщения: 11
|
Профиль | Отправить PM | Цитировать Severny,
Да. Эта та самая папочка, куда я складываю заразу для анализа. С ней все нормально. Там, кроме сабжа, еще образцы лежат, раньше их подцепил. Они все упакованы и опасности не представляют. Это моя папка. Я же говорил, что сам-то файл я выявил сразу через файер и процмон и блокировал. А вот последствия его "труда" не удалось с лету. Я для себя сделал вывод, что остался он где-то в памяти. Выгрузка службы без ресета не помогла. После ресета, понятно, все стало чисто. Но я не мог это сделать более суток. |
|
Отправлено: 23:45, 31-10-2007 | #9 |
|
Новый участник Сообщения: 11
|
Профиль | Отправить PM | Цитировать То, что пишет норман в своем репорте о его инсталляции, у меня по другому было. C:\ - загрузочный. D:\ - системный. Папки Windows у меня нет ни на том, ни на другом. Она по-другому называется. Встал он в корень C:\. Файлы del.bat и H????D???? $. я по всем винтам не нашел. Видимо он их сам почикал. На второй узел besttopsearch2007.com не лез. Только на promocash24.com Запись в реестре есть, но на нее и другие сылаются, вроде легитимные, но я ужЕ не исследовал, благо сервис BTI остановил - мне он ни к чему. К тому времени, как понадобится - описание дельное будет к вирю, да ось, может, другая. Вот, вроде, и все
|
|
Отправлено: 00:04, 01-11-2007 | #10 |
|
|
Участник сейчас на форуме |
 |
Участник вне форума |
 |
Автор темы |
 |
Сообщение прикреплено |
| |||||
| Название темы | Автор | Информация о форуме | Ответов | Последнее сообщение | |
| [решено] обнаружены вирусы Trojan.Win32.Patched.fr и Trojan.Win32.ВНО.isy | levss_09 | Лечение систем от вредоносных программ | 6 | 25-11-2009 23:00 | |
| Антивирусы - Trojan-Downloader.Script.Generic | konstantin2009 | Лечение систем от вредоносных программ | 0 | 23-01-2009 22:16 | |
| [решено] Trojan-Downloader.Adload.pd | teofrast | Лечение систем от вредоносных программ | 17 | 09-04-2008 16:22 | |
| trojan-dropper.small.NGL | LeemuR | Защита компьютерных систем | 10 | 08-01-2008 15:33 | |
| Win32 Small.jc | Guest | Защита компьютерных систем | 14 | 01-08-2004 16:13 | |
|
|
Время: 12:26. | © OSzone.net 2001-
|
|
Powered by: vBulletin Copyright ©2000 - 2024, Jelsoft Enterprises Ltd. |
