• Администрация SafeZone приветствует вас на нашем форуме!
    Если вы больше не желаете видеть рекламу при просмотре тем и сообщений - то достаточно просто зарегистрироваться. Для зарегистрированных пользователей реклама не отображается.

Решена Net-Worm.Win32.Kolab.jbo

Статус
В этой теме нельзя размещать новые ответы.

werwoolfwe

Активный пользователь
Сообщения
18
Симпатии
0
#1
Народ как устранить последствия заражения данным зверьком?
Есть отдел в нем сеть из 3х компов. В один прекрасный день пропала сеть.
То есть компьютеры не дают к себе присоединиться. Пинг проходит.
После переустановки на машинах касперского? он нашел

и успешно его удалил но вот сеть так и не восстановилась.
 

Вложения

akok

Команда форума
Администратор
Сообщения
13,785
Симпатии
11,602
#2
AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
Код:
begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\FileKan.exe','');
QuarantineFile('C:\WINDOWS\system32\SocksA.exe','');
DeleteFile('C:\WINDOWS\system32\SocksA.exe');
DeleteFile('C:\WINDOWS\system32\FileKan.exe');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Полученный архив отправьте на quarantine<at>safezone.cc с указанной ссылкой на тему в теме сообщения. (at=@)


Повторите логи. (лог RSIT тоже нужен)
 

werwoolfwe

Активный пользователь
Сообщения
18
Симпатии
0
#3
Скрипт выполнил, полученный фаил оказался пуст. Но на всякий случай прикрепил его.

[INFO]quarantine.zip - удалил[/INFO]
 

Вложения

Последнее редактирование модератором:

akok

Команда форума
Администратор
Сообщения
13,785
Симпатии
11,602
#4
Скачайте OTM by OldTimer или с зеркала и сохраните на рабочий стол.
Запустите OTM (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)
Код:
:Processes
explorer.exe

:Services

:Files

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"BSserver"=-
:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]
В OTM под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!".

Компьютер перезагрузится.

После перезагрузки откройте папку "C:\_OTM\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

Систему нужно обновлять или лечить будем до бесконечности.
Acrobat 6.0 => Обновить до последней актуальной версии или деинсталировать.
Microsoft Windows XP Professional Service Pack 2 => Необходимо установить SP3 + все хотфиксы + IE8 (даже если не используете).
 

werwoolfwe

Активный пользователь
Сообщения
18
Симпатии
0
#5
Вот результат работы OTM by OldTimer
Код:
All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
========== SERVICES/DRIVERS ==========
========== FILES ==========
========== REGISTRY ==========
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\BSserver deleted successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 402 bytes
 
User: USR-92
->Temp folder emptied: 794780693 bytes
->Temporary Internet Files folder emptied: 943244 bytes
 
User: wer
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2128867 bytes
%systemroot%\System32 .tmp files removed: 5709 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 13081025 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 56522989 bytes
 
Total Files Cleaned = 827,00 mb
 
 
OTM by OldTimer - Version 3.1.15.0 log created on 01012003_000239

Files moved on Reboot...

Registry entries deleted on Reboot...
Не могли бы вы пояснить пред идущий код.
 
Последнее редактирование:

ТроПа

Активный пользователь
Сообщения
391
Симпатии
334
#6
Не могли бы вы пояснить пред идущий код.
Какой именно?

Что с проблемами?

Добавлено через 1 минуту 25 секунд
И логи повторите, пожалуйста.
 

werwoolfwe

Активный пользователь
Сообщения
18
Симпатии
0
#7
Вот этот код непонятен.
Код:
:Processes
explorer.exe

:Services

:Files

:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"BSserver"=-
:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]
Проблемы как были так и остались.
 

Вложения

Последнее редактирование:

akok

Команда форума
Администратор
Сообщения
13,785
Симпатии
11,602
#8
AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
Код:
begin
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run-','ASocksrv');
end.
Остановка процесса explorer.exe
Удаление ключа в реестре
Чистка временных фалов
Запуск explorer.exe
Перезагрузка.


Что с проблемами?
 

werwoolfwe

Активный пользователь
Сообщения
18
Симпатии
0
#9
Т.е пинг есть но на машины не пускает.
В авз есть восстановление настроек системы.
Может выполнить пункты 14 или 15?

Заметил что если нажимаешь кнопку исправить(см рисунок)
То выдается ошибка при очистке ARP
 
Последнее редактирование:

werwoolfwe

Активный пользователь
Сообщения
18
Симпатии
0
#11
Не помогла программа.
Во общем в сети из 3х машин вылеченными были 2 а на одной бушевал тот самый вирус. Поэтому я сделал и прикрепил все логи с этой машины. А фаил winsrv.exe отправил на вирус инфо.
 

Вложения

Последнее редактирование:

akok

Команда форума
Администратор
Сообщения
13,785
Симпатии
11,602
#12
Это уже другая машина? У нас алгоритм 1 тема = 1 машина.

Отключите автозапуск со съемных носителей

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
Код:
begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 SetServiceStart('WinSrv Service Controler', 4);
 SetServiceStart('uolrde', 4);
 SetServiceStart('llgdpqe', 4);
 SetServiceStart('kukjoipo', 4);
 SetServiceStart('tolso', 4);
 SetServiceStart('huiwciher', 4);
 QuarantineFile('C:\WINDOWS\system32\01.tmp','');
 QuarantineFile('C:\WINDOWS\system32\02.tmp','');
 QuarantineFile('c:\windows\system32\drivers\winsrv.exe','');
 DeleteFile('c:\windows\system32\drivers\winsrv.exe');
 DeleteFile('C:\WINDOWS\system32\01.tmp');
 DeleteFile('C:\WINDOWS\system32\02.tmp');
 DeleteFile('F:\autorun.inf');
 DeleteFile('F:\RECYCLER\S-3-6-21-2434476501-1644491937-600003330-1213\WinSrv.exe');
 DeleteService('uolrde');
 DeleteService('WinSrv Service Controler');
 DeleteService('huiwciher');
 DeleteService('tolso');
 DeleteService('llgdpqe');
 DeleteService('kukjoipo');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 ExecuteRepair(1);
 ExecuteRepair(8);
 ExecuteRepair(16);
 RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Полученный архив отправьте на quarantine<at>safezone.cc с указанием ссылки на тему в поле заголовка(теме) сообщения.. (at=@)

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Подробнее в "ComboFix. Руководство по применению."

Добавлено через 37 минут 6 секунд
WinSrv.exe - drweb: BackDoor.IRC.Sdbot.4875, ЛК: Net-Worm.Win32.Kolab.jbo
 

werwoolfwe

Активный пользователь
Сообщения
18
Симпатии
0
#13
Спасибо за помощь. Видимо вирус подправил груповую политику изменив параметр
"Доступ к компьютеру из сети" как только прописал доступ для гостей все заработало.
 

ТроПа

Активный пользователь
Сообщения
391
Симпатии
334
#14
А вы скрипт АВЗ выполняли? Там же удаляются явные зловреды.
 

werwoolfwe

Активный пользователь
Сообщения
18
Симпатии
0
#15
Да скрипт выполнил на всех компьютерах в сети.
 

thyrex

Ассоциация VN/VIP
VIP
Сообщения
2,362
Симпатии
2,435
#16
Хотелось бы увидеть лог ComboFix и новые логи AVZ
 
Статус
В этой теме нельзя размещать новые ответы.