Отправляет email-рассылки с помощью сервиса Sendsay

RFpro.ru: Windows 2000/XP/Vista пользователю

Подписаться Бесплатная «Серебряная» новостная рассылка . Подписчиков 4.841 RSS
←   Февраль 2010   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


За последние 60 дней ни разу не выходила


Сайт рассылки: http://rusfaq.ru/
Открыта: 14-03-2002

Автор
Калашников О.А.

Статистика

4.841 подписчиков
-1 за неделю
←   Все выпуски   →

RFpro.ru: Windows 2000/XP/Vista пользователю


Хостинг портала RFpro.ru:
Московский хостер
Профессиональный платный хостинг на базе Windows 2008

РАССЫЛКИ ПОРТАЛА RFPRO.RU

Чемпионы рейтинга экспертов в этой рассылке

F®ost
Статус: Советник
Рейтинг: 6973
∙ повысить рейтинг » 		Гуревич Александр Львович
Статус: Специалист
Рейтинг: 3722
∙ повысить рейтинг » 		Black Cloud
Статус: Бакалавр
Рейтинг: 3517
∙ повысить рейтинг »

/ КОМПЬЮТЕРЫ И ПО / Установка и настройка ОС / Windows 2000/XP/Vista пользователю

Номер выпуска:1590
Дата выхода:18.02.2010, 02:30
Администратор рассылки:Калашников О.А., Руководитель
Подписчиков / экспертов:1232 / 774
Вопросов / ответов:1 / 4
IRC-канал по теме:#win2000user

Вопрос № 176650: Уважаемые коллеги, доброго времени. Необходима Ваша консультация! Рабочий (офисный) компьютер – проблема… Накануне (вчера вечером) машина была выключена после сеанса работы в штатном режиме, предварительно (как всегда) было почищено всё врем...

Вопрос № 176650:

Уважаемые коллеги, доброго времени.
Необходима Ваша консультация!
Рабочий (офисный) компьютер – проблема…
Накануне (вчера вечером) машина была выключена после сеанса работы в штатном режиме, предварительно (как всегда) было почищено всё временное (кэши браузеров, временные директории и так далее), просканирован реестр на предмет лишних записей (Reg Organizer_5.0, лицензия) и ключей, остающихся от запуска исполняемых файлов портативных приложений, обновлены базы вирусных записей (Dr.Web Security Space, лицензия), проведена «дежурная» дефрагментация системного раздела…

Сегодня в процессе загрузки системы Dr.Web выдал сообщение о том, что C:\temp_file_bin «возможно инфицирован Trojan.Packed.666»…

Точно известно, что на момент выключения машины этого файла в корне диска не было!..

Удаление такового Dr.Web-ом «счастья» не принесло, поскольку этот файл вновь и вновь появлялся в корне диска всякий раз после удаления.
Только блокирование такового « успокоило» антивирусный сторож.
Попытки полного сканирования системного раздела и Dr.Web и AVZ_4.32 (с обновлёнными базами) результата не возымели…
Примечательно то, что описанный выше файл (и соответствующая реакция на него со стороны Dr.Web) появлялся лишь только тогда, когда машина была подключена к Сети. Такое впечатление, что этот файл подкачивался извне. Как только сетевое подключение перекрывалось (по команде «Отключить»), проблема исчезала…
И действительно: в исключениях системного брандмауэра появилась новая запись «19553:TCP», причём эта запись не активна (серая) и галочка напротив неё не стоит. Попытки обнаружить приложение или службу (netstat -a -b -v), её прописавшие, успеха не принесли – что порт открыт, – очевидно, но что его открыло… И как выйти из создавшейся ситуации?..
Очень жду Ваших высказываний…

P.S. Откат по точкам восстановления невозможен, так как (как назло!) все точки были удалены в процессе чистки (с расчётом на то, что новая то чка будет создана вручную после очередного включения)…
P.S. Кстати… И на сайт Dr.Web зайти нет возможности…
Файл C:\WINDOWS\system32\drivers\etc\hosts – в порядке.

С уважением, Бельянинов Е.А.

Отправлен: 12.02.2010, 16:35
Вопрос задал: Бельянинов Е.А., Специалист
Всего ответов: 4
Страница вопроса »

Отвечает Александр Коловицков, 4-й класс :
Здравствуйте, Бельянинов Е.А.!
Для начало нужно проверить данный файл здесь: http://www.virustotal.com/ru/
Если есть антивирус, который знает этот файл то почитать (зная название вируса) о его принципе работы.
Далее можно поступить следующим образом/ Скачать от сюда 4 утилиты http://technet.microsoft.com/ru-ru/sysinternals/default.aspx
1. TcpView запустить включить сетевое подключение. Посмотреть какие процессы лезут на порт 19553.
2. Process Explorer посмотреть если обнаружится процесс из п. 1 информацию о данном процессе, какие файлы и библиотеки он использует.
3. FileMon установить фильтр на temp_file_bin посмотреть какой процесс с ним работает.
4. AutoRuns проверить если обнаружатся пусковые файлы в п. 1-3 проверить не стартует ли этот файл при запуске.

Ответ отправил: Александр Коловицков, 4-й класс
Ответ отправлен: 12.02.2010, 16:51
Номер ответа: 259399

Оценка ответа: 5

Вам помог ответ? Пожалуйста, поблагодарите эксперта за это!
Как сказать этому эксперту "спасибо"?
  • Отправить SMS #thank 259399 на номер 1151 (Россия) | Еще номера »
  • Отправить WebMoney:

    • Отвечает vladisslav, 5-й класс :
    Здравствуйте, Бельянинов Е.А..
    Похоже новый червь... Нужно проверять другие компьютеры в сети.
    Проще всего поискать на других машинах файл с идентичным содержимым, загрузившись с диска.
    Если не полиморф, то достаточно быстро найдется. Если полиморф, то все гораздо хуже.
    Можно попробовать проверить online-сканерами : на сайте касперского, virustotal и т.д., но если червь свежий, определяться не будет.
    Если не трудно, закачайте на какой-нибудь обменник в зашифрованном rar/7-zip и киньте ссылку мне в ЛС, посмотрю, скажу точнее, что это и как с ним бороться.

    Ответ отправил: vladisslav, 5-й класс
    Ответ отправлен: 12.02.2010, 18:08
    Номер ответа: 259404

    Оценка ответа: 5
    Комментарий к оценке:
    ...к счастью на других машинах в сети такого файла обнаружено не было и полное сканирование DrWeb и AVZ «заразы» не выявило.

    Вам помог ответ? Пожалуйста, поблагодарите эксперта за это!
    Как сказать этому эксперту "спасибо"?
  • Отправить SMS #thank 259404 на номер 1151 (Россия) | Еще номера »
  • Отправить WebMoney:

    • Отвечает SerKuz, 10-й класс :
    Здравствуйте, Бельянинов Е.А..


    1. Если есть доступ к Freedrweb.ru , то скачайте Drweb LiveCd, запишите образ на CD (как образ, не как файл!). Перезагрузитесь и в BIOS выберите загрузку с привода CD/DVD. Проверьте диски антивирусом.

    2. Скачайте Process Explorer. Поищите странный процесс, но тут нужен опыт. Можете попробовать щелкнуть по меню Find и ввести название своего файла "temp_file_bin" - возможно, что Process Explorer покажет, какой процесс обращается к этому файлу.
    Теперь можно попробовать "убить" процесс, нажав Delete.

    Ответ отправил: SerKuz, 10-й класс
    Ответ отправлен: 12.02.2010, 19:14
    Номер ответа: 259408

    Оценка ответа: 5
    Комментарий к оценке:
    ...сканирование в безопасном режиме результатов не принесло.

    Вам помог ответ? Пожалуйста, поблагодарите эксперта за это!
    Как сказать этому эксперту "спасибо"?
  • Отправить SMS #thank 259408 на номер 1151 (Россия) | Еще номера »
  • Отправить WebMoney:

    • Отвечает Agent_xxx, 3-й класс :
    Здравствуйте, Бельянинов Е.А.. Мои предложения: нужно поставить файлерволл firewall (вроде так пишется) и с помощью него получится узнать все что происходит по сети. кто подключен, и какие порты открыты, и какие проги через че общаются. Самый профессиональный считаю Outpost, а так, чтобы просто найти или узнать кто эт лезет и откуда можно например nod32 smart security. Так же есть Zone Alarm. Желаю успехов!!!

    Ответ отправил: Agent_xxx, 3-й класс
    Ответ отправлен: 12.02.2010, 19:25
    Номер ответа: 259409

    Оценка ответа: 4
    Комментарий к оценке:
    Спасибо за информацию и желание помочь.
    Дело в том, что наличие открытых портов и соответственно – процессов, их открывших, можно определить и без установки сетевых экранов.

    Вам помог ответ? Пожалуйста, поблагодарите эксперта за это!
    Как сказать этому эксперту "спасибо"?
  • Отправить SMS #thank 259409 на номер 1151 (Россия) | Еще номера »
  • Отправить WebMoney:

    • Оценить выпуск »
    Нам очень важно Ваше мнение об этом выпуске рассылки!

    Задать вопрос экспертам этой рассылки »

    Скажите "спасибо" эксперту, который помог Вам!

    Отправьте СМС-сообщение с тестом #thank НОМЕР_ОТВЕТА
    на короткий номер 1151 (Россия)
    Номер ответа и конкретный текст СМС указан внизу каждого ответа.

    Полный список номеров »

    * Стоимость одного СМС-сообщения от 7.15 руб. и зависит от оператора сотовой связи. (полный список тарифов)
    ** При ошибочном вводе номера ответа или текста #thank услуга считается оказанной, денежные средства не возвращаются.
    *** Сумма выплаты эксперту-автору ответа расчитывается из суммы перечислений на портал от биллинговой компании.

    © 2001-2010, Портал RFpro.ru, Россия
    Авторское право: ООО "Мастер-Эксперт Про"
    Автор: Калашников О.А. | Программирование: Гладенюк А.Г.
    Хостинг: Компания "Московский хостер"
    Версия системы: 2010.6.14 от 03.02.2010
    В избранное