Nowy virus/malware?

Dla specjalistów Bezpieczeństwo
#1

Witam,

Mam problem z otwarciem stron microsoft.com oraz wszystkich powiązanych podstron. Przekopałem google ale podobne problemy były albo hardwarowe lub konfiguracyjne. Ja natomiast kilka dni temu dostalem pc do naprawy z legalnym windowsem. Komputer był lekko zawirusowany, przepuściełem więc scan kasperskiego, mksvir online, combofixa, sdfixa i jeszcze jakiś spyware/malware remover. Komp miał też Solow.B przyniesionego na pendrivie. Gdy logi były czyste odpaliłem Windows Defendera. Kliknąłem na update i error. Chciałem więc wejść na microsoft.com - błąd DNS. Pomyślałem że może panowie z MS coś poprawiają. Zadzwoniłem do znajomego, okazało sie ze u niego Ms.com wchodzi bez problemów. Obecnie na drugiej stacjonarce również nie mam dostępu do ms.com, podobnie na moim laptopie. Żaden z powyższych programów nic nie wykrywa. Wszystkie 3 komputery są “czyste”. Wygląda na to że virus przenosi się po pamięciach masowych. Do laptopa mógł dotrzeć tylko w ten sposób. Oryginalny kaspersky jednak go nie widzi. Co ciekawe w konsoli nslookup poprawnie pokazuje adres ms.com. Jednak gdy klepnę tracert xxx.xxx.xxx.xxx przeskoki są poprawne aż do serwerów bezpośrednio związanych z microsoft. podobnie ping któregokolwiek z adresów MS się nie odbija. Zdaje mi się że virus modyfikuje proces svchost, ale nie mam pewności - jakieś pomysły? Wątpię że jestem pierwszym poszkodowanym. Pozdrawiam

#2

No to logi wklej.

#3

Thx za szybką reakcje. Logi za chwilę - jestem w pracy;). Co ciekawe uruchomiłem services.msc i wyłączyłem Klient DNS. Microsoft.com działa bez problemu - do ponownego uruchomienia systemu!

– Dodane 06.07.2009 (Pn) 11:31 –

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-07-06 09:58:03

Windows 5.1.2600 Dodatek Service Pack 3 NTFS

scanning hidden processes …

scanning hidden services & system hive …

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\pblpp]

“DisplayName”=“iotbu”

“Type”=dword:00000020

“Start”=dword:00000002

“ErrorControl”=dword:00000000

“ImagePath”=str(2):"%SystemRoot%\system32\svchost.exe -k netsvcs"

“ObjectName”=“LocalSystem”

“Description”=“Umo|liwia uruchamianie procesów z u|yciem alternatywnych po[wiadczeD. Je[li ta usBuga zostanie zatrzymana, ten typ dostpu poprzez logowanie stanie si niedostpny. Je[li ta usBuga zostanie wyBczona, wszelkie usBugi jawnie od niej zale|ne przestan si uruchamia.”

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\pblpp\Parameters]

“ServiceDll”=str(2):“C:\WINDOWS\system32\vmybdujl.dll”

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg]

“s1”=dword:2df9c43f

“s2”=dword:110480d0

“h0”=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC]

“p0”=“C:\Program Files\DAEMON Tools Lite”

“h0”=dword:00000000

“hdf12”=hex:4b,a3,87,33,6b,c1,46,7f,e2,f8,c1,01,d2,98,bd,6e,d0,ae,ca,50,dd,…

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001]

“a0”=hex:20,01,00,00,43,a7,9b,de,4e,04,e9,36,f7,ca,d3,7e,35,fa,a8,f2,e5,…

“hdf12”=hex:52,b3,0f,20,a4,96,35,1b,45,65,2c,fd,e1,c3,59,1b,3e,20,08,41,cc,…

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0]

“hdf12”=hex:25,8c,d2,b4,6a,13,d3,ff,cf,12,2b,a3,e9,e3,ae,31,a1,d3,31,69,51,…

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\pblpp]

“DisplayName”=“iotbu”

“Type”=dword:00000020

“Start”=dword:00000002

“ErrorControl”=dword:00000000

“ImagePath”=str(2):"%SystemRoot%\system32\svchost.exe -k netsvcs"

“ObjectName”=“LocalSystem”

“Description”=“Umo|liwia uruchamianie procesów z u|yciem alternatywnych po[wiadczeD. Je[li ta usBuga zostanie zatrzymana, ten typ dostpu poprzez logowanie stanie si niedostpny. Je[li ta usBuga zostanie wyBczona, wszelkie usBugi jawnie od niej zale|ne przestan si uruchamia.”

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\pblpp\Parameters]

“ServiceDll”=str(2):“C:\WINDOWS\system32\vmybdujl.dll”

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC]

“p0”=“C:\Program Files\DAEMON Tools Lite”

“h0”=dword:00000000

“hdf12”=hex:4b,a3,87,33,6b,c1,46,7f,e2,f8,c1,01,d2,98,bd,6e,d0,ae,ca,50,dd,…

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001]

“a0”=hex:20,01,00,00,43,a7,9b,de,4e,04,e9,36,f7,ca,d3,7e,35,fa,a8,f2,e5,…

“hdf12”=hex:52,b3,0f,20,a4,96,35,1b,45,65,2c,fd,e1,c3,59,1b,3e,20,08,41,cc,…

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0]

“hdf12”=hex:25,8c,d2,b4,6a,13,d3,ff,cf,12,2b,a3,e9,e3,ae,31,a1,d3,31,69,51,…

scanning hidden registry entries …

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher]

“TracesProcessed”=dword:000000ea

scanning hidden files …

scan completed successfully

hidden processes: 0

hidden services: 0

hidden files: 0

STPD sypie się przez DaemonTools

#4

Tutaj jest Kido. Koniecznie zrób nowy log z ComboFix i go wklej.

Wklejasz na www.wklej.org a tutaj dajesz link do wklejki.

#5

http://wklej.org/id/116927/

dopiero teraz zauważyłem; GDIPFONTCACHEV1. Jakieś sugestie? Zaraz wyłączę Klient DNS i wygoogluje jakąś szczepionkę - robak blokuje również strony z w/w nazwą.

#6

Nic nie ruszaj na razie.

To akurat nic groźnego.

Te pliki do sprawdzenia na http://www.virustotal.com/pl/ , pokaż raport

Wklej do notatnika

Zapisz jako CFScript.txt. Przeciągasz ten plik na ikonę ComboFix’a. Rozpocznie się usuwanie, wklej log z usuwania.

#7

http://wklej.org/id/116989/

virus total też miałem zablokowany. Po odblokowaniu user32.dll - http://www.virustotal.com/pl/analisis/3 … 1241613561

Explorer.exe nie chce przejść - spróbuję później.

#8

Od razu powiem, że dobrze nie jest. Coś musisz robić źle, że to wraca, nie podpinasz czasem zainfekowanego pendrive’a? Możliwe, że to roznosi się przez sieć przecież żadnego firewalla nie masz. Na początek pobierz na innym kompie jakiś antywirus i firewall - najlepiej nagraj na płytkę instalki, koniecznie.

Jeszcze ich nie instaluj, wklej do notatnika

Robisz to samo co poprzednio. Tyle, że na czas operacji kabel sieciowy ma być wyjęty, po usuwaniu instalujesz antywirusa i zaporę. Włączasz je, dopiero wtedy łączysz się z siecią. Wklejasz powstały log.

#9

Dorzucę kilka szczegółów:

Pc stacjonarny z sieciówką wifi, pendrive’a nie podpinam. Firewall jest uruchomiony na routerze, otwarty port dla utorrent. Zaraz zastosuję twoją metodą. Zobaczymy co będzie.

– Dodane 09.07.2009 (Cz) 11:26 –

Witam ponownie.

Infekcja okazała się grubsza niż myślałem. Odnalazłem kilka virusów w tym Sality, z którym obecnie walczę. Solow.B który łatwo usunąć oraz wspomniany przez Ciebie (@ciemnowidz) Kido. Kido usunąłem z laptopa nażędziem kk.exe od kasperskiego. Na pozostałych dwóch wciąż walczę. Sality jeszcze podskakuje ale przynajmniej się nie rozprzestrzenia. Thx za pomoc