15 ответов в этой теме

[Дитрий Р52]

Добрый вечер!

С какого то момента появились странные симптомы при входе в систему:
при выборе некоторых пользователей в окне приветствия Windows XP входа не происходит, моментально выбрасывает обратно в окно приветствия.
Под другим пользователем пускает, но explorer не загружается с ошибкой:
Описание: Всплывающее окно приложения: Explorer.EXE - Ошибка приложения : Ошибка при инициализации приложения (0xc0000142). Для выхода из приложения нажмите кнопку "ОК".
Если запустить его потом из task manager то запускатся и работает нормально.
Кроме того, не запускаются java приложения, "Сould not create java virtual machine".
В реестре подозрительная строчка:
UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe
http://www.virustotal.com/analisis/f10ef09...5faa-1254496138
[drweb.com #1020840]

Логи:
 test.zip   116,6К   48 Скачано раз

П.С.
Кстати, кроме вирусов кто-либо пользуется таким методом запуска?
Может быть, было бы неплохо реализовать в сканере или спайдере возможность, что при нахождении подобных подозрительных попыток запуска,
файл копировался в карантин и пользователю предлагали отправить их в вирлаб?

[mrbelyash]

Интересно

http://www.virustotal.com/ru/analisis/71bb...07e1-1252566455

http://forum.drweb.com/lofiversion/index.php/t283215.html

---------


C:\WINDOWS\system32\lowsec
File C:\WINDOWS\system32\lowsec\local.ds
File C:\WINDOWS\system32\lowsec\user.ds
File C:\WINDOWS\system32\lowsec\user.ds.lll
File C:\WINDOWS\system32\sdra64.exe (Zbot ?) 


В моей подписи Скрытые процессы

Сообщение было изменено mrbelyash: 02 Октябрь 2009 - 19:49

[mrbelyash]

[Scan path] C:\command.cmd -подозрительно

[Дитрий Р52]

Интересно

http://www.virustotal.com/ru/analisis/71bb...07e1-1252566455

http://forum.drweb.com/lofiversion/index.php/t283215.html

---------
C:\WINDOWS\system32\lowsec
File C:\WINDOWS\system32\lowsec\local.ds
File C:\WINDOWS\system32\lowsec\user.ds
File C:\WINDOWS\system32\lowsec\user.ds.lll
File C:\WINDOWS\system32\sdra64.exe (Zbot ?) 


В моей подписи Скрытые процессы

Добрый вечер.
По поводу верхней части - сервис C-DillaCdaC11BA (C:\WINDOWS\system32\drivers\CDAC11BA.EXE) это сервис менеджера лицензий/защиты продуктов Autodesk
Macrovision RTS Service, в частности AutoCAD 2004.
http://discussion.autodesk.com/forums/thre...threadID=356018

По поводу второй части - что мне надо сделать и что делает предполагаемый Zbot?

c:\command.cmd
@echo off
echo %1
echo %random%>>%1

[YVS]

По поводу второй части - что мне надо сделать и что делает предполагаемый Zbot?

Проверьте, пожалуйста, на VirusTotal
C:\WINDOWS\system32\sdra64.exe

[Дитрий Р52]

По поводу второй части - что мне надо сделать и что делает предполагаемый Zbot?

Проверьте, пожалуйста, на VirusTotal
C:\WINDOWS\system32\sdra64.exe

Ссылка в 1 посте, там имя файла скопированного через avz так как прямая отправка не давала результата (отправленно 0 байт).
http://www.virustotal.com/analisis/f10ef09...5faa-1254496138

[mrbelyash]

По поводу второй части - что мне надо сделать и что делает предполагаемый Zbot?

Проверьте, пожалуйста, на VirusTotal
C:\WINDOWS\system32\sdra64.exe

Ссылка в 1 посте, там имя файла скопировнного через avz так как прямая отправка не давала результата.

Ох ё...а я и не посмотрел...В вирлаб его..Вверху ссылка "Прислать вирус" 
----------
Вот это все тоже попробуйте выкусить
C:\WINDOWS\system32\lowsec\local.ds 
C:\WINDOWS\system32\lowsec\user.ds 
C:\WINDOWS\system32\lowsec\user.ds.lll
-------------------
Не можете отправить?
Сожмите архиватором и загрузите его на рапиду и ссылку сюда...или мне в личку отправьте 

Сообщение было изменено mrbelyash: 02 Октябрь 2009 - 20:26
add

[YVS]

Сделайте, пожалуйста, еще лог RkU

[Дитрий Р52]

Ох ё...а я и не посмотрел...В вирлаб его..Вверху ссылка "Прислать вирус" 
----------
Вот это все тоже попробуйте выкусить
C:\WINDOWS\system32\lowsec\local.ds 
C:\WINDOWS\system32\lowsec\user.ds 
C:\WINDOWS\system32\lowsec\user.ds.lll
-------------------
Не можете отправить?
Сожмите архиватором и загрузите его на рапиду и ссылку сюда...или мне в личку отправьте 

Дык, [drweb.com #1020840] же.
Файлы достал, а что вы с ними будете делать? http://forum.drweb.com/public/style_emoticons/default/wink.png

РКУ:
 RKU.PNG   13К   57 Скачано раз
лог не прикрепился в первый раз
 ReportRKU.zip   8,74К   38 Скачано раз

Сообщение было изменено Дитрий Р52: 02 Октябрь 2009 - 20:57

[Дитрий Р52]

[drweb.com #1020840] -> Автоматической Системой
Угроза: Trojan.PWS.Panda.114

[Дитрий Р52]

Уважаемые, что делать дальше?

[YVS]

Уважаемые, что делать дальше?

Файл
C:\WINDOWS\system32\sdra64.exe
удалили (предварительно сделав на всякий случай резервную копию)
?

[Borka]

Уважаемые, что делать дальше?

РкУ запускается нормально?

[Дитрий Р52]

Файл C:\WINDOWS\system32\sdra64.exe
удалили (предварительно сделав на всякий случай резервную копию) ?

Его спайдер снес после обновления.

РкУ запускается нормально.

[YVS]

Какие-то проблемы остались?

[userr]

Уважаемые, что делать дальше?

стандартный ответ - новый полный комплект логов