sysNT.exe Win32/TrojanDropper.Agent.IISTPVU , Подмена файлов MS Word исполняемым файлом с распаковкой документа и тела вируса

Доброго времени суток!

Проблема проявилась, когда у одного из пользователей сетевого обменника перестали открываться документы из его сетевой папки.
"Приложение sysNT.exe выполнило... и будет закрыто". Документы оказались исполняемыми файлами с иконкой Word'а, скрытых файлов в папке не обнаружено. Пользователь говорит, что незадолго до этого ESET Endpoint Antivirus выругался на что-то, но вспомнить больше не смог.

Взял проверить папку к себе на компьютер. Что удалось выяснить.
Сканирование ESET EA 5.0.2122.10 инфицированных файлов заразы не обнаружило.
Сканирование утилитами DrWeb CureIT и Kaspersky Virus Removal Tool обнаружило трояны, но лечить отказалось.

Далее... При запуске инфицированного файла ESET EA обнаруживает запущенный процесс sysNT.exe и благополучно убивает его с сообщением:
Цитата
вероятно модифицированный Win32/TrojanDropper.Agent.IISTPVU троянская программа очищен удалением - изолирован
Но не слишком быстро, поэтому в системе становится на несколько инфицированных документов (doc, docx) больше. Тем не менее в некоторых случаях документ открывается в ассоциированной программе. Позже распакованные документы удавалось обнаружить в папке C:\temp32 в нумерованных подкаталогах (если до них не успевал добираться вирус и инфицировать снова :)
В автозагрузке появился файл stsNT.exe, но ESET EA на него не среагировал. Файл был удален мной из автозагрузки и после перезагрузки снова туда не прописался.

Краткое резюме (как я себе это вижу): приложение sysNT.exe при запуске прописывает stsNT.exe в автозагрузку пакует документы, до которых успевает добраться и себя в исполняемый файл. При запуске распаковывает документ в папку C:\temp32, открывает его вордом, распаковывает и запускает sysNT.exe

Необходимо решение по автоматическому лечению и восстановлению инфицированных документов.
Очень надеюсь на вашу помощь.
Лог UVS во вложении.
Изменено: nadworny_av - 27.12.2012 14:35:04
Здравствуйте!

Выполните следующий скрипт в uVS:
- запускаете программу еще раз, ожидаете пока закончится построения списка (убедитесь что программа извлечена из архива в отдельную папку. не нужно запускать ее из самого архива);
- копируете следующий текст из поля "Код" в буфер обмена (выделяете текст мышкой, затем щелкаете правой кнопкой и выбираете Копировать текст);
Код
;;uVS v3.76.2 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

addsgn A7679B19919A1F245C6C623624C8FA6CE47503C549AF77F70D83C5D8AFE615C503AF6FDF7E557504FB7F7B1B86626B12FD21178DD11AC535477ECC934F462219 8 Virus89
zoo %Sys32%\CONFIG\SYSTEMPROFILE\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\STSNT.EXE
bl C36213ADDCFD3026C6982DC79D9C8759 42496
; C:\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\STSNT.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\STSNT.EXE
; C:\DOCUMENTS AND SETTINGS\DEFAULT USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\STSNT.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\DEFAULT USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\STSNT.EXE
chklst
delvir
deltmp
delnfr
czoo
restart

- затем слева наверху выбираете пункт Скрипт - Выполнить скрипт находящийся в буфере обмена;
- скрипт должен автоматически появиться в этом окне. если он не появился или там находится не то что вы скопировали, то удаляете содержимое и вставляете текст скрипта правой кнопкой мыши;
- обязательно закрываете все открытые браузеры (Opera, Mozilla, IE), отключаете в антивирусе защиту (обычно правой кнопкой мыши по иконке в трее - Временно отключить защиту или т.п.) и жмете в uVS кнопку Выполнить;
- ждете окончания выполнения скрипта в программе. если будут появляться различные запросы на удаление программ, то везде нажимаем кнопки Да или Далее;
- по окончанию выполнения скрипта компьютер перезагрузится.
- в папке, откуда запускали программу (uVS), появится новый архив с сегодняшней датой и временем - например 2012-03-09_09-29-00.7z - это архив с вирусами, егнужно прислать на электронный адрес sendvirus2011@gmail.com.
- после перезагрузки делаем лог Mbam как написано здесь (можно выполнить быструю проверку, а не полную). программу можно скачать отсюда. ссылку на лог выложить сюда.
Правильно заданный вопрос - это уже половина ответа
+
если сохранилась копия файла STSNT.EXE, сделайте его проверку на http://virustotal.com
и добавьте в сообщение ссылку на линк проверки.
+
вышлите копию данного файла в архиве с паролем infected в почту safety@chklst.ru
zoo отослал на почту
Mbam автоматически лог не вывел. сделал "показать результаты - сохранить отчет".
кгм... в логе далеко не все инфицированные объекты
ссылка на virustotal
stsNT.exe отправил
Цитата
nadworny_av пишет:
zoo отослал на почту
Mbam автоматически лог не вывел. сделал "показать результаты - сохранить отчет".
кгм... в логе далеко не все инфицированные объекты
да, mbam здесь показывает все зараженные файлы. здесь имеет смысл выслать в вирлабы не только сам файл, но и зараженные доки, чтобы была выполнена процедура лечения.

либо здесь другой вариант. доки скрываются, а вместо них добавляется вирусное тело.
---------------
на виртуалке не запускается, возможно есть защита от запуска на VM.
Изменено: santy - 27.12.2012 21:09:03
Цитата
santy пишет:
здесь имеет смысл выслать в вирлабы не только сам файл, но и зараженные доки, чтобы была выполнена процедура лечения.
надеюсь, не ВСЕ зараженные файлы? %) только для примера? на какой адрес?
Цитата
santy пишет:
либо здесь другой вариант. доки скрываются, а вместо них добавляется вирусное тело.
если бы доки скрывались - это было бы вообще сказочно ) но, к сожалению, нет (
добавьте в архив само тело вируса, и несколько зараженных файлов.

посмотрите - здесь есть форма отправки
http://www.esetnod32.ru/support/knowledge_base/new_virus/
судя по VT ESET NOD32 теперь детектирует данный файл
Цитата
ESET-NOD32 Win32/Delf.RBB 20121227
обновите базы и проверьте, будет ли он лечить зараженные файлы
Изменено: santy - 28.12.2012 08:59:27
отправил примеры зараженных доков и файл sysNT.exe через форму
Цитата
Invalid address:
Спасибо, Ваше сообщение успешно отправлено.
"Invalid address" - это нормально?
Цитата
santy пишет:
судя по VT ESET NOD32 теперь детектирует данный файл
Цитата
ESET-NOD32 Win32/Delf.RBB 20121227
обновите базы и проверьте, будет ли он лечить зараженные файлы
базы обновились, файл stsNT.exe ESET EA нашел и поместил в карантин. Инфицированные документы сканированием не детектирует. Только при запуске обнаруживает и кидает в карантин sysNT.exe:
Цитата
28.12.2012 8:58:00 Защита в режиме реального времени файл C:\sysNT.exe вероятно модифицированный Win32/TrojanDropper.Agent.IISTPVU троянская программа очищен удалением - изолирован Событие произошло в новом файле, созданном следующим приложением: C:\Documents and Settings\nadworny\Рабочий стол\Служебка на вывоз Cisco 2801.exe.
Читают тему (гостей: 2)