Info - Вирус - [Архив]

[Firiel]

мешают?)

у каспера новая технология по установке на заражённую машину. если вирус не вырезал инсталятор винды, то он установится. другие нет, каспер устанавливается.


Цитата MadMaks:



Касперский меня не подводил (почти ни когда) в борьбе с активными угрозами.

Info - Вирус - [Архив]

ну дык... и тест сдан на отлично))


Цитата MadMaks:



Если же нет времени и возможности, то я просто беру другой винт, с установленным антивирусником, подключаю его как системный и банально запускаю проверку.

Info - Вирус - [Архив]

тоже вариант и более безопасный, чем safe mode)

[MadMaks]

Я делаю иначе.

Если я уверен в том какой вирус/троян сидит, я его руками вырезаю, выгружаю исполняемые файлы если они мешают установке Касперского, а уж потом ставлю антивирусник. Касперский меня не подводил (почти ни когда) в борьбе с активными угрозами.

Если же нет времени и возможности, то я просто беру другой винт, с установленным антивирусником, подключаю его как системный и банально запускаю проверку.

[GEugene]

GEugene, заголовки письма смотрели? RFC822 headers.

Вирус скорее всего. Информацию взял вероятно из адресной книги.


Цитата GEugene:



3. В логах нету и следа об отправке письма от меня за 06.11.2007 в интервале до 12.00.

Info - Вирус - [Архив]

То, что письмо пришло от вашего имени - не значит, что оно отсылалось с вашей машины.

PS. Вообще как-то не очень понимаю ситуацию. Письмо шло во внутренней сети, сервер есть - почему не посмотреть его логи. Станет понятно - с какой реально машины оно пришло. Ну а дальше - либо виря гонять, либо хозяину морду бить.

PS Вообще-то это задача сисадмина

[Greyman]

Присоединяюсь к SilentSpider по поводу логов сервака и остального.

Ну а так гадать можно долго. Ведь как вариант, вирь может быть и на машине руководителя, к-ый так проявляется...

[Greyman]

Цитата Greyman:



как вариант, вирь может быть и на машине руководителя, к-ый так проявляется

Info - Вирус - [Архив]

Интересное предположение. Меня сразу навело на такую мысль: а от других сотрудников не приходили начальнику подобные письма?

[madmax24]

Цитата:



Включаете вы свой Windows, а там...

если ткнуть кнопку с ключиком жёлтым можно увидеть вот это:





предлагается следующее решение :


Цитата:



— грузимся в безопасном режиме (консоль именно!)

— в консоли набираем (regedit)

— regedit

— по адресу

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

ключ "Shell"="Explorer.exe" < — если не такой а подобие ( …system32\drivers\Vinlogon.exe ) то это вирус, замените на ключ "explorer.exe"

— сканим регистр на наличие "driversVinlogon.exe" и мочим наглухо

— рестарт ( через консоль должно работать C:\WINDOWS\system32\shutdown.exe )

— грузим в нормальном режиме и проходим полный скан антивирем



Доп. сведения:


Цитата:

Оригинал

давно Симантек ловит.

Каспер про него ругнулся, но как-то вяло, надо бы обновить базы... А вот Eset спокойно пропустил



(оригинал информации

здесь

)

[ShaddyR]

Цитата:



Включаете вы свой Windows, а там...

если ткнуть кнопку с ключиком жёлтым можно увидеть вот это:





предлагается следующее решение :


Цитата:



— грузимся в безопасном режиме (консоль именно!)

— в консоли набираем (regedit)

— regedit

— по адресу

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

ключ "Shell"="Explorer.exe" < — если не такой а подобие ( …system32\drivers\Vinlogon.exe ) то это вирус, замените на ключ "explorer.exe"

— сканим регистр на наличие "driversVinlogon.exe" и мочим наглухо

— рестарт ( через консоль должно работать C:\WINDOWS\system32\shutdown.exe )

— грузим в нормальном режиме и проходим полный скан антивирем



Доп. сведения:


Цитата:

Оригинал

давно Симантек ловит.

Каспер про него ругнулся, но как-то вяло, надо бы обновить базы... А вот Eset спокойно пропустил



(оригинал информации

здесь

)

[SimSim]

Цитата ShaddyR:



предлагается следующее решение :

Info - Вирус - [Архив]

Еще лучшее решение использовать вменяемый антивирус + патчить ОС.

[mapcoxog]

Здравствуйте!

У меня возник именно такой вопрос: subj.

После малость неадекватного поведения компа решил провериться на вирусы. Запустил Avast - ничего не нашел (он, в принципе, уже года два как постоянно меня "защищает" и ни гу-гу(!)). Затем решил провериться с помощью AVZ 4.29 и вот, что он красным написал:

1.2 Поиск перехватчиков API, работающих в KernelMode

Ошибка - не найден файл (F:\WINDOWS\system32\ntoskrnl.exe)

>>>> Обнаружена маскировка процесса 1390784 ?

>>>> Обнаружена маскировка процесса 141568 ?

>>>> Обнаружена маскировка процесса 8388608 ?

>>>> Обнаружена маскировка процесса 1179649 ?

>>>> Обнаружена маскировка процесса 862807412 ?

>>>> Обнаружена маскировка процесса 81 ?

>>>> Обнаружена маскировка процесса 40960 ?

>>>> Обнаружена маскировка процесса 1313429340 ?

>>>> Обнаружена маскировка процесса 1145789490 ?

>>>> Обнаружена маскировка процесса 39843750 ?

>>>> Обнаружена маскировка процесса 19975216 ?

>>>> Обнаружена маскировка процесса 28733 ?

>>>> Обнаружена маскировка процесса 156250 ?

>>>> Обнаружена маскировка процесса -426582848 ?

>>>> Обнаружена маскировка процесса 16792048 ?

>>>> Обнаружена маскировка процесса 16 ?

>>>> Обнаружена маскировка процесса 1250 ?

>>>> Обнаружена маскировка процесса 13593750 ?

>>>> Обнаружена маскировка процесса 20 ?

>>>> Обнаружена маскировка процесса 99615 ?

>>>> Обнаружена маскировка процесса 151011328 ?

>>>> Обнаружена маскировка процесса 1398230852 ?

>>>> Обнаружена маскировка процесса 1230394447 ?

>>>> Обнаружена маскировка процесса 13 ?

>>>> Обнаружена маскировка процесса 38 ?

>>>> Обнаружена маскировка процесса 12 ?

>>>> Обнаружена маскировка процесса 15 ?

>>>> Обнаружена маскировка процесса 9456 ?

>>>> Обнаружена маскировка процесса 36402 ?

>>>> Обнаружена маскировка процесса -1394495488 ?

>>>> Обнаружена маскировка процесса 1703959 ?

>>>> Обнаружена маскировка процесса 1112099913 ?

>>>> Обнаружена маскировка процесса 29910512 ?

>>>> Обнаружена маскировка процесса -2048 ?

>>>> Обнаружена маскировка процесса 200704 ?

>>>> Обнаружена маскировка процесса 1917082674 ?

>>>> Обнаружена маскировка процесса 1395545170 ?

>>>> Обнаружена маскировка процесса 17729840 ?

>>>> Обнаружена маскировка процесса 72 ?

>>>> Обнаружена маскировка процесса 312500 ?

>>>> Обнаружена маскировка процесса 20772800 ?

>>>> Обнаружена маскировка процесса 76 ?

>>>> Обнаружена маскировка процесса 2662 ?

>>>> Обнаружена маскировка процесса 17385696 ?

>>>> Обнаружена маскировка процесса 80 ?

>>>> Обнаружена маскировка процесса 1937339182 ?

>>>> Обнаружена маскировка процесса -1400803328 ?

>>>> Обнаружена маскировка процесса 81920 ?

>>>> Обнаружена маскировка процесса 1380211762 ?

>>>> Обнаружена маскировка процесса 1498623571 ?

>>>> Обнаружена маскировка процесса 1932423278 ?

>>>> Обнаружена маскировка процесса 29561 ?

>>>> Обнаружена маскировка процесса -1394364416 ?

>>>> Обнаружена маскировка процесса 1703937 ?

>>>> Обнаружена маскировка процесса 1162103113 ?

>>>> Обнаружена маскировка процесса 90112 ?

>>>> Обнаружена маскировка процесса 1853189965 ?

>>>> Обнаружена маскировка процесса 1932422003 ?

>>>> Обнаружена маскировка процесса -1401528320 ?

>>>> Обнаружена маскировка процесса 307200 ?

>>>> Обнаружена маскировка процесса 1936486262 ?

>>>> Обнаружена маскировка процесса 779249485 ?

>>>> Обнаружена маскировка процесса 115 ?

>>>> Обнаружена маскировка процесса -1402105856 ?

>>>> Обнаружена маскировка процесса 118784 ?

>>>> Обнаружена маскировка процесса 1395544142 ?

>>>> Обнаружена маскировка процесса 1932423783 ?

>>>> Обнаружена маскировка процесса 24 ?

>>>> Обнаружена маскировка процесса -1394233344 ?

>>>> Обнаружена маскировка процесса 212992 ?

>>>> Обнаружена маскировка процесса 1667584843 ?

>>>> Обнаружена маскировка процесса 28 ?

>>>> Обнаружена маскировка процесса -1392070656 ?

>>>> Обнаружена маскировка процесса 98304 ?

>>>> Обнаружена маскировка процесса 1919182451 ?

>>>> Обнаружена маскировка процесса 7567731 ?

>>>> Обнаружена маскировка процесса 32 ?

>>>> Обнаружена маскировка процесса -1414004736 ?

>>>> Обнаружена маскировка процесса 1900545 ?

>>>> Обнаружена маскировка процесса 1953724787 ?

>>>> Обнаружена маскировка процесса 1684889948 ?

>>>> Обнаружена маскировка процесса 28672 ?

>>>> Обнаружена маскировка процесса 1937331036 ?

>>>> Обнаружена маскировка процесса 842231141 ?

>>>> Обнаружена маскировка процесса 1768122479 ?

>>>> Обнаружена маскировка процесса 1225801728 ?

>>>> Обнаружена маскировка процесса 1382901108 ?

>>>> Обнаружена маскировка процесса 1230128220 ?

>>>> Обнаружена маскировка процесса 1398362926 ?

>>>> Обнаружена маскировка процесса 36 ?

>>>> Обнаружена маскировка процесса 1551134575 ?

>>>> Обнаружена маскировка процесса 1397900630 ?

>>>> Обнаружена маскировка процесса -1417658368 ?

>>>> Обнаружена маскировка процесса 1129070940 ?

>>>> Обнаружена маскировка процесса 262144 ?

>>>> Обнаружена маскировка процесса 1936483188 ?

>>>> Обнаружена маскировка процесса 1769104476 ?

>>>> Обнаружена маскировка процесса 40 ?

>>>> Обнаружена маскировка процесса 1936876918 ?

>>>> Обнаружена маскировка процесса -1418313728 ?

>>>> Обнаружена маскировка процесса 1634560348 ?

>>>> Обнаружена маскировка процесса 110592 ?

>>>> Обнаружена маскировка процесса 1932422511 ?

>>>> Обнаружена маскировка процесса 44 ?



При этом ntoskrnl.exe благополучно присутствует на диске. Я подумал мож удалить его нафик и записать нормальный, не тут-то было... некто при загрузке постоянно генерит новый (свой)... или это так и должно быть?



Помоему, это вирус) И что с ним делать, если антивирусы ничего не предпринимают (Аваст вообще ниче не заподозрил, а АВЗ только написал что-то - и то непонятно как этой инфой можно воспользоваться - ни одного названия)

[TiGro]

Цитата TiGro:



или это так и должно быть?

Info - Вирус - [Архив]

совершенно верно


Цитата TiGro:



>>>> Обнаружена маскировка процесса 40 ?

Info - Вирус - [Архив]

цитата с сайта разработчика


Цитата:



По поводу маскировки - на сервере такое часто бывает, это не опасно. Просто там есть фоновая активность, скажем процесс X может запуститься и завершиться, а в ходе скана это будет воспринять как маскировка. Чаще всего такое проявляется на Win2k3, причем далеко не всегда - например, на моих серверах с Win2k3 такого эффекта не наблюдается.

посмотри еще тут