29 ответов в этой теме

[Borka]

TDSS неизвестной версии (timestamp указывает дату 21 декабря, наверное свежий) vs CureIt!
CureIt просто зависает и вешает систему, после "Завершения работы" - "Перезагрузка" получаем ошибку svchost.exe - память не может быть read. С горем пополам ребут проходит. После ребута CureIt таки смог запуститься. При проверке в процессе WINLOGON.EXE обнаруживается код BackDoor.Tdss.565. ATAPI.SYS не помечается как заражённый. GMER же явно указывает на модификацию этого драйвера. Итог - детектить способен, лечить - нет.

Если ТДСС 3.2+, то еще никто не умеет лечить. Правда, и детектят немногие...
А сам файл ATAPI.SYS, если вынуть с зараженной системы (Бартом или ЛивЦД) и проверить, детектится?

[fknp]

Если ТДСС 3.2+, то еще никто не умеет лечить. sad.gif Правда, и детектят немногие...

3.2+ это или нет - я не знаю, автор не потрудился указать версию своего творения Могу в личку скинуть дроппер, а Вы уже идентифицируете, 3.2 это или нет.

ATAPI.SYS вне заражённой системы детектируется как BackDoor.Tdss.1365. Это 3.2+ или не 3.2?

Кстати, лечить TDSS может специализированная утилита TDSSKiller (пока только она)

[Borka]

Если ТДСС 3.2+, то еще никто не умеет лечить. sad.gif Правда, и детектят немногие...

3.2+ это или нет - я не знаю, автор не потрудился указать версию своего творения Могу в личку скинуть дроппер, а Вы уже идентифицируете, 3.2 это или нет.
ATAPI.SYS вне заражённой системы детектируется как BackDoor.Tdss.1365. Это 3.2+ или не 3.2?

Если зараженный детектится, то, похоже, именно 3.2+

[userr]

fknp

Могу в личку скинуть дроппер, а Вы уже идентифицируете

Так есть же http://vms.drweb.com/sendvirus ! Категория "Запрос на лечение". дроппер этот вообще детектится?

[ezzo]

Кстати, лечить TDSS может специализированная утилита TDSSKiller (пока только она)

даже 3.2+?

[fknp]

hunt3r я не знаю, 3.2 у меня или нет. Но тот, который у меня - обнаруживает и лечит:



После ребута ничего нигде не обнаруживается (после обнаружения TDSS этой утилитой внезапно "прозревает" Касперский и сам удаляет руткит Т.е. TDSSKiller можно использовать для снятия маскировки с ATAPI.SYS. Как ведёт себя Веб в этом случае - напишу вечером).

userr зачем мне скидывать в лабораторию дроппер который итак детектится? имя ему - Trojan.Packed.2936 (это универсальный детект, штук 5 разных дропперов детектятся под этим именем).

[Blitskrieg]

hunt3r я не знаю, 3.2 у меня или нет. Но тот, который у меня - обнаруживает и лечит:



После ребута ничего нигде не обнаруживается (после обнаружения TDSS этой утилитой внезапно "прозревает" Касперский и сам удаляет руткит Т.е. TDSSKiller можно использовать для снятия маскировки с ATAPI.SYS. Как ведёт себя Веб в этом случае - напишу вечером).

userr зачем мне скидывать в лабораторию дроппер который итак детектится? имя ему - Trojan.Packed.2936 (это универсальный детект, штук 5 разных дропперов детектятся под этим именем).

Перехват обработчика StartIo - это TDL3.20+.

Можете дать ссылку на проверку дроппера на Virustotal? (или хотя бы md5 файла)

Сообщение было изменено Blitskrieg: 21 Декабрь 2009 - 17:59

[userr]

fknp

зачем мне скидывать в лабораторию дроппер который итак детектится?

затем, чтобы зверёк, который он порождает, начал правильно лечиться.
Категория "Запрос на лечение".

[fknp]

Blitskrieg, пожалуйста: http://www.virustotal.com/ru/analisis/c1ed...5a38-1261430522
userr, отправил.

[Eugeny Gladkih]

Blitskrieg, пожалуйста: http://www.virustotal.com/ru/analisis/c1ed...5a38-1261430522
userr, отправил.

номер тикета? в приват