Обнаружена уязвимость скрытого канала ICMP - Форум технической поддержки ESET NOD32

Сообщений: 6

Баллов: 3

Регистрация: 26.02.2013

Размещено 27.02.2013 11:55:42

Обнаружена уязвимость скрытого канала в ICMP пакете
удаленный IP- адрес 194.95.249.23
файл снимка лежит на zalil.ru 34296123
помогите

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 27.02.2013 12:03:10

Нашел все-таки кто у вас виноват.

Выполните следующий скрипт в uVS:
- запускаете программу еще раз, ожидаете пока закончится построения списка (убедитесь что программа извлечена из архива в отдельную папку. не нужно запускать ее из самого архива);
- копируете следующий текст из поля "Код" в буфер обмена (выделяете текст мышкой, затем щелкаете правой кнопкой и выбираете Копировать текст);

Код
;;uVS v3.77.7 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 bl F082C76CF8A1C41DB23EC397B4B5B03B 1618304 addsgn 1AF67A9B5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 8 Praetor bl 7FB282509685C53EDF1BE190353913FB 507776 addsgn 1A8FD09A5583358CF42B254E3143FE865886FC8282903222E34AD43F91D48694759C3264ECA2E841A87A8DE943958BAD96DC6BB065BC393D6C3621EFB0E311B3 8 YandexUPD delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\AI SUITE II\AI SUITE II.EXE chklst delvir deltmp delnfr restart

Код

;;uVS v3.77.7 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

bl F082C76CF8A1C41DB23EC397B4B5B03B 1618304
addsgn 1AF67A9B5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F9F5FA577 8 Praetor
bl 7FB282509685C53EDF1BE190353913FB 507776
addsgn 1A8FD09A5583358CF42B254E3143FE865886FC8282903222E34AD43F91D48694759C3264ECA2E841A87A8DE943958BAD96DC6BB065BC393D6C3621EFB0E311B3 8 YandexUPD
delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\AI SUITE II\AI SUITE II.EXE
chklst
delvir
deltmp
delnfr
restart

- затем слева наверху выбираете пункт Скрипт - Выполнить скрипт находящийся в буфере обмена;
- скрипт должен автоматически появиться в этом окне. если он не появился или там находится не то что вы скопировали, то удаляете содержимое и вставляете текст скрипта правой кнопкой мыши;
- обязательно закрываете все открытые браузеры (Opera, Mozilla, IE), отключаете в антивирусе защиту (обычно правой кнопкой мыши по иконке в трее - Временно отключить защиту или т.п.) и жмете в uVS кнопку Выполнить;
- ждете окончания выполнения скрипта в программе. если будут появляться различные запросы на удаление программ, то везде нажимаем кнопки Да или Далее;
- по окончанию выполнения скрипта компьютер перезагрузится.
- после перезагрузки делаем лог Mbam как написано здесь (можно выполнить быструю проверку, а не полную). программу можно скачать отсюда. ссылку на лог выложить сюда.

Правильно заданный вопрос - это уже половина ответа

Сообщений: 6

Баллов: 3

Регистрация: 26.02.2013

Размещено 27.02.2013 19:41:07

после сканирования

mbam-log-2013-02-27 (19-07-43).txt (4.12 КБ)Malwarebytes Anti-Malware (Пробная версия) 1.70.0.1100

www.malwarebytes.org

Версия базы данных: v2013.02.27.08

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
ADMIN :: GALINA [администратор]

Защитный модуль : Включен

27.02.2013 19:07:43
mbam-log-2013-02-27 (19-07-43).txt

Тип сканирования: Быстрое сканирование
Опции сканирования включены: Память | Запуск | Реестр | Файловая система | Эвристика/Дополнительно | Эвристика/Шурикен | PUP | PUM
Опции сканирования отключены: P2P
Просканированные объекты: 217270
Времени прошло: 1 минут , 39 секунд

Обнаруженные процессы в памяти: 0
(Вредоносных программ не обнаружено)

Обнаруженные модули в памяти: 0
(Вредоносных программ не обнаружено)

Обнаруженные ключи в реестре: 7
HKCR\CLSID\{5ACE96C0-C70A-4A4D-AF14-2E7B869345E1} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\TypeLib\{830B56CB-FD22-44AA-9887-7898F4F4158D} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\tdataprotocol.CTData.1 (PUP.Blabbers) -> Действие не было предпринято.
HKCR\tdataprotocol.CTData (PUP.Blabbers) -> Действие не было предпринято.
HKCR\PROTOCOLS\HANDLER\BASE64 (PUP.Blabbers) -> Действие не было предпринято.
HKCR\PROTOCOLS\HANDLER\CHROME (PUP.Blabbers) -> Действие не было предпринято.
HKCR\PROTOCOLS\HANDLER\PROX (PUP.Blabbers) -> Действие не было предпринято.

Обнаруженные параметры в реестре: 3
HKCR\protocols\Handler\base64|CLSID (PUP.Blabbers) -> Параметры: {5ACE96C0-C70A-4A4D-AF14-2E7B869345E1} -> Действие не было предпринято.
HKCR\protocols\Handler\chrome|CLSID (PUP.Blabbers) -> Параметры: {5ACE96C0-C70A-4A4D-AF14-2E7B869345E1} -> Действие не было предпринято.
HKCR\protocols\Handler\prox|CLSID (PUP.Blabbers) -> Параметры: {5ACE96C0-C70A-4A4D-AF14-2E7B869345E1} -> Действие не было предпринято.

Объекты реестра обнаружены: 0
(Вредоносных программ не обнаружено)

Обнаруженные папки: 0
(Вредоносных программ не обнаружено)

Обнаруженные файлы: 1
C:\Program Files (x86)\Common Files\Metabar\tdataprotocol.dll (PUP.Blabbers) -> Действие не было предпринято.

(конец)

Сообщений: 6

Баллов: 3

Регистрация: 26.02.2013

Размещено 27.02.2013 19:44:06

новый снимок загрузки
проблема существует
ОБНАРУЖЕНА УЯЗВИМОСТЬ СКРЫТОГО КАНАЛА В ICMP -пакете
удаленный IP адрес 194.95.249.23
GALINA_2013-02-27_19-24-05.7z (526.87 КБ)

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 27.02.2013 19:44:20

удаляем найденное, перезагружаемся, проверяем ругается ли еще антивирус

Правильно заданный вопрос - это уже половина ответа

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 27.02.2013 19:48:03

выполняем скрипт:

Код
;uVS v3.77.7 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\AI SUITE II\AI SUITE II.EXE restart

Правильно заданный вопрос - это уже половина ответа

Сообщений: 6

Баллов: 3

Регистрация: 26.02.2013

Размещено 27.02.2013 20:22:34

mbam-log-2013-02-27 (20-04-59).txt (4.31 КБ)mbam-log-2013-02-27 (20-14-15).txt (2.18 КБ)
проблемма осталась

Сообщений: 6770

Баллов: 5416

Регистрация: 12.09.2011

Размещено 27.02.2013 20:24:33

лог выполнения скрипта выложите
он в папке с uVS будет. в формате txt - дата\время\имя ПК.txt

Правильно заданный вопрос - это уже половина ответа

Сообщений: 6

Баллов: 3

Регистрация: 26.02.2013

Размещено 27.02.2013 20:31:23

2013-02-27_20-02-46_log.txt (5.7 КБ)GALINA_2013-02-27_20-23-50.7z (526.49 КБ)

новый снимок загрузки

Сообщений: 6

Баллов: 3

Регистрация: 26.02.2013

Размещено 27.02.2013 20:36:37

вроде проблема устранена

огромное ВАМ СПАСИБО
за оказанную помощь
будем работать спокойно

[ Закрыто ] Обнаружена уязвимость скрытого канала ICMP