Win32/MBRlock.C троянская программа

1.Сохранение MBR
Для отправки например на VirusTotal - для проверки файла.
http://www.virustotal.com/index.html

2.Сверка: Создать файл сверки - загрузиться с любого - Windows Live CD + uVS
Выбрать свою систему "Указать каталог Windows"
После чего в меню Руткиты: "Поиск скрытых и изменённых объектов по файлу сверки - "Укажите путь до файла Сверки"
=  Результат ( будут выявлены и показаны изменённые/скрытые объекты ).
111.jpg (169.18 КБ)
222.jpg (106.69 КБ)
Изменено: RP55 RP55 - 04.09.2011 22:58:02
Цитата
Serho777 пишет:
Цитата
если необходимо, можно подробнее расписать каждый из методов.
если можно пожалуйста рапишите...

есть некоторые изменения в методах лечения.

в текущей версии uVS есть функционал, который позволяет манипулировать объектами MBR.
- проверить хэш MBR по списку безопасных,
- выполнить поиск по хэшу во внешней базе ВирусТотал,
- сделать дамп MBR (сохранить как файл) и проверить данный файл на ВирусТотал
(некоторые антивирусы умеют проверить дамп файла на наличие MBRlock)
- заменить загрузчик MBR на зараженном компьютере на стандартный загрузчик.

замену загрузчика удобнее выполнить из под Live.CD, например, WINPE&uVS
http://dl.dropbox.com/u/23461204/winpe_x86%26uvs.iso
Изменено: santy - 05.09.2011 08:41:55
Проще загрузится с загрузочного диска WINDOWS. Войти в консоль восстановления и выполнить команду fixmbr.
Цитата
sanbolt пишет:
Войти в консоль восстановления и выполнить команду fixmbr.
нам как раз, проще чтобы пользователи использовали winpe&uVS по разным причинам:

1. может быть отсуствие загрузочного диска win
2. может быть проблема в входа в режим админа (пароли)
3. может быть дополнительное заражение системы, кроме MBRLock
----
и главное преимущество - это лучше один раз увидеть своими глазами образ зараженной системы, чтобы принять решение, чем принимать что-то со слов юзера, который не всегда адекватно может описать симптомы заражения системы.
Изменено: santy - 05.09.2011 10:02:17
Читают тему (гостей: 1)