информационная безопасность
без паники и всерьез
 подробно о проектеRambler's Top100
Spanning Tree Protocol: недокументированное применениеВсе любят медГде водятся OGRы
BugTraq.Ru
Русский BugTraq
 Анализ криптографических сетевых... 
 Модель надежности двухузлового... 
 Специальные марковские модели надежности... 
 В Microsoft Bing Chat пролезла... 
 Microsoft прикрывает Visual Studio... 
 Умер Кевин Митник 
главная обзор RSN блог библиотека закон бред форум dnet о проекте
bugtraq.ru / форум / operating systems
Имя Пароль
ФОРУМ
все доски
FAQ
IRC
новые сообщения
site updates
guestbook
beginners
sysadmin
programming
operating systems
theory
web building
software
hardware
networking
law
hacking
gadgets
job
dnet
humor
miscellaneous
scrap
регистрация





Легенда:
  новое сообщение
  закрытая нитка
  новое сообщение
  в закрытой нитке
  старое сообщение
  • Напоминаю, что масса вопросов по функционированию форума снимается после прочтения его описания.
  • Новичкам также крайне полезно ознакомиться с данным документом.
[NT] Вирус, пермишены, реестр и другое в одном флаконе 13.03.04 19:33  Число просмотров: 1998
Автор: BACbKA Статус: Незарегистрированный пользователь
<"чистая" ссылка>
Господа знающие, прошу помощи и совета!

Попробую адекватно описать проблему.
На компе с установленной XP Pro Sp1 Eng (файловая система системного диска - NTFS) завелся вирус, вернее даже троян. Из всех антивирусов его обнаруживает лишь Касперский, определяя его как TrojanDownload.Win32.Agent.j. Однако, вылечить его не может. Касперский монитор дает отчет, что Winlogon.exe, Services.exe, lcass.exe и прочие заражены им, и может лишь записать в отчет или удалить, при удалении комп перегружается. Это предисловие.
Теперь больше по сути. Когда выдается предупреждение о найденном вирусе они примерно такого вида: файл winlogon.exe\winojcg.dll заражен TrojanDownload.Win32mAgent.j, отсюда сделал вывод, что тело вируса в этой самой длл'ке. Окей, пробую ее найти - не находит. Однако, запустив сканер касперского в отчете видим записи типа:
Отказ в доступе к записи реестра - HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Windows\AppInit_DLLs=[c:\windows\system32\winojcg.dll] - отсутствуют права на чтение
и запись:
Отказ в доступе - c:\windows\system32\winojcg.dll - отсутствуют права на чтение
Хорошо, думаю, посмотрим что там у нас. Естественно ни длл'ки ни самой записи в реестре не обнаруживается. Ладно. Смотрю на пермишены папки system32 - для администратора, под которым я зашел права урезаны. Ок, разрешено сделать TakeOwnership, что и делаю. После этого устанавливаю для себя и всей группы администраторы "полный доступ" на папку. Пытаюсь снова найти эту злосчастную dll - никак :(((
Послесловие и итоги.
Что можно посоветовать в этой ситуации, кроме переустановки системы (хочется попробовать обойтись без этого заодно понять как этот троян маскируется). Какие будут идеи и предложения по борьбе с этой гадостью.
Какими методами можно увидеть этот скрытый файл?

Заранее спасибо!
<operating systems> Поиск 
  • [NT] Вирус, пермишены, реестр и другое в одном флаконе - BACbKA 13.03.04 19:33 [1998]






Rambler's Top100
Рейтинг@Mail.ru


  Copyright © 2001-2023 Dmitry Leonov   Page build time: 0 s   Design: Vadim Derkach