Вход
Уважаемые пользователи!

Поставщик ИТ-решений PRO32 сообщает вам, что после 17 лет сотрудничества мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.

Купить и продлить лицензии ESET на нашем сайте больше нельзя.

Предлагаем вам попробовать новый антивирус от компании PRO32.

Продукты PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств на Windows / Android.

Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.

Перейти на PRO32
Поиск  Пользователи  Правила  Войти
Центр вирусных исследований и аналитики Обнаружение вредоносного кода и ложные срабатывания

вероятно неизвестный TSR.BOOT вирус

1 2 След.
RSS
 
rbgora
rbgora
Пользователь
Сообщений: 9
Баллов: 4
Регистрация: 28.02.2012
Размещено 28.02.2012 03:38:59
В компании установлена корпоративная версия NOD 4 (EAV-55126573). Сегодня утром на почту пришло уведомления об угрозе на 5 машинах, находящихся в разных городах.

27.02.2012 21:07:07 - Модуль Модуль сканирования файлов, исполняемых при запуске системы - Предупреждение об угрозе на ******:  Активный загрузочный сектор физического диска 0 заражен вероятно неизвестный TSR.BOOT вирус.

MMDRV.DLL, TIMER.DRV, NTDETECT.COM, NTLDR имеют цифровые подписи. (Действительна, подписано Microsoft Windows Publisher).

https://www.virustotal.com/file/dad1bdd0cef7a17db91fd6f251cd8862eaee2253b501871cebc­7df24a4f92a00/analysis/1330384710/

Удаленно подключился UVSом, сохранил загрузчики в файл. Прикладываю их.

Полный образ не хотелось бы прикладывать из соображений безопасности.

На ipl_NTFS.bin ругаются 3 антивируса с вирустотала.
BitDefender Rootkit.MBR.Mayachok.B 20120228
F-Secure Rootkit.MBR.Mayachok.B 20120227
GData Rootkit.MBR.Mayachok.B 20120227

https://www.virustotal.com/file/42fb6fcc534341fbf7d0a58e5c5dca1d7fac6af31048b0bacf7­a4057c7529c36/analysis/1330385363/
uvs_boot.png (27.53 КБ)
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 28.02.2012 03:43:50
думаю надо бы выложить образ автозапуска с каждой машины
насче TSR.BOOT - сегодня было несколько тем с подобной проблемой, дело было в антивирусной базе 6918
гляньте темы
http://forum.esetnod32.ru/forum6/topic4429/
http://forum.esetnod32.ru/forum6/topic4427/
http://forum.esetnod32.ru/forum6/topic4432/
Правильно заданный вопрос - это уже половина ответа
 
rbgora
rbgora
Пользователь
Сообщений: 9
Баллов: 4
Регистрация: 28.02.2012
Размещено 28.02.2012 03:54:47
Пароль выслал Арвиду личным сообщением.
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 28.02.2012 03:59:15
http://virusscan.jotti.org/en/scanresult/f74709bdae585195f1fe0669a9df80e77e7515cc[/CODE
Да, действительно заражено. Систему эту перезагрузить можно?

Запускаем uVS еще раз, только теперь меню Скрипт - Выполнить скрипт находящийся в буфере обмена
Вставляем текст скрипта:
Перед выполнением скрипта, закрыть браузеры!
Код
;;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

fixvbr C: 5
restart

И жмем Выполнить. После выполнения скрипта - ПК перезагрузится.
После перезагрузки новый образ автозапуска сделать.
Правильно заданный вопрос - это уже половина ответа
 
rbgora
rbgora
Пользователь
Сообщений: 9
Баллов: 4
Регистрация: 28.02.2012
Размещено 28.02.2012 04:01:48
Проблематично. Если выполнить только первую часть скрипта (fixvbr C: 5), а компьютер выключат в конце рабочего дня, это поможет?
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 28.02.2012 04:05:56
но лечение не будет окончено пока компьютер не перезагрузится
+ еще может быть что руткит защищает себя и не даст uVS перезаписать загрузчик. поэтому надо проверить по новому образу. не поможет - другим способом лечиться будем
Правильно заданный вопрос - это уже половина ответа
 
rbgora
rbgora
Пользователь
Сообщений: 9
Баллов: 4
Регистрация: 28.02.2012
Размещено 28.02.2012 04:31:30
Лог и загрузчики с другой машины с другого города. Вирустотал не ругается на загрузчик в данном случае. Пароль от архива высылаю Арвиду личным сообщением.
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 28.02.2012 04:35:50
Чисто
http://virusscan.jotti.org/en/scanresult/50bd85831c6ae2d1f1e046fdac18ea2c81dc4f21/6­acc8de4ae3d315cd370682075736a3359192f06
Если есть подозрение на других ПК, то лучше и там сделать логи.
Кстати, не надо пароли архивы, ничего секретного в логе нет ведь.
Правильно заданный вопрос - это уже половина ответа
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 28.02.2012 04:36:40
Если есть возможность, то лог Mbam не помешал бы для профилактики
http://forum.esetnod32.ru/forum9/topic682/
Правильно заданный вопрос - это уже половина ответа
 
rbgora
rbgora
Пользователь
Сообщений: 9
Баллов: 4
Регистрация: 28.02.2012
Размещено 29.02.2012 03:55:56
На остальных ПК загрузочный сектор тревогу антивируса после обновлени баз не вызывал. В конце рабочего дня запустил скрипт на зараженной машине:
;;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

fixvbr C: 5
restart

После перезагрузки загрузочный сектор чист.

Спасибо.
 
1 2 След.
Читают тему