Перейти к содержанию

Этот ужасный Kido и компания [LOG+]


Рекомендуемые сообщения

Ребят! Я уже не знаю что делать. Я уже и Касперским сто раз проверял и НОДом вот сейчас Вэб поставил - все равно живет этот Kido и никуда не девается. И Kido Killer использовал - безрезультатно. Последняя надежда на вас! Помогите!

 

hijackthis.zip

virusinfo_syscheck.zip

virusinfo_syscure.zip

Ссылка на комментарий
Поделиться на другие сайты

Пофиксить в HiJack

 R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - (no file)
O2 - BHO: (no name) - {FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} - (no file)

 

Загрузите GMER по одной из указанных ссылок

Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)

Запустите программу (пользователям Vista запускать от имени Администратора по правой кнопке мыши).

Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.

После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

  • Sections
  • IAT/EAT
  • Show all

Из всех дисков оставьте отмеченным только системный диск (обычно C:\)

Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.

После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

Ссылка на комментарий
Поделиться на другие сайты

Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner

- скачайте ATF Cleaner или с зеркала, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.

- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected

- нажмите No, если вы хотите оставить ваши сохраненные пароли

- если вы используете Opera, нажмите Opera - Select All - Empty Selected

- нажмите No, если вы хотите оставить ваши сохраненные пароли

 

 

Скачайте SDFix, загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat - подтвердить, нажав "Y"), после окончания сканирования скопируйте текст из C:\Report.txt и вставьте в следующее сообщение или запакуйте файл C:\Report.txt и прикрепите к сообщению

Описание SDFix есть здесь

 

 

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.

 

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Ссылка на комментарий
Поделиться на другие сайты

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del service cthzjdvfj
gmer.exe -del service fywcvu
gmer.exe -del service qxjkvzjza
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\cthzjdvfj"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\fywcvu"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\qxjkvzjza"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\cthzjdvfj"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\fywcvu"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\cthzjdvfj"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\fywcvu"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\qxjkvzjza"
gmer -reboot

И запустите cleanup.bat

 

Сделать новый лог gmer

 

Выполнить все инструкции http://forum.kaspersky.com/index.php?showtopic=101154

  • Согласен 2
Ссылка на комментарий
Поделиться на другие сайты

И проверьте на www.virustotal.com

c:\windows\system32\63A777530C.sys

c:\windows\system32\KGyGaAvL.sys

 

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

File::

Driver::
lxgtg
Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5778:TCP"=-
FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

CFScript.gif

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

И лог Gmer не забываем.

Ссылка на комментарий
Поделиться на другие сайты

Файлы, который просил проверить akoK - не заражены.

 

Все скрипты выполнил, вот новые логи:

 

gmer_log1.rar

 

LOG1_ComboFix.zip

Изменено пользователем san'OK
Ссылка на комментарий
Поделиться на другие сайты

Включите встроенный фаерволл, зайдите в настройки (фаерволла) и убейте все исключения

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

File::

NetSvc::
WmdmPmSNcthzjdvfj
fywcvu
qxjkvzjza
kdbtrylbd
Driver::

Folder::

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

CFScript.gif

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

 

И повторите лог Gmer

Ссылка на комментарий
Поделиться на другие сайты

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

включить бы.

 

моя вина не сверстал скрипт как необходимо скрипт :)

 

Включите встроенный фаерволл, зайдите в настройки (фаерволла) и убейте все исключения

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

File::

Driver::
cthzjdvfj
hlqzcn
fywcvu
qxjkvzjza

Folder::

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

CFScript.gif

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

 

И повторите лог Gmer

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

О! Спасибо огромное! Вроде бы все зловреды благополучно здохли )) Я проверился GMER - полет нормальный (деятельности руткитов нет)- отчеты нужны?

Ссылка на комментарий
Поделиться на другие сайты

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /u, нажмите кнопку "ОК"

Combofix-unninstal.JPG

 

Скачайте OTCleanIt, запустите, нажмите Clean up

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Anix
      От Anix
      Отключил винт и подцепил его к виртуалке,
      нашёл лог работы заразы.
      Может поможет в создании лекарства
      temp.rar
    • KL FC Bot
      От KL FC Bot
      Серьезные ИБ-инциденты порой затрагивают многих участников, зачастую и тех, кто повседневно не занимается вопросами ИТ и ИБ. Понятно, что в первую очередь усилия сосредоточиваются на выявлении, сдерживании и восстановлении, но, когда пыль немного осядет, наступает время для еще одного важного этапа реагирования — извлечения уроков. Чему можно научиться по итогам инцидента? Как улучшить шансы на успешное отражение подобных атак в будущем? На эти вопросы очень полезно ответить, даже если инцидент не принес существенного ущерба из-за эффективного реагирования или просто удачного стечения обстоятельств.
      Немного о людях
      Разбор инцидента важен для всей организации, поэтому к нему обязательно привлекать не только команды ИТ и ИБ, но также высшее руководство, бизнес-владельцев ИТ-систем, а также подрядчиков, если они были затронуты инцидентом или привлекались к реагированию. На встречах этой рабочей группы нужно создать продуктивную атмосферу: важно донести, что это не поиск виноватых (хотя ошибки будут обсуждаться), поэтому перекладывание ответственности и манипулирование информацией исказят картину, повредят анализу и ухудшат позицию организации в долгосрочной перспективе.
      Еще один важный момент: многие компании скрывают детали инцидента в страхе за репутацию или опасаясь повторной кибератаки по тому же сценарию. И хотя это вполне объяснимо и некоторые подробности действительно конфиденциальны, нужно стремиться к максимальной прозрачности в реагировании и делиться подробностями атаки и реагирования если не с широкой публикой, то как минимум с узким кругом коллег из сферы ИБ, которые могут предотвратить похожие атаки на свои организации.
       
      View the full article
    • timson74
      От timson74
      Приветствую уважаемое сообщество.
      Имеется ПК с лицензионным Kaspersky Internet Security 21.3.10.391(k). Лицензия истекает в августе этого года. Примерно месяц назад купил в DNS "карту продления" лицензии KIS (лежит на полке запечатанная). Недавно прочитал, что Лаборатория Касперского с мая сего года отказывается от старых продуктов и вводит новую линейку - Standard, Plus и Premium. Собственно, вопрос - актуальна ли в свете вышеуказанных изменений купленная мной карта продления KIS и что произойдёт с установленным на мой ПК Kaspersky Internet Security в дальнейшем?
    • Ak.512
      От Ak.512
      Здравствуйте!

      Большая часть инфраструктуры была атакована шифровальщиком-вымогателем, прикладываем файлы диагностики по инструкции.Addition.txtОбразцы.rarinfo.txtFRST.txt
      Предварительно атака началась в 23:00 14.07.2024, однако примерное направление пока не выяснили.

       
    • Elly
      От Elly
      Друзья!
       
      5 июля АО "Лаборатория Касперского" будет праздновать свой 27-й день рождения. На праздник приглашены в том числе и участники нашего клуба. В честь этого события мы подготовили для вас целых 2 викторины: для клуба и для нашего телеграмм-канала. Суммарное количество вопросов на обе викторины равно количеству лет, которые существует компания. Эта викторина поможет вам погрузиться в историю празднования дней рождения компании и расширить свой кругозор.
       
      НАГРАЖДЕНИЕ
      Без ошибок — 2000 баллов Одна ошибка — 1500 баллов Две ошибки — 1000 баллов Баллами можно оплатить лицензии и сувениры в магазине Клуба. 
       
      ПРАВИЛА ПРОВЕДЕНИЯ
      Викторина проводится до 20:00 09 июля 2024 года (время московское).
      Правильные ответы будут опубликованы не позднее 10 дней с момента окончания викторины. Публичное обсуждение вопросов и ответов викторины запрещено. Итоги будут подведены в течение десяти дней с момента публикации правильных ответов. Баллы будут начислены в течение двадцати дней с момента опубликования итогов викторины.

      Все вопросы, связанные с корректностью проведения викторины, необходимо отправлять пользователю @zell (пользователей @alexandra и @Ellyвключать в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Ответ будет дан коллегиальным решением организаторов викторины и дальнейшего обсуждения не предполагает.
      Вопросы по начислению баллов направлять пользователю@Ellyчерез систему личных сообщений.

      Вопросы по викторине принимаются только через личные сообщения в течение срока проведения викторины и не позднее трёх дней после публикации ответов (время московское). Ответы направляются представителем от организаторов викторины через личные сообщения в рамках созданной переписки.

      Администрация, официально уведомив, может в любой момент внести изменения в правила викторины, перезапустить или вовсе прекратить её проведение, а также отказать участнику в получении приза, применить иные меры (вплоть до блокировки аккаунта) в случае выявления фактов его недобросовестного участия в ней и/или нарушения правил викторины, передачи ответов на викторину иным участникам. При ответе на вопросы викторины запрещается использовать анонимайзеры и другие технические средства для намеренного сокрытия реального IP-адреса.

      Вопросы по начислению баллов, принимаются в течение 30 дней с момента подведения итогов викторины. Викторина является собственностью клуба «Лаборатории Касперского», её использование на сторонних ресурсах без разрешения администрации клуба запрещено.

      Участие в викторине означает безоговорочное согласие с настоящими правилами. Для перехода к вопросам викторины нажмите ЗДЕСЬ
×
×
  • Создать...