Vírus?

Microsoft Windows

Pontos leírás

Az elmúlt 2 napban öt ilyen esettel találkoztam. Egyik rendszert sem sikerült "visszahozni". Találkoztatok már ezzel a problémával? Meg tudtátok oldani?

  • 8040 megtekintés

( uid_2783 | 2009. 10. 16., p – 21:36 )

aham, nálunk 3 gép járt így a napokban.
egyik sem úszta meg full újratelepítés nélkül.
ugyan nem hiszem hogy kizárólag ennek köszönhető, de a statisztikába kell:
nod32 volt mindhárom masinán.

azt nem mondom el, mennyi volt warez és mennyi legál, de ha a gyártó
küldte a mikuláscsomagot, akkor gratulálok, itt volt már az ideje.

szerintem valami mélyebb registry borulás, esetleg benneturkálás lehet.
erd winternal-al kivagdostam már minden automatikusan induló hulladékot,
csak a 3 legszükségesebb cucli maradt benne, de így sem tért észhez...
malwarebyte és kaspersky talált ezt-azt, de hiába, eddig jutottunk mi is.

--
Sony Vaio &

legyen eszed és ne szopasd magad legközelebb:

-winyó két részre, 20 giga elég egy irodai átlagmasina C meghajtónak
-telepítés, frissítés, driverek, mindenféle program
-saját doku mappa áthelyez másik partícióra
-miután minden klappol, ghostolod img-be a másik partícióra a rendszer partíciót
-mázli esetén pont kifér egy dvd-re is, esetleg dl-re.
-legközelebb mikor megdöglik, 15-20 perc alatt visszaírsz mindent.

inkább mint 1-2 órát a második pontban összefoglaltakkal szarakodni.

--
Sony Vaio &

"legközelebb mikor megdöglik, 15-20 perc alatt visszaírsz mindent"

Ja, ez az "1bites rendszergazda"-tipusu megoldas. Tobb bites rendszergazdak esetleg elgondolkodnak, hogy talan valami oka is lehet a jelensegnek, mert aztan egyszer csak feltunnek a bizalmas ceges adatbazis dumpok nepszerubb torrent site-okon :)

--
Fontos feladatot soha ne bizz olyan gepre, amit egyedul is fel tudsz emelni!

1bites rendszergazda ? szerintem ráérek gondolkodni az okról abban
az esetben, ha a szűz telepítésről nem készítettem ilyen backup-ot.
kollégám több bites rendszergazdának számíthat, mert pl egy laptop
telepítés 3 napig is eltart nála...

ahol bizalmas céges adatbázisokat ringyózon tárolnak/üzemeltetnek,
ráadásul felelőtlenül, gátlástalan nethozzáféréssel, ott meg is
érdemlik.

itt már szajkózták többen, hogy a win is lehet biztonságos, de erről
ne nyissunk vitát, már akkor úgy döntöttem, hogy hiszek nekik.

--
Sony Vaio &

( zoner | 2009. 10. 16., p – 22:34 )

Én találkoztam már vele kb 6 éve. Debian woody ment fel helyette. :)

Most fejlesztek Windowsra, milyen rusnya egy állat ez...

( dj | 2009. 10. 17., szo – 11:04 )

Nem az én megoldásom, de ha valaki belefut:

Még nem találta ehhez kapcsolódó hozzászólást gondoltam jól jöhet!
Találkoztam 2009.10.14-én egy elég érdekes jelenséggel, megosztom, más ne kínlódjon annyit.
A Win Xp bootolás után, amikor az asztalt betöltené, fekete képernyőre vált, egérkurzor mozog, viszont semmire nem reagál, sem jobb gomb sem taskmgr, sem semmi.
Csökkentett módban, legutólsó helyes confignál is ugyanez a jelenség. Az XP áll és vár, és nem reagál semmire.

Mivel viszonylag nagy számban fordult elő, elkezdtem vírust keresni bőszen, természetesen 4 víruskeresőből 4 semmit nem talált. Neveket nem mondanék!
Többféle Malware, stb. eltávolító következett a találat szintén semmi.

Felhívtam az egyik vírusirtó cég hazai forgalmazóját, akinek meglepően jó a supportja, de most eredmény semmi. Nem hallottak még a jelenségről, nem tudnak mit mondani.(Jelen pillanatban pedig a vonalaik átmenetileg túlterheltek! Most már biztos hallottak róla :-) )

Végső elkeseredésemben elkezdem böngészni a filerendszert, és a helyi profoil/local settings-ben találtam egy gyanús állományt ypdgfw.bak néven. (Egyébkén csak egy dektop.ini van ott.) Azt átmozgattam egy mappába, reboot, és XP indul mint ha mi sem történt volna.

Hurrá!

Jöhet a többi gép, meg a pofára esés, Local settingsben semmi.... (jelenség: fekete halál)

Kis gondolkodás, aztán rákerestem a fájlméretre a teljes meghajtón.
A windows mappában megvolt. Más néven. Legyógyít reboot, örülés.

Szóval ha valaki találkozik a jelenséggel, ne aggódjon.

Be kell bootolni miniPe lemezről, és rákeresni a windows mappában 18432 byte méretü állományokra. Lesz néhány, de van benne egy amelyiknek a neve többnyire értelmetlen karakterhalmaz, a dátuma pedig 2009.03.21 ha ezt eltüntetitek, aztán reboot minden megy tovább.....

Én kb a 100. ilyen gépen vagyok túl 2 nap alatt, és szerintem ez folytatódik.
Közben utánaolvastam a dolognak, (elméletileg a Win32/Daonol.F vírusról van szó)
meg elküldtem a Nod víruslaborjába egy pár állományt, de még nem kaptam válasz.

Ha valakinek valami konkrétabb ifója van, ne fogja vissza magát!

Sok sikert mindenkinek!
Remélem segítettem...

Némi info:

http://computerworld.hu/halozatot-monitoroz-daonol-trojai.htmlhttp://co…

http://www.virustotal.com/hu/analisis/7c9d0a66a44beb3f6713ae731708fcd04…

Illetve még egy kis adalék ha ezek után sem menne:

Microsoft is lépett valamit ez ügyben :D......

Kedves Viszonteladó Partner,

Több helyről kaptunk információt arról, hogy a WindowsXP aktuális frissítése közben a PC “lefagyott” és csak a kurzor látszott a fekete képernyőn.

Mérnökeink utánanéztek a problémának és a következőkre jutottak:

A problémát valószínűleg egy virus fertőzés okozza. Általában a C:\Documents and Settings\ \Local Settings\ vagy a C:\Windows\ mappában található egy 18432 bájt méretű fálj. Mivel változó helyen fordul elő és változó néven, ezért a méretére kell rákeresni. A munkamenet a következő:
Ha van lehetőség, át kell kötni a merevlemezt egy működő rendszerre. Méret alapján keresni kell a fáljra. Ezután kitörölni vagy átnevezni. Visszahelyezni a merevlemezt az eredeti számitógépbe, és inditani a rendszert.

Illetve a Start\Futtatás…\regedit és törölni kell a „HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Drivers32” útvonalon azt a midi nevet, ahol az érték a „C:\Documents and Settings\”user”\Local Settings\ „-al kezdődik és az 18432 bájt méretű előbb kitörölt fájlra mutat.

Üdvözlettel

Énekes Béla Partner Account Manager |Microsoft Magyarország | 1031 Budapest, Graphisoft Park 3.

Bocs. A forrás a netacademia.

Faca!
Kösz a leírást!
most került a kezeim közé egy laptop, ezen hibával.
Systemrescue cd-vel sikerült megoldani a problémát.

És álljon itt a szál kedvéért a szükséges utasítások listája:

a c: a /mnt/windows alá van csatolva ntfs-3g -vel.
cd /mnt/windows/WINDOWS

find . -size 18432c -print

itt kikeresük a kikszkraksz.tmp
utána a biztonság kedvéért:


find . -size 18432c -exec md5sum {} \; |grep `md5sum\ krikszkraksz.tmp|cut -c 1-32`

Vagy ha nem itt van az adott file akkor amint fentebb emlitették a "DocandSet/username/local Set"

Gabi

A változatosság kedvéért megint egy laptop most éppen 74240 byte méretű volt a fájl amit átneveztem.
md5sum:
e8e16b03b1ad822aa8f4e56a7103e326
F-secure 2010 nem ismeri fel most sem.(uptodate)

SystemRescue cd vel sikerült átnevezni.
A gazdájával még egyeztetel mert most vettek rá víruskereső szoftvert:)

Én két gépen oldottam meg ezt a problémát úgy, hogy kivettem a gépből a merevlemezt, és a microsoft ingyenes antivírus programjával végigfuttattam egy keresést a vinyón. Ez leszedte nekem a vírust és utána el lehetett indítani, és utána mégegyszer végigkerestettem.

Amúgy gyors keresésekre ajánlom még a Vipre rescue nevezetű konzolos vírusirtót.

( garferi | 2009. 10. 19., h – 14:30 )

Google által (gyanúsan egybevág a dátum): http://pcforum.hu/tudastar/58682/Laptop+xp+betoltes+gond.html
Egyik ismerősöm is behozta a gépét ugyanezzel a problémával a szervizünkbe csütörtökön, de szerencsére sikerült megcsinálnunk újratelepítés nélkül.
Ma délután leírom, hogy hogyan, habár nem teljesen értem én sem, hogy hogy sikerült, de sikerült az a lényeg... :)

Szerk.: Látom már sikerült beazonosítani, hogy vírus és a kiirtására is született megoldás. Köszi!

Üdv!

( kovi | 2009. 10. 19., h – 06:36 )

mi is összefutottunk ezzel múlt héten 3 gépen. adatmentés / újratelep előtt a hdd-n vírusellenőrzést végeztünk (természetesen idegen gépben) és tiszta volt _mind_. azért az elég gáz, hogy semmit sem találnak a védelmek full ellenőrzéssel sem (kiterjesztések figyelembe vételének nélkül) pedig lenne mit jelezniük.

--
A gyémántot csak a gyémánt vágja.

( Zozz | 2009. 10. 19., h – 10:01 )

Tegnap a fiam gépe mutatott ilyen tüneteket, annyi különbséggel, hogy lsass.exe alkalmazáshibát (0xc0000005) írt ki, majd OK után a fekete képernyő az egérmutatóval. Hosszas googlizás után sem találtam megoldást, ezt a szálat csak ma reggel találtam meg (az lsass hiba alapján próbáltam nyomozni).
Mivel már úgyis ráfert egy újratelepítés, Ubuntu live cd-vel lementettem az adatokat, és újratelepítettem.
Azért írtam be, ha másnak is ez van, idetaláljon a szálra.
Ja, és ez egy előtelepített XP volt.

--
Soli Deo Gloria

( tovis v | 2009. 10. 19., h – 11:08 )

A károsultakat szeretném megkérdezni, hogy mindenki "Rendszergazda" -ként használja a gépét? Ahol a rendszerbe (C:\WINDOWS) ette bele magát ott egyértelmű, de ahol nem, volt-e olyan aki korlátozott felhasználóként működik?
Többször találkoztam furcsa jelenségekkel a saját profilomban (ami egy közönséges korlátozott felhasználó) ilyenkor, itt-ott találtam furcsa programokat, kitörölve azokat a gond megszűnt.
Gyerekeknél és vállalati felhasználóknál - ahol nyugodtan bekorlátozhatjuk a pácienst (ne telepítsen semmit) - ott érdemes elgondolkodni az ms "Steady State" csomag telepítésén. A hasonló hibák zöme így kiküszöbölhető.

Nem tudsz belepni addig amig a file ott van ahova a registry ertek mutat. Az pedig addig ott lesz, amig valamilyen modon el nem tavolitod. Ezt viszont csak vagy masik gepben, vagy livecdrol tudod megtenni. Ilyen szinten nincs koze a jogosultsagokhoz. Ha csinalsz policyt ami bekorlatozza a registry hozzaferhetoseget a sima userek szamara akkor kivedheto a baj.
--
TH

Kösz! Ez fontos infó! - tehát valamilyen biztonsági rést használ a cucc, hiszen akkor nem csak a felhasználói profilhoz tartozó dolgokat módosítja, hanem a rendszerbe is beletúr.
Tudtommal, egy "korlátozott" felhasználó, nem telepíthet programokat, alapból még nyomtatót sem, így a registry -be nem kerülhet olyan bejegyzés, ami más felhasználókra is kihat. A végleges megoldás így, ha az ms "befoltozza" a rést, és kiad egy update -et.
(A vírus ölő programokat nem tartom megoldásnak)

* Én egy indián vagyok. Minden indián hazudik.

( tamsa | 2009. 10. 26., h – 22:02 )

tisztelt kollégák....
csak úgy viccből bootoltam volna egy XP-t (SP3) és ugyan nem fekete képernyő de logon képernyő előtti állapot egérrel jön be és nem megy tovább http://kepfeltoltes.hu/091026/fagyi_www.kepfeltoltes.hu_.png .
Gépen még van ubuntu (ezt nyűvöm) ami jól megy...
kérdés:
clamav felismeri-e az inkriminált virnyákot?
hogyan érdemes futtatni?

köszi:

( nhw | 2009. 10. 27., k – 08:21 )

Nem akarok összeesküvést gyártani, de elég érdekes hogy megjelenik a windows 7 és jön egy "ismeretlen" vírus ami sorra fekteti le az XP-ket.

Kísértetiesen akkor kezdett jelentkezni mikor közeledett a W7 premier. Lehet, hogy tök véletlen, csak elgondolkodtam...

Life is a game, play hard! | 10 féle ember létezik: aki ismeri a bináris számokat és aki nem...

( nyekhere | 2009. 10. 27., k – 09:22 )

Még érdekességképpen:

Mostanában két géppel is találkoztam, amit hasonló fertőzés ért. Nekem az tűnt még fel, hogy létrejött egy hibernációs file is, holott asztali gépekről volt szó, és ki volt kapcsolva rajtuk a hibernálás. Az egyiket sikerült visszahoznom, mihely letöröltem a hibernációs állományt (hiberfil.dat? bin? ini? nem emlékszem :) ) azonnal elindult normálisan a desktop, utána lehetett folytatni a takarítást.
A másikra rövid időm volt. A csökkentet módod visszavarázsoltam, de már lobogtatták a telepítő cd-ket, hogy újrarakják, így nem erősködtem tovább :)

( tamsa | 2009. 10. 27., k – 10:47 )

Köszönöm ...
a méretre keresve több állományt is találtam de bármelyiket feltöltve az online viruskergetőre negatív eredményt produkált ....
Azt hiszem most vmi boot vírus CD-t vadászok.

( bitvadasz | 2009. 10. 27., k – 11:03 )

Nekem is lesz két ilyen gép - holnap hozzák.

18432 divatos bájt hosszúságú cuccok még
(csak úgy, a préda kedvéért):

Program Files\QuickTime\QTSystem\QuickTimeImage.Resources\QuickTimeImage.qtr
Program Files\OpenOffice.org 3\URE\bin\purpenvhelper3MSC.dll
Program Files\Java\jre1.6.0_07\bin\jsoundds.dll
Program Files\Java\jre1.6.0_07\bin\management.dll

15872-esek:
Program Files\QuickTime\QTSystem\QuickTimeMPEG4Authoring.Resources\ja.lproj\QuickTimeMPEG4AuthoringLocalized.qtr
Program Files\Java\jre1.6.0_07\bin\hpi.dll
Program Files\FileMaker\FileMaker Pro 9\Extensions\Web Support\Resources\fmlang\English.dll

Szerencsére nem a kitüntetett helyeken :-)

Illetve Spybot valószínűleg még faló korában agyoncsapta:

Program Files\Spybot - Search & Destroy\delphimm.dll

( tamsa | 2009. 10. 27., k – 23:01 )

Szóval:
kapersky livecd semmit nem talált, w$ továbbra is fagy.

említett hosszúságú állományok:
18432
./Program Files/Garmin/USB_Drivers/I386/grmngen.sys
./WINDOWS/pchealth/helpctr/binaries/hscupd.exe
./WINDOWS/SoftwareDistribution/Download/d803b43c1ec7cb8095c7c3138d91aa77/sp2gdr/iedw.exe
./WINDOWS/SoftwareDistribution/Download/d803b43c1ec7cb8095c7c3138d91aa77/sp2qfe/iedw.exe
./WINDOWS/system32/diskperf.exe
./WINDOWS/system32/dllcache/oleaccrc.dll
./WINDOWS/system32/dllcache/bdaplgin.ax
./WINDOWS/system32/dllcache/deskperf.dll
./WINDOWS/system32/dllcache/diskperf.exe
./WINDOWS/system32/dllcache/dmintf.dll
./WINDOWS/system32/dllcache/jupiw.dll
./WINDOWS/system32/dllcache/winmgmtr.dll
./WINDOWS/system32/dmintf.dll
./WINDOWS/system32/drivers/grmngen.sys
./WINDOWS/system32/DRVSTORE/grmnusb_09F3E629557EBE4D2BA1A9469BDAE635AC0807AE/I386/grmngen.sys
./WINDOWS/system32/perfnet.dll
./WINDOWS/system32/ping.exe
./WINDOWS/system32/wbem/winmgmtr.dll
./WINDOWS/system32/BdaPlgIn.ax
./WINDOWS/system32/deskperf.dll
./WINDOWS/system32/oleaccrc.dll
./WINDOWS/system32/ups.exe
./WINDOWS/system32/win.com
./WINDOWS/system32/wtsapi32.dll
./WINDOWS/system32/dpnsvr.exe
./WINDOWS/system32/nddeapi.dll
./WINDOWS/ie7/iedw.exe
./WINDOWS/msagent/agtctl15.tlb
./WINDOWS/ServicePackFiles/i386/iedw.exe
./WINDOWS/ServicePackFiles/i386/bdaplgin.ax
./WINDOWS/ServicePackFiles/i386/nddeapi.dll
./WINDOWS/ServicePackFiles/i386/perfnet.dll
./WINDOWS/ServicePackFiles/i386/dpnsvr.exe
./WINDOWS/ServicePackFiles/i386/wtsapi32.dll
./WINDOWS/ServicePackFiles/i386/agtctl15.tlb
./WINDOWS/ServicePackFiles/i386/ups.exe
./WINDOWS/ServicePackFiles/i386/ping.exe
./WINDOWS/ServicePackFiles/i386/hscupd.exe
./WINDOWS/$NtServicePackUninstall$/ups.exe
./WINDOWS/$NtServicePackUninstall$/ping.exe
./WINDOWS/$NtServicePackUninstall$/nddeapi.dll
./WINDOWS/$NtServicePackUninstall$/dpnsvr.exe
./WINDOWS/$NtServicePackUninstall$/agtctl15.tlb
./WINDOWS/$NtServicePackUninstall$/wtsapi32.dll

15872
./WINDOWS/system32/cdmodem.dll
./WINDOWS/system32/dllcache/cdmodem.dll
./WINDOWS/system32/dllcache/comp.exe
./WINDOWS/system32/dllcache/logoff.exe
./WINDOWS/system32/dllcache/padrs404.dll
./WINDOWS/system32/dllcache/smierrsm.dll
./WINDOWS/system32/dllcache/tscon.exe
./WINDOWS/system32/dllcache/sysinv.dll
./WINDOWS/system32/drivers/usbintel.sys
./WINDOWS/system32/w3ssl.dll
./WINDOWS/system32/cmcfg32.dll
./WINDOWS/system32/dmremote.exe
./WINDOWS/system32/logoff.exe
./WINDOWS/system32/perfmon.exe
./WINDOWS/system32/sysinv.dll
./WINDOWS/system32/tscon.exe
./WINDOWS/system32/comp.exe
./WINDOWS/system32/inetppui.dll
./WINDOWS/ie7/jsproxy.dll
./WINDOWS/ServicePackFiles/i386/w3ssl.dll
./WINDOWS/ServicePackFiles/i386/cmcfg32.dll
./WINDOWS/ServicePackFiles/i386/usbintel.sys
./WINDOWS/ServicePackFiles/i386/perfmon.exe
./WINDOWS/ServicePackFiles/i386/dmremote.exe
./WINDOWS/ServicePackFiles/i386/jsproxy.dll
./WINDOWS/ServicePackFiles/i386/lang/padrs404.dll
./WINDOWS/ServicePackFiles/i386/inetin51.exe
./WINDOWS/ServicePackFiles/i386/inetppui.dll
./WINDOWS/$NtServicePackUninstall$/cmcfg32.dll
./WINDOWS/$NtServicePackUninstall$/w3ssl.dll
./WINDOWS/$NtServicePackUninstall$/perfmon.exe
./WINDOWS/$NtServicePackUninstall$/more.com
./WINDOWS/$NtServicePackUninstall$/dmremote.exe
./WINDOWS/$NtServicePackUninstall$/ocgen.dll
./WINDOWS/$NtServicePackUninstall$/inetin51.exe
./WINDOWS/$NtServicePackUninstall$/inetppui.dll
./WINDOWS/$NtServicePackUninstall$/padrs404.dll

jajj azt'szem rövidesen +szabadulok ettől a nyűgtől és a diszken xp átadja a helyét másnak...

utsolső esélyként ubuntu alol elérhető regedit és használata?!

Kaspersky 2008-as LiveCD
gép hálózatra dugva

Azt a figyelmeztetést, hogy zárjam be rendesen az oprendszerrel a diszket átléptem (nincs rá módom).

Update fül, frissítés

"Kates.g" amit megfogott letöltővel együtt kilenc helyen.
nekem sem jött elő a leírás szerinti hosszban gyanús nevű

Utána XP-re NOD32, az fogott még egy másikat.

+ SpyBoot S&D immunizálás.