santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Обнаружен эксплойт скрытого канала в ICMP-пакете

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.10.2012 22:04:01

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.76 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE delall J:\AUTORUN.INF delref HTTP://TOP-PAGE.RU/5 exec C:\PROGRAM FILES\ASKTOOLBAR4\UNINSTALL.EXE exec "C:\PROGRAM FILES\MAIL.RU\GUARD\GUARDMAILRU.EXE" /UNINSTALL exec "C:\PROGRAM FILES\PANDORA.TV\PANSERVICE\UNINS000.EXE" exec C:\PROGRAM FILES\TICNO\TABS\UNINSTALL.EXE deltmp delnfr restart

Код

;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
delall J:\AUTORUN.INF
delref HTTP://TOP-PAGE.RU/5
exec C:\PROGRAM FILES\ASKTOOLBAR4\UNINSTALL.EXE
exec "C:\PROGRAM FILES\MAIL.RU\GUARD\GUARDMAILRU.EXE" /UNINSTALL
exec "C:\PROGRAM FILES\PANDORA.TV\PANSERVICE\UNINS000.EXE"
exec C:\PROGRAM FILES\TICNO\TABS\UNINSTALL.EXE
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Помогите плиз., чото савсем страшно

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.10.2012 20:39:34

это удалите в мбам

Цитата
Обнаруженные файлы: 1 C:\Documents and Settings\Admin\Application Data\Microsoft\198.exe (Trojan.Agent) -> Действие не было предпринято.

далее,
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

Перейти

Firewall блокирует подключение ActiveDirectory к контроллеру домена., Firewall блокирует подключение ActiveDirectory к контроллеру домена.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.10.2012 19:05:10

Цитата
metaflux пишет: Firewall блокирует подключение ActiveDirectory к контроллеру домена. Открыты порты по рекомендации от Microsoft . Не помогло. существует ли решение? Стоит ли вообще использовать Firewall при доменной сети, в которую некоторые клиенты входят через RDP из интернет.

Цитата

metaflux пишет:
Firewall блокирует подключение ActiveDirectory к контроллеру домена. Открыты порты по рекомендации от Microsoft . Не помогло. существует ли решение? Стоит ли вообще использовать Firewall при доменной сети, в которую некоторые клиенты входят через RDP из интернет.

есть такое. Если вам необходимо добавить комп в домен, то сделайте это до установки EES в систему.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Обнаружен эксплойт скрытого канала в ICMP-пакете, нужна помощь

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.10.2012 18:09:13

пробуйте в Combofix очистить систему
http://forum.esetnod32.ru/forum9/topic735/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Ошибка при загрузке файлов обновлений, Ошибка при загрузке файлов обновлений

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.10.2012 13:53:01

откуда базы обновляете? сколько машин? какие версии установлены?

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Обнаружен эксплойт скрытого канала в ICMP-пакете, нужна помощь

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.10.2012 13:49:44

насколько я понял, эти окна у вас стали всплывать после установки антивируса.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Ошибка при загрузке файлов обновлений, Ошибка при загрузке файлов обновлений

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.10.2012 13:29:19

сделайте очистку кэша в настройках обновлений и повторите обновить базы.
-------
в мбам все найденное удалите.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Обнаружен эксплойт скрытого канала в ICMP-пакете, нужна помощь

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.10.2012 13:26:14

возможно какие то программы генерят эти пакеты, не очевидно что. Такое бывает, если Pandora.TV установлен. Но у вас его нет.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] svchost.exe - модифицированный Win32/Wigon-очистка невозможна, Помогите справиться с проблемой

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.10.2012 12:20:18

Цитата

krabaat пишет:

Цитата
RP55 RP55 пишет: C:\WINDOWS\SYSTEM32\DRIVERS\OFQ14.SYS

Скажите пожалуйста, что это (извиняюсь по неосведомленности)

это основное тело Wigon (точнее не основное, а его ангел-хранитель...) + возможно еще и dll есть в системе (возможно будет видна после удаления драйвера)
-----------

Цитата
Полное имя C:\WINDOWS\SYSTEM32\DRIVERS\OFQ14.SYS Имя файла OFQ14.SYS Тек. статус АКТИВНЫЙ ?ВИРУС? ВИРУС ПОДОЗРИТЕЛЬНЫЙ драйвер в автозапуске [SAFE_MODE] www.virustotal.com 2012-09-02 [2011-12-02 20:00:18 UTC ( 10 months, 3 weeks ago )] Symantec Downloader Avast Win32:QHost-CEK [Rtk] Kaspersky Trojan-Dropper.Win32.Mutant.cp BitDefender Trojan.Generic.KDV.451904 DrWeb Trojan.Hosts.5006 AntiVir TR/Dldr.Cutwail.S.16 Microsoft TrojanDownloader:Win32/Cutwail.S Сохраненная информация на момент создания образа Статус АКТИВНЫЙ ПОДОЗРИТЕЛЬНЫЙ драйвер в автозапуске [SAFE_MODE] Размер 49472 байт Создан 27.04.2012 в 12:37:46 Изменен 22.10.2012 в 23:25:46 Тип файла 32-х битный ИСПОЛНЯЕМЫЙ Цифр. подпись Отсутствует либо ее не удалось проверить Статус ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ Автозапуск Неизвестный файл использует ключ реестра часто используемый вирусами Доп. информация на момент обновления списка SHA1 61EAC5A912D4115B7B0952A9270BDA37F367D7E8 MD5 EEAD00997932B94D6690C76EEFE9369C Ссылки на объект Ссылка HKLM\System\CurrentControlSet\Control\SafeBoot\Minimal\Ofq14.sys\ Ссылка HKLM\System\CurrentControlSet\Control\SafeBoot\Network\Ofq14.sys\ Ссылка HKLM\System\CurrentControlSet\Services\Ofq14\ImagePath ImagePath System32\Drivers\Ofq14.sys Ofq14 тип запуска: На этапе загрузки (0)

Цитата

Полное имя C:\WINDOWS\SYSTEM32\DRIVERS\OFQ14.SYS
Имя файла OFQ14.SYS
Тек. статус АКТИВНЫЙ ?ВИРУС? ВИРУС ПОДОЗРИТЕЛЬНЫЙ драйвер в автозапуске [SAFE_MODE]

www.virustotal.com 2012-09-02 [2011-12-02 20:00:18 UTC ( 10 months, 3 weeks ago )]
Symantec Downloader
Avast Win32:QHost-CEK [Rtk]
Kaspersky Trojan-Dropper.Win32.Mutant.cp
BitDefender Trojan.Generic.KDV.451904
DrWeb Trojan.Hosts.5006
AntiVir TR/Dldr.Cutwail.S.16
Microsoft TrojanDownloader:Win32/Cutwail.S

Сохраненная информация на момент создания образа
Статус АКТИВНЫЙ ПОДОЗРИТЕЛЬНЫЙ драйвер в автозапуске [SAFE_MODE]
Размер 49472 байт
Создан 27.04.2012 в 12:37:46
Изменен 22.10.2012 в 23:25:46
Тип файла 32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись Отсутствует либо ее не удалось проверить

Статус ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Автозапуск Неизвестный файл использует ключ реестра часто используемый вирусами

Доп. информация на момент обновления списка
SHA1 61EAC5A912D4115B7B0952A9270BDA37F367D7E8
MD5 EEAD00997932B94D6690C76EEFE9369C

Ссылки на объект
Ссылка HKLM\System\CurrentControlSet\Control\SafeBoot\Minimal\Ofq14.sys\

Ссылка HKLM\System\CurrentControlSet\Control\SafeBoot\Network\Ofq14.sys\

Ссылка HKLM\System\CurrentControlSet\Services\Ofq14\ImagePath
ImagePath System32\Drivers\Ofq14.sys
Ofq14 тип запуска: На этапе загрузки (0)

Изменено: santy - 23.10.2012 12:41:29

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память - модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.10.2012 11:08:36

сделайте быструю проверку в малваребайт

[ Как создать образ автозапуска? ]

Перейти