96 ответов в этой теме

[Borka]

В регистре нашел что-то интересное

Есть и RegMon того же Руссиновича.
Выставьте размер лога спайдера в пару метров, приложите этот лог с полной детализацией от старта до финиша. Уберите ключевую информацию. Будем посмотреть.


---
С уважением,
Borka.

[drwebuser]

Он и называется, по русски черная дверь(подогнано по смыслу). :)

Не "черная дверь" (черный - black), а "задняя дверь" (back - сзади, позади).
Т.е. с помощью него злоумышленник открывает себе дверь в систему.

[jjoosseepphh]

Не понял про каких RegMon и FileMon идет речь
Объясните плиз

[pig]

http://www.sysinternals.com/

[Borka]

http://www.microsoft.com/rus/technet/sysin...es/Filemon.mspx
http://www.microsoft.com/rus/technet/sysin...ies/regmon.mspx

---
С уважением,
Borka.

[jjoosseepphh]

Скачал регМонитор и ФайлМонит
Что теперь? В автозапуск бросит их м перезагрузить комп? И смотреть лог?

[Borka]

Если опыта у Вас нет, то
http://support.drweb.com/request либо
http://new-forum.drweb.com/mod/forum/threa...=35657#msg35657

---
С уважением,
Borka.

[account has been deleted]

Что теперь?

http://technet.microsoft.com/ru-ru/sysinte...653(en-us).aspx
Process Explorer
http://technet.microsoft.com/ru-ru/sysinte...645(en-us).aspx
Process Monitor
что есть из этого запустите. :)
в окне программы(и той и другой) есть столбик PID

После перезагрузки в отчете написано24-04-2008 02:20:19 [ps] (PID = 1480) C:WINDOWSsystem32service.exe - инфицирован BackDoor.Bulknet.10024-04-2008 02:20:20 [ps] (PID = 1480) C:WINDOWSsystem32service.exe - исцелен

Найдите процесс под номером 1480 в столбике PID.
результат можно сюда. :)

[jjoosseepphh]

Это то понятно ноя спрашивал по поводу того как сделать чтоб при запуске создавался лог файлов и регистров, вед при запуске вылезает этот зараза и сразу же хватает его ДрВеб

[account has been deleted]

Это то понятно

Не думаю что вам понятно, наша задача наити то что запускает бакдора, как сказал Борка, скорей всего он доктору не известен(дропер который запускает бакдора)

[NetSky]

поставте агнитум Outpost Security Suite Pro или ему подобный.

Лишняя трата ресурсов ;-)
"Living is easy with eyes closed..."

[jjoosseepphh]

Задача та понятно – надо найти того кто создает файл service.exe, не так ли?
Сейчас кинул ярлыки РегМонитора и ФайлМонитора в Автозапуск и посмотрю что будет

[Borka]

Задача та понятно – надо найти того кто создает файл service.exe, не так ли?

Именно. Весь вопрос в том, что пондимется раньше - дроппер или ФайлМон...

---
С уважением,
Borka.

[Borka]

Найдите процесс под номером 1480 в столбике PID.
результат можно сюда. :)

Это бесполезно. Во-первых, PID при старте будет каждый раз разный. Во-вторых, это [PS] - проверка при запуске, т. е. файл ужЕ существует.

---
С уважением,
Borka.

[jjoosseepphh]

кинул ярлыки РегМонитора и ФайлМонитора в Автозапуск
перезапустил комп

в spidernt
25-04-2008 01:45:59 [PS] (PID = 1812) C:WINDOWSsystem32service.exe - инфицирован BackDoor.Bulknet.100
25-04-2008 01:45:59 [PS] (PID = 1812) C:WINDOWSsystem32service.exe – исцелен

в логах РегМонитора и в ФайлМонитора PID 1812 нет

да еще про действие компа при загрузке, забил отметит раньше, может оно будет играть какой то роль в расследовании ; - )

при загрузке винда на мониторе появляется рабочий столь с ярлыками - загружается система, через секунд 1-2 все ярлыки, кнопка пуск и панель задач исчезают – остается только фоновой рисунок. Через секунд 5-8 все появляется на свое место и spider пишет …… исцелено 1 …..

[jjoosseepphh]

Я и про это говорил, что как можно сделать так что мониторы загружались самими первыми, а мне указывали что я не хрена не понял

[Borka]

в логах РегМонитора и в ФайлМонитора PID 1812 нет

РегМон и ФайлМон настроены? В смысле "Options" -> "Filter/Highlight" в обоих и "Volumes" в ФайлМоне?

---
С уважением,
Borka.

[jjoosseepphh]

Volumes
–––––––––
Выбрано диск C и D – больше физических или виртуальных дисков у меня нет на что можно было бы создать временные файлы

Filter/Highlight
--------------
Установлено установки по умолчанью
Include *
Exclude – пусто
Highlight – пусто

[jjoosseepphh]

что посоветуйте? Как будем искать того паразита который создает файл service.exe

[jjoosseepphh]

Погодите, сам файл service.exe я поймал!!!
В настройках spider для заряженных объектов место исцеление поставил переместить в карантин и в папке C:Program FilesDrWebinfected.!!! был перемешен файл service.exe
Выслать его к Вам? Поможет в расследовании?