sysNT.exe Win32/TrojanDropper.Agent.IISTPVU , Подмена файлов MS Word исполняемым файлом с распаковкой документа и тела вируса

RSS
Доброго времени суток!

Проблема проявилась, когда у одного из пользователей сетевого обменника перестали открываться документы из его сетевой папки.
"Приложение sysNT.exe выполнило... и будет закрыто". Документы оказались исполняемыми файлами с иконкой Word'а, скрытых файлов в папке не обнаружено. Пользователь говорит, что незадолго до этого ESET Endpoint Antivirus выругался на что-то, но вспомнить больше не смог.

Взял проверить папку к себе на компьютер. Что удалось выяснить.
Сканирование ESET EA 5.0.2122.10 инфицированных файлов заразы не обнаружило.
Сканирование утилитами DrWeb CureIT и Kaspersky Virus Removal Tool обнаружило трояны, но лечить отказалось.

Далее... При запуске инфицированного файла ESET EA обнаруживает запущенный процесс sysNT.exe и благополучно убивает его с сообщением:
Цитата
вероятно модифицированный Win32/TrojanDropper.Agent.IISTPVU троянская программа очищен удалением - изолирован
Но не слишком быстро, поэтому в системе становится на несколько инфицированных документов (doc, docx) больше. Тем не менее в некоторых случаях документ открывается в ассоциированной программе. Позже распакованные документы удавалось обнаружить в папке C:\temp32 в нумерованных подкаталогах (если до них не успевал добираться вирус и инфицировать снова :)
В автозагрузке появился файл stsNT.exe, но ESET EA на него не среагировал. Файл был удален мной из автозагрузки и после перезагрузки снова туда не прописался.

Краткое резюме (как я себе это вижу): приложение sysNT.exe при запуске прописывает stsNT.exe в автозагрузку пакует документы, до которых успевает добраться и себя в исполняемый файл. При запуске распаковывает документ в папку C:\temp32, открывает его вордом, распаковывает и запускает sysNT.exe

Необходимо решение по автоматическому лечению и восстановлению инфицированных документов.
Очень надеюсь на вашу помощь.
Лог UVS во вложении.
Изменено: nadworny_av - 27.12.2012 14:35:04

Ответы

продублируете тогда на support@esetnod32.ru.

Цитата
\Рабочий стол\Служебка на вывоз Cisco 2801.exe.
а сам док сохраняется при этом после распаковки? документ чистый после удаления тела вируса?
Цитата
santy пишет:
продублируете тогда на support@esetnod32.ru.
Цитата
\Рабочий стол\Служебка на вывоз Cisco 2801.exe.
а сам док сохраняется при этом после распаковки? документ чистый после удаления тела вируса?
продублировал
сам док, как написано в первом посте, вирус сохраняет в C:\temp32 в нумерованной подпапке. И если при очередном запуске вируса он не успевает инфицировать док повторно, то документом вполне можно пользоваться. Видимых повреждений структуры и содержимого документа нет.
С Наступившим вас! :)
Слышно что-нибудь по данной проблеме?
Цитата
nadworny_av пишет:
С Наступившим вас! :)
Слышно что-нибудь по данной проблеме?
ну, в первую очередь от вас должны быть новости. помогают ли обновленные базы в излечении зараженных файлов или нет.
Цитата
santy пишет:
Цитата
nadworny_av пишет:
С Наступившим вас! :)
Слышно что-нибудь по данной проблеме?
ну, в первую очередь от вас должны быть новости. помогают ли обновленные базы в излечении зараженных файлов или нет.
инфицированные файлы с sysnt.exe теперь обнаруживаются и пихаются в карантин. про лечение ничего не слышно (
доброго времени суток!
вышла лечилка Codplat.AA Cleaner
http://www.eset.com/download/utilities/detail/family/204/
с одним НО - не понимает русский язык в именах расшифрованных файлов
обещали передать в лабораторию
Читают тему (гостей: 2)