Трояна подцепил... Чем побороть?

Backdoor.Win32.Small.eo

Другие названия
Backdoor.Win32.Small.eo («Лаборатория Касперского») также известен как: Exploit-DcomRpc.g.gen (McAfee), W32.Wallz (Symantec), BackDoor.Restrict (Doctor Web), W32/Hwbot-A (Sophos), BKDR_SDBOT.GAA (Trend Micro), BDS/Small.EO (H+BEDV), BackDoor.Small.27.AQ (Grisoft), Backdoor.Small.EO (SOFTWIN), Bck/Small.HI (Panda)

Поведение
Backdoor, троянская программа удаленного администрирования

Технические детали

Троянская программа, предоставляющая злоумышленнику удаленный доступ к компьютеру. Файл программы обычно называется HWCLOCK.EXE и имеет длинну около 7КБ.

Для обеспечения доступа подключается к IRC-каналу и ждет команд удаленного пользователя. По команде может скачавать другие (троянские) программы, а также, используя одну из сетевых уязвимостей MS Windows, может попытаться проникнуть на другие машины в сети.

Регистрируется в системе как сервис:

Service name:

hwclock

Display Name:

Hardware Clock Driver

Service Description:

Enables a computer to save and restore system time information using the
hardware clock. Stopping or disabling this service will result in system instability.

Создает ключи реестра:

[HKLM\software\microsoft\ole]
"enabledcom"="n"

[HKLM\system\currentcontrolset\control\lsa]
"restrictanonymous"="1"

Содержит строки:

symantec.loves.the.cock.pheer.biz
owjgp.game2max.net

=============================================

в процессах сидит как hwclock

антивирусник ругается на c:\windows\system32\hwclock.exe
такого файла там нет..
поиск по всему винту дал результат в кол-ве 1 штука.. но не в вышеуказанной папке...
(безопасный режим), файл был успешно удален
ЗЫ. Все файлы показываются, скрытые, системные тоже

Поиск по реестру:
в службах такой процесс был.. удален
вхождения по поиску hwclock:
HKLM\SYSTEM\ControlSet001\Enum\Root\Legacy_HWCLOCK\
удалить ветку реестра не удается

HKLM\SYSTEM\ControlSet002\Enum\Root\Legacy_HWCLOCK\
удалить ветку реестра не удается

HKLM\SYSTEM\СгккутеControlSet\Enum\Root\Legacy_HWCLOCK\
удалить ветку реестра не удается

куда копать далее?
ЗЫ. ОС только установленная, WinXP Prof

Кароче действуй так............. грузись в защищонном режыме (через Ф8)

Заходи в реестр, удаляй к е*еням вышеуказанныйе сцылки из реестру.

Иди в папку винды и удаляй ШИФТ-ДЕЛом енти фалы самого тройяна............ если такой файл не видишь, то либо у тя нкеотображаеццо скрытыйе файлы............. или антивир его ужо удалил!!!!!!!

Проверь запускаемыйе сервисы в винде........если он там тожэ есть отрубай енту службу и запрещяй ей всё


Ставь всевозможный заплаты (Хот ФИксы) на винду......иначе возможны рецыдивы!!!!!!!!!!
Али Файервол поставь!!!!!!

ВСЁ! :-)

Содержит строки:

symantec.loves.the.cock.pheer.biz
owjgp.game2max.net


ищи фаром файлы на диске, содержащие такие строки.
потом в сэйфмоду.

павтаряю еще раз:

притом, админу



дубль 2:




дубль 3:




ок.. попробую.. но проблему не меняет.. вирь уже есть.
вопрос: как лечить!

дак ты ж все расписал уже :-)
загрузись в safe mode, проверь, чтобы эта служба не работала, запусти regedt32, дай себе разрешения на доступ к этим веткам реестра, ну и к другим, где эта зараза упоминается. Ну и удали, соответственно.
То, что файл не виден, скорее всего от проводника его скрывает работающая служба, посмотри чем-нить типа ФАРа

мысль.. пасиб

А антивирь то какой???


Я обычно Каспером 4.5 всё выцепляю в защищённом режыме и всё удаляеццо!

еще раз:
Пользователь - админ.. права - все.
все файлы видны и отображаются. файла нет!!!
антивирусник на него орет именно туда...

может ли ОДИН файл полиморфа скрывать себя от просмотра?
даже в безопасном режиме???

F-Prot

по опыту, знает и лечит больше чем кашпировский..

Винда не дает даже админу права на некоторые разделы реестра, надо назначать самому

[Lion]


Тебе бы достать бутовуйю дискету которайя панимает НТФС........ таким бы образм ты УВИДЕЛ ВСЁ что есть на винте....дажэ скрытойе спец.прогами .......... и таким образом удалил всю хрень!

[Lion]

Риторическайя тема нсчот антивирей. но не в кажом случайе хорош один и тотжэ инструмент! ;-)

ок.. проверю.

Эдэвейр и Спайбут пробовал?

Ищи другим. Возможно Касперский тоже болен.

нет.. пока нет

и не даст, потому как легаси - ветки инициированных девайсов и служб. их надо сначала разрегистрировать из системы, а потом или они самиисчезнут или вытереть ручками.

служба удалена.. эффект тот же

антивирусники Семантик или Маккафи, ф прот тоже ништяк
а касперского выбрось

на варезных сайтах есть бесплатные тулзы pserv, предоставляющая удобный интерфейс для оперирования службами и устройствами (некоторые заразы пишутся в устройства), чтобы врукопашную с реестром не воевать + process explorer, показывающий активные приложения, подключенные модули, открытые файлы и ключи реестра. Выручало не раз :-)

а вот так не пробовали?
http://securityresponse.symantec.com/avcenter/venc...

Тема автоматически закрыта.