36 ответов в этой теме

[Borka]

Проверьте-ка на Вирустотал этот файл:
Driver: C:\WINDOWS\System32\Drivers\Beep.SYS
Size: 28672 bytes
Что-то он мне не нравится...

[v.martyanov]

Проверьте-ка на Вирустотал этот файл:
Driver: C:\WINDOWS\System32\Drivers\Beep.SYS
Size: 28672 bytes
Что-то он мне не нравится...

Угу, великоват...

[m.knyazev]

Пароли сильные?

У пользователей не очень, у админа 152 бита

?

Тогда не совсем понял вопрос про пароли?! пароли для чего?

[m.knyazev]

Проверьте-ка на Вирустотал этот файл:
Driver: C:\WINDOWS\System32\Drivers\Beep.SYS
Size: 28672 bytes
Что-то он мне не нравится...

Угу, великоват...

проверил, вот лог

Прикрепленные файлы:

•  virustotal.com.txt   6,42К   53 Скачано раз

[v.martyanov]

Проверьте-ка на Вирустотал этот файл:
Driver: C:\WINDOWS\System32\Drivers\Beep.SYS
Size: 28672 bytes
Что-то он мне не нравится...

Угу, великоват...

проверил, вот лог

File size: 6144 bytes
MD5...: 99572503e15a3d10239b7b9887cbaf89

Размер не тот. По MD5 файл чистый на 100% Наверное, есть дроппер, который его подменяет временно. Сейчас еще раз логи посмотрю...

[v.martyanov]

Эти файлы в вирлаб зашлите, будем смотреть что там:

C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\system32\cba\pds.exe
C:\WINDOWS\System32\ismserv.exe
C:\WINDOWS\system32\ntfrs.exe

[m.knyazev]

Эти файлы в вирлаб зашлите, будем смотреть что там:

C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\system32\cba\pds.exe
C:\WINDOWS\System32\ismserv.exe
C:\WINDOWS\system32\ntfrs.exe

ух..... сейчас вышлю

[m.knyazev]

Выслал

C:\WINDOWS\system32\Dfssvc.exe drweb.com #884102
C:\WINDOWS\System32\dns.exe drweb.com #884097
C:\WINDOWS\system32\cba\pds.exe drweb.com #884100
C:\WINDOWS\System32\ismserv.exe drweb.com #884101
C:\WINDOWS\system32\ntfrs.exe drweb.com #884103

[Borka]

Пароли сильные?

У пользователей не очень, у админа 152 бита

?

Тогда не совсем понял вопрос про пароли?! пароли для чего?

Кроме дырок в винде, Конфикер ходит по сетевым шАрам (C$), используя админские логин/пароль. Потому и вопрос - пароль сильный? Например, "111111" - это слабый пароль.

[Borka]

Эти файлы в вирлаб зашлите, будем смотреть что там:
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\system32\cba\pds.exe
C:\WINDOWS\System32\ismserv.exe
C:\WINDOWS\system32\ntfrs.exe

До кучи:
C:\WINDOWS\System32\ismserv.exe
C:\WINDOWS\system32\ams_ii\iao.exe
C:\WINDOWS\system32\cba\xfr.exe
C:\WINDOWS\system32\MsgSys.EXE

[m.knyazev]

Пароли сильные?

У пользователей не очень, у админа 152 бита

?

Тогда не совсем понял вопрос про пароли?! пароли для чего?

Кроме дырок в винде, Конфикер ходит по сетевым шАрам (C$), используя админские логин/пароль. Потому и вопрос - пароль сильный? Например, "111111" - это слабый пароль.

Ага. Я так и написал пароль админа один единственный и сложность у него 152 бита и не о каких "11111111" речи не идет http://forum.drweb.com/public/style_emoticons/default/smile.png

[m.knyazev]

Выслал:

C:\WINDOWS\System32\ismserv.exe - drweb.com #884101
C:\WINDOWS\system32\ams_ii\iao.exe - drweb.com #884141
C:\WINDOWS\system32\cba\xfr.exe - drweb.com #884140
C:\WINDOWS\system32\MsgSys.EXE - drweb.com #884139
и еще до кучи архив с файлами карантина от сумантика где лежать оба файла из первого моего поста:
Quarantine.rar - drweb.com #884145

[m.knyazev]

вот результат проверки Quarantine.rar на Virustotal.com

Прикрепленные файлы:

•  virustotal.com.txt   2,14К   65 Скачано раз

[m.knyazev]

Ну что товарищи??!!! кто нибудь может хоть что то сказать по моей проблеме[ sensored ]

[Borka]

Ну что товарищи??!!! кто нибудь может хоть что то сказать по моей проблеме???

Без результатов анализа файлов - вряд ли. http://forum.drweb.com/public/style_emoticons/default/sad.png

[m.knyazev]

Ну что товарищи??!!! кто нибудь может хоть что то сказать по моей проблеме???

Без результатов анализа файлов - вряд ли.

эх.... вроде все выслал..... буду ждать.... http://forum.drweb.com/public/style_emoticons/default/smile.png

[m.knyazev]

Мда.... походу тревога было ложной.
вот этот файл C:\WINDOWS\System32\drivers\ utixntg1.sys появляется при сканировании утилитой AVZ и является ее драйверами для поиска руткитов.......
вот это C:\WINDOWS\System32\ cltcibcx.h - действительно Kido о чем мне и подтвердили в вирлабе.

Скорее всего вирус пытался пролезть на сервер с локальных машин использую учетку админа с не сложным паролем,по этому и появлялись задания, но во время учетку такую нашел и удалил, сейчас на сервере тихо.
Лечу от вируса машины в локалке.

Всем кто принимал участие в помощи ОГРОМНОЕ СПАСИБО!!! http://forum.drweb.com/public/style_emoticons/default/smile.png