Антивирусы, А что стоит у вас?

[Molly]

Утилиты из сейф моде запускать или из обычной?

ЗЫ: Прошу прощения за то, во что превратила тему.... ээээ .... ннууу... что ж поделать... а вдруг кому-то еще пригодится? : ) Для увеличения грамотности населения, например. (Чем-то надо утешаться : )). В конце концов, мы потом можем все эти посты прибить. Или нам прибьют...

Сообщение отредактировал Molly - 10.07.10 - 02:32

[Mechanical Lover]

Из сейфмода разумеется лучше, и распаковывать, и устанавливать, и запускать. Если конечно получится, они могут не пойти оттуда.

[Molly]

отчитываюсь : )

Да, могучие утилиты. Работали всю ночь и полдня, причем Куреит так и не доработал - пришлось прервать, т.к. пора было дела делать, в инет выходить и т.д.

Нашлось минимум три троянца: два нашла утилита Каспера и один ДрВеба. Хотя если судить по названиям файлов, то похоже что Дрвебовский соответствует одному из Касперских. Вот только удивительно, что Каспер не все их словил, хоть это телеса одного и того же (либо аналогичного) трояна.

Kaspersky Virus Removal Tool:

Backdoor.Win32.Shiz.Gen в файлах:
C:\WINDOWS\system32\Q17FC6H.exe
C:\WINDOWS\system32\IMG3WAV.exe
C:\System Volume Information\_restore{многацыфер}\RP2\A0002953.exe
C:\System Volume Information\_restore{многацыфер}\RP2\A0002954.exe

HEUR:Trojan.Script.Generic в двух html файлах (в архиве фотографий, который мне прислали с работы, но я их не запускала, так что думаю это не причина болезни)

DrWeb CureIt:

Trojan.PWS.Ibank.53 в файлах:
C:\WINDOWS\system32\NW6JUiU.exe
C:\System Volume Information\_restore{F2D2227A-3633-409F-AE87-AE3C68FD661D}\RP2\A0002961.exe

Я полезла посмотреть, чего вообще творится в system32. Смотрела в нормальной моде через Commander и обнаружила там еще с десяток экзешников со странными названиями, причем иконка при них особая, такое мутное пятно. Обе утилиты их не поймали (Куреит не доработал, я его опять на ночь оставлю - но диск С он полюбому проверил, так что этих он не отловил).

6ei9qGz.exe
DOtdmnA.exe
GACKlpj.exe
HVToYJK.exe
idjd6z1.exe
Iq2dmYJ.exe
JL4iZOf.exe
Jyfc9Cc.exe
MDSFQfJ.exe
rDI12wT.exe
sjJPjZV.exe

Может быть руками их убить? И очистить System Volume Information?

ща я пожалуй остальные муки и страдания тоже под спойлеры уберу, пока поганой метлой не выгнали

Сообщение отредактировал Molly - 10.07.10 - 14:48

[Mechanical Lover]

Да, эти файлы надо ликвидировать. На всякий случай можно заархивировать и подождать пару дней, потом удалить окончательно, т.к. они могут оказаться, например, компонентами защиты от копирования какого-нибудь софта. Но в любом случае - фтопку. Странно, что каспер их не прибил. А вы не могли бы заархиировать их и положить туда же, куда я кидал антивири. Я скачаю и проверю у себя.
System Volume Information разумеется необходимо полностью очистить. Я бы даже посоветовал вообще отключить, поскольку, по моему личному мнению, польза от него намного меньше, чем занимаемый им размер. Впрочем, если у вас терабайтный винт, тогда потеря нескольких гигов некритична.

[Molly]

Щас залью.

А как отключить System Volume Information?
Нет, винт у меня отнюдь не терабайтный, да и восстановлением я никогда не пользовалась. Если винда ломается настолько, что встает вопрос о восстановлении, то скорей всего она уже и не восстанавится : )) во всяком случае мне так кажется...

добавлено Molly - 10.07.10 - 15:15
Вот: ССЫЛКО СТЕРТО

Там внутри зипа есть еще файл dir.txt - это листинг всей директории, на всякий случай. Я ведь отбирала "троянов" только по особой иконке - кстати, интересно почему они так отмечены, иконки в коммандере означают программу, которая должна открывать файл. И я такой иконки больше нигде не видела.

ЗЫ: Выйду на час : )

Сообщение отредактировал Molly - 10.07.10 - 16:54

[Mechanical Lover]

Да, эти файлы содержат троян-бэкдор. Значит, кроме них должны быть еще. Странно, что эти кастрированные версии каспера и дрвеба не отреагировали на них. Например, поищите файлы:
system32\5sK2T5D.exe
%Temp%\1.tmp
%Program Files%\AVG\AVG9\dfmcfg.dat
Но это так с ходу вспомнившиеся мне мелочи, относящиеся именно к этому бэкдору, наверняка там еще много чего, зоопарк вы развели неплохой.

System Volume Information отключается в Панель упраления -> Система ->  Восстановление системы -> Отключить восстановление системы на всех дисках. Очиститься после отключения должна автоматически.

[Molly]

Этих файлов нет.

В system32 я больше не вижу ничего странного: даже если не смотреть на иконки, названия у файлов вполне вменяемые (больше нет таких где цифры вперемешку с буквами в разном регистре).

Зоопарк развели, зоопарк развели... а что делать, если это животное антивирусы не ловят? И вообще, это не зоопарк, а один зверь. Который везде проник и расплодился. Эхх...

Сообщение отредактировал Molly - 10.07.10 - 16:22

[Mechanical Lover]

Нет, это именно зоопарк, поскольку уже найдено 4 разных зверя, и это еще не все, я уверен.

[Molly]

Кстати, вот отчет каспера (я не нашла, где он его пишет, поэтому просто заксринила). Он там кроме самого трояна нашел еще много уязвимостей в самых ходовых экзешниках.



добавлено Molly - 10.07.10 - 16:30

Нет, это именно зоопарк, поскольку уже найдено 4 разных зверя, и это еще не все, я уверен.

Так они разные?!!!! Офигеть.....

ЗЫ: Троян в хтмльниках я не запускала (я их не открывала).

Сообщение отредактировал Molly - 10.07.10 - 16:33

[Mechanical Lover]

В общем, при таком зоопарке я бы посоветовал переустанавливать систему, причем с форматированием винта. Предварительно скинув необходимые рабочие файлы куда-нибудь на флэшку или запасной винт, который перед копированием обратно тщательно проверить на чистом компе несколькими антивирями.

Но если не лень, можем и так додавить. Для начала вам понадобится загрузочный диск с чистой осью. Поскольку, вполне вероятно, скачанные вами каспер и дрвеб не могут обнаружить заразу даже там, где она точно есть, потому что зараза не дает им это делать.

ЗЫ: Кстати, сотрите ссылку на архив с файлами, а то вас забанят за распространие вирусов 

Сообщение отредактировал Mechanical Lover - 10.07.10 - 16:49

[Molly]

Да, так и сделаю. Но до командировки мне два дня надо будет активно работать на этом компе, в том числе и в сети (в скайпе и т.д.) Я только надеюсь, что если этот троян что=то тырит, так он уже всё что ему надо потырил и хуже не будет. Бэкап сейчас сделаю и буду пока жить как живется, а после командировки уже буду всё форматировать.

Давайте проверим порядок действий (в смысле, которые надо будет делать потом, когда у меня будет достаточно времени).

1) Скачать на внешний диск содержимое диска Д (там все рабочие файлы, плюс дистрибутивы программ - на С я ничего своего не держу, в "Моих документах" никаких моих документов нет)
2) Загрузиться с CD на котором WinXP SP3 и отформатировать оба диска
3) Поставить оттуда винду
4) Выйти в интернет, скачать основной антивирус чтоб сидел резидентно (какой, кстати, посоветуете? из бесплатных я знаю только Авиру и Аваст)
5) Скачать что-то, которое конкретно прибивает мой бэкдор (Kaspersky tools? Cureit? AVZ4? - или всё сразу : ). Наверное лучше скачать заново, для надежности?
6) Отключить в винде запуск autorun'ов, после чего подключить внешний диск
7) Проверить внешний диск антивирусами
8) Списать с него содержимое диска Д

Что я забыла? : )

И насколько опасно прожить два дня с открытыми бэкдорами? То есть я понимаю, что опасно, но выхода практически нет - если начну форматироваться сейчас, то реально жить и работать в этом компе можно будет еще не скоро... опыт так говорит.

добавлено Molly - 10.07.10 - 17:01
"Но если не лень, можем и так додавить. Для начала вам понадобится загрузочный диск с чистой осью. Поскольку, вполне вероятно, скачанные вами каспер и дрвеб не могут обнаружить заразу даже там, где она точно есть, потому что зараза не дает им это делать."

Давайте попробуем додавить! Уже столько давили... жаль останавливаться на полпути : )

Диск с чистой осью есть. Вы имеете в виду, что можно с нее загрузиться, но НЕ форматировать диски, а запустить антивирусы?

Сообщение отредактировал Molly - 10.07.10 - 16:53

[Mechanical Lover]

Ничего, 2 дня проживете. Вряд ли вы на своем компе храните номера кредитных карт швейцарского банка с золотом партии или секретные чертежи космического унитаза. Можете потерять персонажей от онлайн-игрушек, но их ведь и не жалко, правда? =) Но тянуть с чисткой все равно не стоит, т.к. могут возникнуть проблемы с вашим провайдером, возмущенным массовой рассылкой спама с вашего компа или его участем в DDoS-атаке.

Порядок верный.
По поводу выбора антивиря, как старый наладчик, видевший очень много зоопарков на компах с разными антивирями, могу сказать только одно: действительно более-менее надежно работают только каспер и дрвеб. Каспер несколько лучше (хотя и они не дают 100% гарантии, особенно если у пользователя нет мозгов и элементарных знаний о компьютерной безопасности).
Причины в том, что они достаточно оперативно реагируют на появление новой пакости именно в рунете. В первую очередь на как раз такие, написанные альтернативно одаренными школьниками-кулхацкерами поделки. Которые попадают в базы (если вообще попадают) всяких нодов и авастов только тогда, когда у нас уже вымирают как мамонты. Что, собственно, вы и имеете удовольствие наблюдать на своем компе.
Ну и еще, вызывают определенное доверие слухи, что некоторые из этих поделок выходят как раз из лабораторий каспера и дрвеба, после чего они оперативно выдают новые обновления своих антивирусов =)
Так что я посоветовал бы вам скачать Kaspersky Internet Security 2010, активировать его в режиме месячного триала, обновить базы, выполнить поиск уязвимостей (в частности, при этом можно заблокировать не только автораны, но и еще несколько функций, до которых достаточно сложно добраться вручную). И уже им проверить ваш съемный диск со скачанными файлами. После чего можете снести его нафиг и поставить что-нибудь другое. Или спросить меня, и я объясню, как крякнуть его и доработать напильником, после чего получится очень даже неплохой бесплатный продукт, так как в версии 2010 они наконец озаботились оптимизацией аппетитов к системным ресурсам, и он вполне нормально тянется даже на средних компах.

А диск нужен не с дистрибутивом вынь, а LiveCD с рабочей операционкой.

Сообщение отредактировал Mechanical Lover - 10.07.10 - 17:15

[Molly]

"Вряд ли вы на своем компе храните номера кредитных карт швейцарского банка с золотом партии"

Храню!!! ну, скажем банк не швейцарский, и золото не партийное, но храню, храню. Но ведь если он это дело ворует, так он наверное УЖЕ своровал? От блин. А ведь я собираюсь покупать билет в командировку именно по карте через интернет. Сопрет в процессе, да?

"Можете потерять персонажей от онлайн-игрушек, но их ведь и не жалко, правда? =)"

НЕПРАВДА!!!! Четыре года растила! ЖАЛКО. Но... с одной стороны, я ведь на днях УЖЕ туда заходила, значит если хотел - то спер уже. А с другой стороны, игрушка непопулярная, Runescape. Наверное она хозяина бэкдоров не заинтересует...

Мда. Как всё сложно в этой жизни.

"А диск нужен не с дистрибутивом вынь, а LiveCD с рабочей операционкой."

Так. Этого у меня нету. И видимо сейчас его сделать нельзя, с зараженной машины.

Может быть можно где-нибудь скачать ISO образ такого диска? У меня есть програмка ImgBurn, простая как валенок, записывает образы на диски. Вот только не вмешается ли жывотное в процессе скачки/прожига?

добавлено Molly - 10.07.10 - 17:33


ЗЫ: А как вам кажется, у меня кейлоггер есть? Я никакие пароли нигде не сохраняю, во всех программах ввожу вручную (и в почте, и в браузере). То же и с данными карт: каждый раз вручную. Или это неважно?

[Mechanical Lover]

Кейлоггер наверняка есть, т.к. большинство троянов, ориентированных на воровство данных, включают эту функцию. Я не проверял по базе данных на предмет выполняемых действий те, которые у вас были обнаружены, и тем более те, которые пока не найдены. А я на 100% уверен, что есть еще, поскольку 4 попалось на глаза сходу, а мы же толком и не искали.
Но не отчаивайтесь, вероятность того, что ваши данные попали в злодейские руки и будуи им использованы весьма невелика. Поскольку а) неизвестно, когда он прочитает пакет всего, что успели ему накачать все копии его трояна, расползшиеся по всем компам, куда сумели проникнуть. б) неизвестно, найдет ли он среди гигабайтов мусора именно ваши данные. в) обратит ли он на них внимание и решит ли использовать. г) ему вообще давно уже могли дать по голове и засунуть модем ему в... куда-нибудь.

Но все равно, банк стоит предупредить и после чистки системы поменять пароли и пин-коды.

Образ LiveCD в инете разумеется есть, на сайтах антивирусников в том числе. А вот записывать его на вашем компе я бы не рекомендовал, очень высока вероятность его заражения, это ведь и есть основная функция вирей.

[Molly]

Вот, нашла ИЗО ftp://ftp.drweb.com/pub/drweb/livecd/

Как вы считаете, если я его запишу на диск программой ImgBurn - в процессе скачивания и переписки он не заразится?

Предположим, если не заразится, то что я дальше делаю? Загружаюсь с CD и видимо следую подсказкам, т.к. там уже антивирус:

"Dr.Web LiveCD поможет не только очистить компьютер от инфицированных и подозрительных файлов, но и скопировать важную информацию на сменные носители или другой компьютер, а также попытается вылечить зараженные объекты."

Сейф моде наверное не нужно в этом случае, т.к. винда должна загрузится чистая.

Сообщение отредактировал Molly - 10.07.10 - 18:20

[Mechanical Lover]

Сейфмод при загрузке не нужен. Вероятность заражения файлов при записи на болванку очень мала, тем более, если я правильно помню, на вебовском диске вообще линух. Так что возможна только запись вирусом на диск каких-нибудь дополнительных файлов и подмена авторан.ини. Чтобы подозревать наличие у вас на компе boot-вируса, способного заражать загрузочные сектора, надо быть параноиком. Хотя... кто вас знает, могли и обзавестись Объяснять вам, как проверить диск вручную дискедитом вряд ли имеет смысл. Так что решайте сами, степень риска я вам обрисовал.

Ну что я еще могу сказать? Вперед, экспериментируйте.

После того, как проверите винт имеющимся на диске вебовским антивирем, попробуйте, не перезагружаясь с него, загрузить KIS2010 и установить его на винт (браузер на диске должен быть свой). Если получится - проверьте еще им. После того, как успешно отработают оба, можно будет надеяться, что винт освобожден от постояльцев. Но, разумеется, уверенным можно быть только после вдумчивого исследования содержимого винта и реестра, чего я никак не могу проделать дистанционно.

Сообщение отредактировал Mechanical Lover - 10.07.10 - 18:41

[Molly]

Спасибо, щас всё это попробую!

Да, еще вопрос: вот тут ftp://ftp.drweb.com/pub/drweb/livecd/ кроме файла изо есть еще маленький файлик видимо с контрольной суммой, и два пдфа. Это ведь не нужно для записи на СД? А если нужно, то как использовать... мне не очень понятно, ведь по идее изо - это в зашифрованном виде полное содержимое диска, каким образом к нему прибавить еще файлы? И надо ли.

И еще одна проблема: у меня для соединения с провайдером используется маленькая програмка провайдера. Фактически это просто сетевое подключение, но видимо с какими-то своими настройками. В общем оформлено как програмка. Так вот, эту програмку я не могу запустить ни из сейф моде, и скорее всего не смогу из дрвебовского линукса. То есть сети у меня не будет.

Можно скачать KIS сейчас, а запускать его уже после загрузки с ЛивСД? Троян дистрибутив не заразит?

Блин. А ведь его же еще и обновить придется! Тоже придется с грязной системы (либо вообще не обновлять)

Сообщение отредактировал Molly - 10.07.10 - 18:47

[Mechanical Lover]

Доп. файлы не нужно записывать. Пдф можно почитать, это должен быть мануал по работе с диском.

Насчет подключения к инету - не могу знать, я пропил свой хрустальный шар. Экспериментируйте. Но обновления антивирусных баз тоже можно скачать заранее с сайта каспера. Вот только активировать его не получится без подключения к инету. Но предварительную проверку должно и так прокатить. Если нет - проверьте с диска дрвебом, а каспера ставьте уже под своей системой.

Заразиться после скачки дистриб может, но в этом случае каспер не должен устанавливаться, т.к. он проверяет целостность своего дистриба перед установкой. Хуже, если он окажется испорчен сразу после установки, тогда он опять может ничего не найти, как в тех файлах, которые вы прислали. Я не поленился, проверил их каспером тоже - сразу поднял визг.

Сообщение отредактировал Mechanical Lover - 10.07.10 - 19:12

[Kraulshawn]

>> Mechanical Lover:

Так что я посоветовал бы вам скачать Kaspersky Internet Security 2010, активировать его в режиме месячного триала, обновить базы, выполнить поиск уязвимостей (в частности, при этом можно заблокировать не только автораны, но и еще несколько функций, до которых достаточно сложно добраться вручную). И уже им проверить ваш съемный диск со скачанными файлами. После чего можете снести его нафиг и поставить что-нибудь другое. Или спросить меня, и я объясню, как крякнуть его и доработать напильником, после чего получится очень даже неплохой бесплатный продукт, так как в версии 2010 они наконец озаботились оптимизацией аппетитов к системным ресурсам, и он вполне нормально тянется даже на средних компах.

А я когда-то читал подобное про KIS2009. После чего и выбор в его пользу сделал. Пора мигрировать на 10-й?

[Mechanical Lover]

>> Kraulshawn:
Да, 2010 они подулучшили довольно заметно. Впрочем, если вы платите за него, то не уверен, стоит ли бежать покупать новый. А вот не полениться крякнуть вполне можно. Я так и сделал в свое время, доволен.

[Kraulshawn]

>> Mechanical Lover:

В таком случае буду благодарен за

я объясню, как крякнуть его и доработать напильником

потому, что не уверен в правильности своих настроек.

[Mechanical Lover]

>> Kraulshawn:
Как сделать нормальный вечный триал объяснить намного сложнее, чем сделать, там есть зависимость от железа и софта. Поэтому чтобы не париться можете скачать куканчик, в нем автоматизирована значительная часть процесса: позволяет отключить все дрочилки, которыми добрый доктор каспер будет убеждать вас немедленно бежать платить деньги, угрожая анальными карами. И вам просто раз в месяц надо будет сбрасывать активацию - дело трех секунд.

[Wind]

>> Mechanical Lover:
Тоже использую вечный триал. Каждый месяц перед включением открываю бат-файлик, вычищающий всего-то три строчки в реестре )

Поэтому чтобы не париться можете скачать куканчик

А можно ссылку?

[Molly]

В опщем я буду таки форматироваться.

Дрвебовский ЛивСД за 2 часа работы проверил примерно процентов 5, даже диск С не закончил - и я решила что потеряю меньше времени на перестановку виндов, чем на подобные проверки, которые тем более и без гарантии. А потом он просто повис. Может и я виновата: я хотела пока списать на внешний диск файлы, не нашла как в Midnight Commandere перейти на хард (там по умолчании обе панельки на CD), в конце концов открыла диски С и Д через файрфокс.... который сперва долго висел, ища сеть... плюнула, закрыла файрфокс, а тут и антивирус повис : )).

Еще раз спасибо за такую тщательную и всестороннюю помощь!!! 

[Mechanical Lover]

За ссылками в ЛС.
А вечный триал можно сделать действительно вечным - остановить счетчик дней. Но это нужно делать руками.

>> Molly:
Не за что, не слишком и помог. Делать что-то с компом, не видя его - бессмысленное занятие, так что я с таким же успехом мог сразу посоветовать вам форматить винт =)

Сообщение отредактировал Mechanical Lover - 10.07.10 - 22:11

[Molly]

Да вы что?! Вы очень здорово помогли, показали какие бывают антивирусные утилиты, и вообще как действовать чтоб прибить заразу без форматирования. Ну да, на этот раз не сложилось - а может в другой раз всё получится : ). Я эту темку сохранила, тут масса всего полезного написано.

добавлено Molly - 10.07.10 - 23:05
ЗЫ: Да и по сути помогли: разблокировали мне антивирусные сайты!

[Mechanical Lover]

>> Molly:
Ну да, ну да. Зато так намного веселее, хотя и гораздо менее эффективно, не правда ли? =)

[Wind]

KIS удаляет Куканчика без предупрежнения и с ним. Когда добавил программку в доверенные, KIS тут же её удалил. Как бы обеспечить неприкосновенность Куканчику?

[Mechanical Lover]

>> Wind0fChange:
Никак. Кис люто его ненавидит, считая его самым ужасным из всех вирей и троянов, что в принципе логично. Лично я просто закрываю кис (предварительно отключив в нем функцию самоблокировки), поскольку для работы куканичика это и так нужно. После того, как куканчик отработает и кис запустится, он тут же поднимет дикий визг, увидев сам куканчик и его след в SVI (если включено), Наплюй, он гонит. Проверено.
Да, а храню я его на болванке с дистрибами, только так и можно защитить его от киса. В уничтожении настоящих вирей он, по-моему, проявляет меньшую прыть =) Что поделать, сотрудники касперского любят вкусно жрать.

Сообщение отредактировал Mechanical Lover - 11.07.10 - 09:05

[Kraulshawn]

>> Mechanical Lover:

Я, вообще-то, шукаю в сети ключики... это про активацию KIS
Мну же больше интересовало - как его "доработать напильником". В частности - организовать выгрузку баз в папку для обновления оттуда других машин, не подключенных к инету(вроде разобрался сам, но все таки) и настройка на безинетном компе обновления с дискеты/флешки.