Вирус Win32/Sirefef - Форум технической поддержки ESET NOD32

Сообщений: 21

Баллов: 10

Регистрация: 13.05.2014

Размещено 13.05.2014 01:50:47

Доброго времени суток!
появился вирус в оперативной памяти - Sirefef (без букв), удалить не получается
ESETSirefefCleaner.exe его не видит
образ автозапуск сделал

Прикрепленные файлы

F44FFFF416BF475_2014-05-13_01-27-45.7z (459.07 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.05.2014 02:21:25

1. добавьте лог обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

2. добавьте образ автозапуска из безопасного режима системы

3. сделайте проверку в tdsskiller
http://support.kaspersky.ru/viruses/utility#tdsskiller
(пока ничего не удаляйте при обнаружении вредоносных объектов)

[ Как создать образ автозапуска? ]

Сообщений: 21

Баллов: 10

Регистрация: 13.05.2014

Размещено 13.05.2014 03:03:46

1. прикрепляю лог угроз
2. добавляю образ из безопасного режима
3. сделал проверку в Killer - обнаружена одна угроза (подменная программа), ничего не удалял

Прикрепленные файлы

журнал_угроз.txt (5.26 КБ)
safe_mode.7z (453.82 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.05.2014 04:14:59

Цитата
13.05.2014 2:27:32 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа 13.05.2014 1:23:12 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа 13.05.2014 1:22:08 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа F44FFFF416BF475\Юрий

Цитата

13.05.2014 2:27:32 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа
13.05.2014 1:23:12 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа
13.05.2014 1:22:08 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа F44FFFF416BF475\Юрий

по образу:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.82.5 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 OFFSGNSAVE hide %SystemDrive%\PROGRAM FILES\WEBMONEY\WEBMONEY.EXE ;------------------------autoscript--------------------------- chklst delvir delref HTTP://WWW.APEHA.RU delref HTTP://SEARCH.QIP.RU ; Delta Chrome Toolbar exec C:\Documents and Settings\Юрий\Application Data\BabSolution\Shared\GUninstaller.exe" -key "Delta Chrome Toolbar" -rmkey -ask ; Java(TM) 6 Update 39 exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216037FF} /quiet deltmp delnfr ;------------------------------------------------------------- regt 12 restart

Код

;uVS v3.82.5 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

OFFSGNSAVE
hide %SystemDrive%\PROGRAM FILES\WEBMONEY\WEBMONEY.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://WWW.APEHA.RU

delref HTTP://SEARCH.QIP.RU

; Delta Chrome Toolbar
exec C:\Documents and Settings\Юрий\Application Data\BabSolution\Shared\GUninstaller.exe" -key "Delta Chrome Toolbar" -rmkey -ask

; Java(TM) 6 Update 39
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216037FF} /quiet

deltmp
delnfr
;-------------------------------------------------------------

regt 12
restart

перезагрузка, пишем о старых и новых проблемах.

добавьте лог tdsskiller

Цитата
Файл C:\TDSSKiller.*_log.txt приложите в теме. (где * - версия программы, дата и время запуска.

Изменено: santy - 13.05.2014 04:22:29

[ Как создать образ автозапуска? ]

Сообщений: 21

Баллов: 10

Регистрация: 13.05.2014

Размещено 13.05.2014 08:42:38

скопировал, выполнил скрипт, деинсталяции программ не было, автоматом по окончании была перезагрузка системы
проблемы старые - вирус на месте
добавляю лог tdsskiller

Прикрепленные файлы

TDSSKiller.3.0.0.34_13.05.2014_08.33.54_log.txt (152.9 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.05.2014 09:21:53

похоже, tdsskiller тоже не видит Zaccess/Sirefef

1. деинсталлируйте эту программу

Цитата
AVG SafeGuard toolbar

возможно файлик, который детектирует tdsskiller от AVG
http://www.file.net/process/avgtpx86.sys.html

2. после деинсталляции добавьте новый лог проверки в tdsskiller

3. пробуем найти скрытый объект с помощью загрузочного Winpe&uVS по методу сверки
http://chklst.ru/forum/discussion/12/metod-poiska-rutkitov-v-sisteme-po-faylu-sverki-v-uvs#Item_1

[ Как создать образ автозапуска? ]

Сообщений: 21

Баллов: 10

Регистрация: 13.05.2014

Размещено 13.05.2014 13:00:54

1. удалил программу AVG
2. добавляю новый лог tdsskiller
3. проделал процедуру запуска с загрузочного диска по пунктам в ссылках, прикрепляю новый образ
P.S. может проще уже убить killer'ом ? (он же видит "хвост" от AVG)

Прикрепленные файлы

TDSSKiller.3.0.0.34_13.05.2014_09.43.47_log.txt (152.9 КБ)
образ_загрузкаCD.7z (173.01 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.05.2014 13:56:17

угу, драйвер остался в системе

Цитата
09:44:50.0093 0x0a6c avgtp ( ForgedFile.Multi.Generic ) - skipped by user 09:44:50.0093 0x0a6c avgtp ( ForgedFile.Multi.Generic ) - User select action: Skip

образ сейчас гляну, отпишусь, что дальше делаем

выполняем скрипт в uVS (в нормальном режиме):
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.82.5 [http://dsrt.dyndns.org] ;Target OS: NTv6.2 OFFSGNSAVE sreg delref %Sys32%\DRIVERS\AVGTPX86.SYS ZOO %Sys32%\DRIVERS\AVGTPX86.SYS deltmp delnfr CZOO areg

перезагрузка, пишем о старых и новых проблемах.
(сохранился детект sirefef или нет)

архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected]
------------
далее,

добавьте новый лог проверки в tdsskiller
если этот детект сохранится,

Цитата
avgtp ( ForgedFile.Multi.Generic )

прибейте его в tdsskiller

+
добавьте новый лог журнала обнаружения угроз.

Изменено: santy - 13.05.2014 14:05:59

[ Как создать образ автозапуска? ]

Сообщений: 21

Баллов: 10

Регистрация: 13.05.2014

Размещено 13.05.2014 14:35:14

выполнил код скрипта из буфера - вирус на месте остался
насчет архива из каталога uVS - не понял что нужно сделать, или как это сделать
запустил tdsskiller - угроз не обнаружено, лог прикрепляю

Прикрепленные файлы

TDSSKiller.3.0.0.34_13.05.2014_14.21.49_log.txt (151.44 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.05.2014 14:40:00

ок, значит не в этом драйвере дело. значит не нужен архив. добавьте новый лог журнала обнаружения угроз.

+
выполните в ESET NOD32 сканирование только оперативной памяти, и добавьте лог сканирования
---------
будем думать дальше. что делать.

+
добавьте лог gmer
http://forum.esetnod32.ru/forum9/topic733/

Изменено: santy - 13.05.2014 14:51:31

[ Как создать образ автозапуска? ]

[ Закрыто ] Вирус Win32/Sirefef , вирус в памяти