Против Vundo, опитай всичко...

*Спиране на System Restore

*Деинсталиране на MBAM (с модула mbam-clean.exe), след това преименуване на инсталационния файл, инсталиране, актуализация на дефинициите + нова проверка и почистване.

Добре е да се преименуват и Combofix и HijackThis преди проверката.

*Използването на този файл:

http://kixhelp.com/wr/files/mb/getinit.bat

Ще създаде папка - APP_INIT с текстов файл - INITLOG.txt

Копирай съдържанието му.

*Проверка с Vundofix, VundoBeGone и другите известни приложения против Vundo...

*Проверка с Avira с настройките на max...

*Съвети от специалистите на MBAM - създаване на логове от различните приложения като RSIT, OtlistIt, Eset SysInspector и т.н

Успех !

Редактирано 4 януари 200917 г. от B-boy[StyLe] (преглед на промените)

Много се съмнявам да е конфликт.

Не ми се нрави този инструмент Rootkit Unhooker с размер 165kb.

http://www.softsea.com/review/Rootkit-Unhooker.html

Редактирано 4 януари 200917 г. от mihnev_sz (преглед на промените)

Много се съмнявам да е конфликт.

Не ми се нрави този инструмент Rootkit Unhooker с размер 165kb.

http://www.softsea.com/review/Rootkit-Unhooker.html

Нищо и няма на програмата. Екипа на MBAM я препоръчват като най-добрата заедно с GMER.

Неслучайно Microsoft закупиха инструмента за подсилване на другия си продукт RootkitReleaver !

Автор на тулчето е EP_X0FF... сега е при Sysinternals:

http://forum.sysinternals.com/uploads/2007...rku37300509.rar

Име на хост www.softsea.com Интернет доставчик Неизвестен

Държава Съединените Щати Код на държава US (USA)

Град Ashburn Регион Virginia

IP адрес 69.65.107.86

Настройките на защитата с бесплатни програми ми блокират изтеглянето на каквото и да било от там - по голямо подсказване от това за себе си не съм и очаквал. Дано Ви е от полза. Поздрави

Разхвърлен е навсякъде в мрежата и с различна големина.

Има доста клонинги,можеш сам да се убедиш.

Лога на VundoFix

VundoFix V7.0.6

Scan started at 22:56:14 04.1.2009 г.

Listing files found while scanning....

No infected files were found.

Лога на VirtumundoBeGone

[01/04/2009, 22:54:52] - VirtumundoBeGone v1.5 ( "C:\Documents and Settings\Vanio\Desktop\VirtumundoBeGone.exe" )

[01/04/2009, 22:54:59] - Detected System Information:

[01/04/2009, 22:54:59] - Windows Version: 5.1.2600, Service Pack 3

[01/04/2009, 22:54:59] - Current Username: Vanio (Admin)

[01/04/2009, 22:54:59] - Windows is in NORMAL mode.

[01/04/2009, 22:55:00] - Searching for Browser Helper Objects:

[01/04/2009, 22:55:00] - Finished Searching Browser Helper Objects

[01/04/2009, 22:55:00] - Finishing up...

[01/04/2009, 22:55:00] - Nothing found! Exiting...

INITLOG.txt

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

Разхвърлен е навсякъде в мрежата и с различна големина.

Има доста клонинги,можеш сам да се убедиш.

Да, но vanio е теглил от sysinternal

http://www.kaldata.com/forums/index.php?s=...t&p=1230559

vanio => Последния лог е доста кратък ?

При мен е:

Windows Registry Editor Version 5.00


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"AppInit_DLLs"=""

"LoadAppInit_DLLs"=dword:00000000

"IconServiceLib"="IconCodecService.dll"

"DdeSendTimeout"=dword:00000000

"DesktopHeapLogging"=dword:00000001

"GDIProcessHandleQuota"=dword:00002710

"ShutdownWarningDialogTimeout"=dword:ffffffff

"USERPostMessageLimit"=dword:00002710

"USERProcessHandleQuota"=dword:00002710

@="mnmsrvc"

"DeviceNotSelectedTimeout"="15"

"Spooler"="yes"

"TransmissionRetryTimeout"="90"

Аз съм песимист относно намирането на инфектираните файлове в C:\Windows\system32. Може да е дори грешка в модула на MBAM и той да е причина за инфекцията. Случвало ми се е подобно нещо с Norton ако не се лъжа. И вместо да трие инфекциите, той заразява още повече. Грешка в дефинициите на продукта...там все пак са вкарани сигнатури за даден зловреден код, който вместо да лекува инфектира...В момента екипа на MBAM го тества. Лоша работа. Отделно MBAM + нелегален ключ е равно на пропускане на зарази засичани от безплатната версия. В новата версия имаше проверка за активацията на продукта: (FIXED) Improved activation license key checking. Безплатен обяд няма... Free версията си е напълно достатъчна за мен.Това, че няма защита в реално време не е от такова значение. Отделно използването на фалшиви ключове може да доведе до пропускането на много от заразите, които по принцип се ловят с безплатната версия !

We should be good on that , make sure where the log came from is a good source . We put blocks in place that prevent 1.31 from working with fake keys and as a result a lot of theives are sticking with 1.xx and as a result missing a lof of current malware.

А и ако е rootkit вариант на Vundo => ще го наметим...на кукуво лято...Rootkit-a крие процесите от Windows API + вирусните скенери и дори зарежда преди Windows => закрепен за MBR секторите...а другия си сменя имената и изключва антивирусните програми...Формат + триене на дяла е спасанието Жалко, че трябва да гледаме кеширана страницата...R.I.P. CastleCops http://209.85.129.132/search?q=cache:5RXgO...;cd=8&gl=bg

The malware in question here (as far as I know) cant be fixed without a boot disk . I have been testing it for months and between the rooters , MRB rooter and patched MS files it is as bad as bad gets .

Because according to Bruce there are compromised Microsoft files involved as well as an MBR infection.

I trust what Bruce is saying is correct and don't have time to try to disprove him, but thanks.

Дано не съм прав !

PS: Между другото VundoBeGone и SDFIX трябва да се пускат през Safe Mode...

Редактирано 4 януари 200917 г. от B-boy[StyLe] (преглед на промените)

Да, но vanio е теглил от sysinternal

http://www.kaldata.com/forums/index.php?s=...t&p=1230559

Знам,следя темата,точно това ме спира за по нататъшно разследване.Просто анализирах възможностите за зараза!

Както виждаш аз без да искам попаднах на този линк http://www.softsea.com/review/Rootkit-Unhooker.html ,какво пречи и някой друг да попадне на подобен фалшификат.

Редактирано 4 януари 200917 г. от mihnev_sz (преглед на промените)

Име на хост www.softsea.com

......................

Настройките на защитата с бесплатни програми ми блокират изтеглянето на каквото и да било от там - по голямо подсказване от това за себе си не съм и очаквал. Дано Ви е от полза. Поздрави

Какво точно е подсказано при теб за softsea.com? Че е опасен сайт или не? Ето резултати за този сайт:

Norton Safe Web:

McAfee SiteAdvisor:

При мен се тегли всичко съвсем нормално. Comodo IS не пречи, нищо не се блокира:

Редактирано 4 януари 200917 г. от nologo (преглед на промените)

Лога от MBAM

Malwarebytes' Anti-Malware 1.31

Database version: 1614

Windows 5.1.2600 Service Pack 3

04.1.2009 г. 23:32:58

mbam-log-2009-01-04 (23-32-58).txt

Scan type: Quick Scan

Objects scanned: 49644

Time elapsed: 5 minute(s), 40 second(s)

Memory Processes Infected: 0

Memory Modules Infected: 0

Registry Keys Infected: 0

Registry Values Infected: 0

Registry Data Items Infected: 0

Folders Infected: 0

Files Infected: 0

Memory Processes Infected:

(No malicious items detected)

Memory Modules Infected:

(No malicious items detected)

Registry Keys Infected:

(No malicious items detected)

Registry Values Infected:

(No malicious items detected)

Registry Data Items Infected:

(No malicious items detected)

Folders Infected:

(No malicious items detected)

Files Infected:

(No malicious items detected)

Лога от MBAM

Кво сканираш с кракната MBAM,най -вероятно тя ще е причината.Дано не се наложи формат.

P.s. Искрено се надявам да греша.

Редактирано 4 януари 200917 г. от mihnev_sz (преглед на промените)

Кво сканираш с кракната MBAM,най -вероятно тя ще е причината.Дано не се наложи формат.

Как разбрахте, че е кракната?

http://www.prikachi.com/files/527221R.png

http://www.prikachi.com/files/527224F.png

И не се притеснявайте за формата. Това е на виртуална машина. Толкова голяма тема и толкова смелчаци , които си мериха пиш..те, а никой не го пробва на своята виртуална машина.

Лека

Редактирано 4 януари 200917 г. от vanio (преглед на промените)

Какво точно е подсказано при теб за softsea.com? Че е опасен сайт или не? Ето резултати за този сайт:

Norton Safe Web:

McAfee SiteAdvisor:

При мен се тегли всичко съвсем нормално. Comodo IS не пречи, нищо не се блокира:

Благодаря - излиза, че ограниченията произлизат от Спайбот - не оспорвам американските преценки. Сега и аз вече нямам ограничения - пак нищо не разбрах- мога да тегля файлове от там. Поздрави

Как разбрахте, че е кракната?

http://www.prikachi.com/files/527221R.png

http://www.prikachi.com/files/527224F.png

И не се притеснявайте за формата. Това е на виртуална машина. Толкова голяма тема и толкова смелчаци , които си мериха пиш..те, а никой не го пробва на своята виртуална машина.

Аз в момента нямам VM...и нямам време да качвам.

А иначе Rootkit Unhooker не тръгва под Windows Vista SP1 x64

Как сме тук

Сайт

http://websecurityexamine.com/scan/index2.php?affid=02100

Сваляне

http://websecurityexamine.com/downloadsetupws.php?affid=02100

плюс мирър

http://www.2shared.com/file/4583017/2ad0ca4a/install.html

VIRUS TOTAL

Microsoft не греши всевиждащите австрийци грешат !

Пратен за анализ в Касперски Лаб хе да видиме кога ще реагират другите програми.

"Това е шампиона на годината" Цитирам Nikssi - бих допълнил безплатния. В буквалния смисъл и този път без ирония - аз изобщо не можах да отворя страницата им. Тези отброявания на МВАМ са без значение за интегрирания пакет- според мен. Проверявам и по-други методи - предпочитам по-бързите. Ако намеря нещо което го преодолява - ще го посоча - все пак не си струва да се спори за безплатен продукт - това всички го разбираме. Поздрави P.S. http://www.virustotal.com/analisis/5d87ed8...31d6499b0743073 Ако примерно тук се появи нещо - то е "успяло" - но вече е "прехванато".

Прав си

C:\Documents and Settings\USER\Desktop\Download 100,000 Emoticons!.url (Rogue.Link) -> No action taken.

C:\Documents and Settings\USER\Desktop\Sherv.NET - Animated Emoticons, Winks, Display Pics, plus more!.url (Rogue.Link)

Вярно,че студено

Име на хост palsol.com Интернет доставчик Неизвестен

Държава Съединените Щати Код на държава US (USA)

Град New York Регион New York

IP адрес 208.113.150.124

А при мен - пак празна бяла страница ! Как да не ми стане скучно с тази безплатна защита !? Какво да инсталирам ? Вече май не останаха програми за пробване - няма значение платени или безплатни... Докато намеря нещо ново ще съм явно така. Поздрави

Site Temporarily Unavailable

We apologize for the inconvenience. Please contact the webmaster/ tech support immediately to have them rectify this.

error id: "bad_httpd_conf"

Редактирано 5 януари 200917 г. от nikssi (преглед на промените)

http://safeweb.norton.com/report/show?url=...;.x=13&.y=9 Със Symantec имам свободен достъп до този портал - а безплатната защита на другия компютър ми "пречи". Поздрави P.S. Бяла страница със Symantec виждам тук: Име на хост websecurityexamine.com Интернет доставчик Неизвестен

Държава Руската федерация Код на държава RU (RUS)

Град Ural Регион Krasnoyarsk

IP адрес 91.211.64.31

Редактирано 5 януари 200917 г. от TNN (преглед на промените)

http://websecurityexamine.com/scan/index2.php?affid=02100

Изтеглих файла и го стартирах под зоркото око на Касперски

Снимка 1:

Избрах "Ограничи"

Снимка 2: Програмата го премества в Зоната за силни ограничения

Снимка 3: От този прозорец избирам препоръката - ЗАБРАНИ

Снимка 4: Резултат от действие за забрано до личнни данни

Снимка 5: Тука е ясно какво иска ментака Следва избор забрани

Снимка 6: Сканиране с MBAM

Malwarebytes' Anti-Malware 1.32

Версия на базата от данни: 1617

Windows 5.1.2600 Service Pack 3

05.1.2009 г. 10:48:35

mbam-log-2009-01-05 (10-48-35).txt

Тип сканиране: Бързо сканиране

Сканирани обекти: 57598

Изминало време: 6 minute(s), 58 second(s)

Заразени процеси в паметта: 0

Заразени модули в паметта: 0

Заразени ключове в регистратурата: 0

Заразени стойности в регистратурата: 0

Заразени информационни обекти в регистратурата: 0

Заразени папки: 0

Заразени файлове: 0

Заразени процеси в паметта:

(Нямаше открити заплахи)

Заразени модули в паметта:

(Нямаше открити заплахи)

Заразени ключове в регистратурата:

(Нямаше открити заплахи)

Заразени стойности в регистратурата:

(Нямаше открити заплахи)

Заразени информационни обекти в регистратурата:

(Нямаше открити заплахи)

Заразени папки:

(Нямаше открити заплахи)

Заразени файлове:

(Нямаше открити заплахи)

Макар Касперски да не го засича това менте при следване на препоръките => няма никакви поражения

Наистина добро представяне на Касперски заедно с Nikssi зад клавиатурата. Няколко пъти след подобни експерименти A-squared 4 Free ми отстранява Root-изменения в регистрите на Win- в безплатния скенер е включен и енджина на Икарус - вече не е нужно да го инсталирам. Nikssi, скоро стартирал ли си задълбочената проверка с безплатната австрийска програма? Тя вижда и чисти повече от MBAM. Поздрави

Наистина добро представяне на Касперски заедно с Nikssi зад клавиатурата. Няколко пъти след подобни експерименти A-squared 4 Free ми отстранява Root-изменения в регистрите на Win- в безплатния скенер е включен и енджина на Икарус - вече не е нужно да го инсталирам. Nikssi, скоро стартирал ли си задълбочената проверка с безплатната австрийска програма? Тя вижда и чисти повече от MBAM. Поздрави

1. Вчера вечерта сканирах.Намери само една ###### с малък риск тако поне пишеше.

2. Какво искаш да кажеш с това ...добро представяне заедно с nikssi? Пак клинчиш от преки отговори естествено.Казах,че ще пробвам Касперски и то на файл,който не засича.

Ползването на Интерактивен режим е ПРЕПОРЪЧИТЕЛНО за мислеши хора

Сега май Аваст ще ревне Понеже имаше спор с Михнев та реших и това да пробвам

В този случай Касперски ми хареса - друго не съм имал предвид. Твоите представяния на практика подпомагат ползващите програмата,но дали при всички случаи ще е така? Не съм употребявал сега ирония. По-ясно не мога да го напиша. Поздрави

http://websecurityexamine.com/scan/index2.php?affid=02100

Файла отново го изтеглих и стартирах но вече на виртуалната машина

Снимка 1:

Снимка 2:

Снимка 3:

Снимка 4:

Лог не прилагам тъй като MBAM рестартира машината да почисти

Добро представяне на стената COMODO и Слабо на AVAST И се питам сега ако бях разрешил връзката или пък не бях с Комодо ами с вградената стена на Windows XP SP3 какво щеше да е омазването.

Кога ли Аваст ще има интегриран пакет

Периодично ще пробвам Касперски и Аваст на всички линкове,които не се засичат от двете програми.

Стига хвалене и приказки,че има всевиждащи. Няма такива

TNN обещах и го правя.Ти кога ще представиш някакви ясни резултати не само геоанализи...може би някоя снимка или лог файл

Кога ли Аваст ще има интегриран пакет

Браво за труда Nikssi ,наистина нагледни резултати си дал,ами при версия 5 (вече IS), която се очаква да излезе в началото на тази година.

Цитирам XMAS:

Ами за сега има информация, че ще излезе през първата половина на 2009, но само това е известно за сега .

Някои от известните за сега неща:

- ще има няколко версии - самостоятелно приложение за антивирус, avast! Suite - което ще представлява цялостна защита за компютъра - антиспам, огнена стена и др. (възможно е да има и самостоятелна огнена стена, но това е под въпрос за сега)

- ще има изцяло нов интерфейс (както вече споменах) - скиновете ще отпаднат

- най-вероятно VRDB ще бъде премахнат от програмата, тъй като тази технология е много стара и не е особенно ефективна вече.

- ще има проактивна защита - анализиране на поведението

Та за сега е това, ако имам повече инфо ще пиша

Редактирано 5 януари 200917 г. от mihnev_sz (преглед на промените)

Браво за труда който си вложил,ами при версия 5 (вече IS), която се очаква да излезе в началото на тази година.

Цитирам XMAS:

И ако има и безплатен вариант мерси за инфото Михнев

И ако има и безплатен вариант мерси за инфото Михнев

Ще пиша веднага, щом разбера,предполаган,че питането ти е насочено към пакета!

Зададох вече този въпрос,просто очаквам отговор в най-скоро време от xmas!

Редактирано 5 януари 200917 г. от mihnev_sz (преглед на промените)

VirusTotal пак не се е обновил...

nikssi, добро представяне

PS: Още един обновен ментак:

http://rapidshare.com/files/179907331/MS_AntiSpyware_2009_installer.zip.html

Редактирано 5 януари 200917 г. от B-boy[StyLe] (преглед на промените)