Infekcja rootkitem Zeroaccess

Rootkit ten tworzy fałszywą usługą z podpisem OAK technology bądź ładuje swój sterownik consrv.sys i tworzy link symboliczny.
Uszkadza także usługi systemowe.
Narządzia usuwające:

• Kaspersky tdss killer 32/64 bit
  

• Webroot anti- zeroaccess narządzie obsługuje jedynie 32 bitową wersje systemu
  

Rootkit Necurs:



Rootkit ten tworzy losowy sterownik blokuje uruchamianie programów antywirusowych i wersji 64 bitowego systemu włącza tryb testowy pozwalający na ładowanie jego nie podpisanego sterownika.
Blokuje także uruchamianie prawidłowych plików systemowych przez co system ma dysfunkcje.

Przykład w logu OTL:
SRV - [2012/05/03 09:20:11 | 000,044,368 | ---- | M] () [Unknown (-1) | Unknown] -- C:\WINDOWS\System32\drivers\b79d68fb11fe3f63.sys -- (b79d68fb11fe3f63)
DRV - [2012/05/03 09:20:11 | 000,044,368 | ---- | M] () [Unknown (-1) | Unknown (-1) | Unknown] -- C:\WINDOWS\System32\drivers\b79d68fb11fe3f63.sys -- (b79d68fb11fe3f63)



Narządzia usuwające:

• ESET Necurs remover
  

Obsługiwane systemy:Windows XP/2003/Vista/2008/7 32-bit i 64-bit

• Kaspersky tdss killer 32/64 bit
  

Narządzie wypluwa błąd podczas ładowania ale mimo to daje sobie radą z usuniąciem rootkita

TDSS (różne wersje)

• Kaspersky tdss killer
  

Zagrożenia które udaja programy antywirusowe i zachącają do kupna poprez wyświetlanie fałszywych alertów cząsto dociągają kolegów jak live security platinum dociąga trojana sirefef.

Narządzia /skanery usuwające:

• Rouge killer
  

Oprócz usuwania fake av zaimplementowane ma usuwanie także trojana sirefef

• Malwarebytes anti-malware
  

Skaner ogólny jeden z najlepszych jezeli nie najlepszy posiada bardzo dużą bazą i dobrze sobie radzi z fakeAV i innymi zagrożeniami

• COMODO Cleaning Essentials
  

Skaner oparty na silniku comodo nie wymaga instalacji.
Download:
Wersja 32-bit
Wersja 64-bit

• USBFIX
  

Mały kombajn do usuwania/zabezpieczania i naprawy systemu zainfekowanego szkodnikami przenoszonymi przez pamieci przenośne
Oferowane opcje :

Research-narządzie tworzy loga w którym listuje wykryte infekcje (nie odbywa sie usuwanie)

Listning-narządzie listuje zawartość roota partycji pliki i foldery utworzone na roocie ,wynikowo tworzony jest log

Deletion-kasowanie infekcji które narządzie wykryło z opcji research

Vaccinate-narządzie tworzy zablokowany folder autorun.inf na wszystich partycjach i dyskach przenośnych

Uninstall -Deinstalacja narzedzia

• Adwcleaner by Xplode
  

[size=4]Narządzie czyszczące sponsoringowe paski i toolbary w przeglądarkach usuwa takze adware radzi także sobie z hijackerami przeglądarek.

Dostąpne opcje:

Search-tworzenie loga log zapisuje sie na rocie dysku

Delete-usuwanie infekcji/śmieci log z usuwania zpisuje sie na rocie dysku i otwiera po restarcie systemu

Uninstall-deinstalacja programu[/size]

Kaspersky KidoKiller narządzie usuwające robaka sieciowego znanego jako conficker(a'ka Kido,Downadup)

Robak sieciowy oprócz rozpowszechniania sią porzez sieć roznosi sią przez pendrivy tworząc na nich pliki autorun.inf i folder recycled z szkodliwym plikiem.
Podczas infekcji systemu zapisuje plik o losowej nazwie i rozszerzeniu dll do folderu C:\WINDOWS\system32
Tworzy usługą systemową o losowej nazwie
Atakuje inne komputery w sieci poprzez port 445 lub 139 port TCP, używając luki MS08-067 w MS Windows.
Blokuje strony producentów antywirusów

• Rkill
  

Download:
Rkill.scr
Rkill.com
Rkill.exe

narządzie autorstwa bleepingcomputer.com ma za zadanie wybić procesy malwaru przygotowując podłoże innemu oprogramowaniu które może zostać zablokowane przez infekcje np:OTL
narządzie po uruchomieniu wybija procesy należy po zakończeniu tego procesu uruchomić OTL bądź jakis skaner Np:malwarebytes anti-malware i nim usunąć szkodniki.
UWAGA:narządzie wyłącza tylko procesy nie usuwa szkodników po restarcie jeżeli szkodnik nie został usuniąty uruchomi sią ponownie.

• OTH
  

OTH.exe
OTH.com
OTH.scr

Narządzie autorstwa Oldtimera sużace takze do wybijania procesów

• Blitz blank
  

Narzedzie autorstwa emsisoft służące do usuwania opornych infekcji oferuje interfejs graficzny i prosty interfejs pozwalający na samodzielne tworzenie skryptów jak i wykorzystywanie tych stworzonych przez pomagających.

• Windows worms door cleaner
  

Narządzie zabezpieczające służy do zamykania robaczywych portów w systemie windows XP

• ServicesRepair by ESET
  

Narządzie naprawiajace zdewastowane przez zeroaccess usługi potrafi naprawić usługi od zera.

• System Look
  

Wersja 32-bit

Wersja 64-bit



Obsługiwane komendy:

[size=4]:dir-działa tak samo jak w cmd wylistowywuje zawartość katalogu do pliku
przykładowy log ze skanowania na komendzie [/size]
[size=4]:dir
C:\[/size]

[spoiler]

SystemLook 30.07.11 by jpshortstuff
Log created at 18:51 on 18/11/2012 by Conor
Administrator - Elevation successful

========== dir ==========

C: - Parameters: "(none)"

---Files---
AUTOEXEC.BAT --a---- 0 bytes [10:34 07/10/2012] [10:34 07/10/2012]
boot.ini ---hs-- 211 bytes [12:21 07/10/2012] [10:28 07/10/2012]
Bootfont.bin -rahs-- 4952 bytes [12:00 15/04/2008] [12:00 15/04/2008]
CONFIG.SYS --a---- 0 bytes [10:34 07/10/2012] [10:34 07/10/2012]
hiberfil.sys --ahs-- 267964416 bytes [10:39 07/10/2012] [16:14 18/11/2012]
IO.SYS -rahs-- 0 bytes [10:34 07/10/2012] [10:34 07/10/2012]
MSDOS.SYS -rahs-- 0 bytes [10:34 07/10/2012] [10:34 07/10/2012]
NTDETECT.COM -rahs-- 47564 bytes [12:00 15/04/2008] [12:00 15/04/2008]
ntldr -rahs-- 251152 bytes [12:00 15/04/2008] [12:00 15/04/2008]
pagefile.sys --ahs-- 402653184 bytes [12:16 07/10/2012] [16:14 18/11/2012]


---Folders---
Documents and Settings d------ [12:22 07/10/2012]
NVIDIA d------ [10:56 07/10/2012]
Program Files dr----- [12:23 07/10/2012]
RECYCLER d--hs-- [10:39 07/10/2012]
Sounds d------ [16:37 07/10/2012]
System Volume Information d--hs-- [12:22 07/10/2012]
VS2010Express1 d------ [15:51 31/10/2012]
WINDOWS d------ [12:16 07/10/2012]

-= EOF =-
[/spoiler]

:file- podaje informacje o pliku, data utworzenia /data modyfikacji/MD5/atrybuty/wersją/autora
przykładowy log ze skanowania na komendzie

:file
C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe

[spoiler]]

SystemLook 30.07.11 by jpshortstuff
Log created at 18:53 on 18/11/2012 by Conor
Administrator - Elevation successful

========== file ==========

C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe - File found and opened.
MD5: E5CA22F495988A55E58C527F25FB21EE
Created at 18:25 on 13/10/2012
Modified at 17:52 on 06/07/2011
Size: 1047656 bytes
Attributes: --a----
FileDescription: Malwarebytes' Anti-Malware
FileVersion: 1.51.1.1076
ProductVersion: 1.51.1.1076
OriginalFilename: mbam.exe
InternalName: mbam
ProductName: Malwarebytes' Anti-Malware
CompanyName: Malwarebytes Corporation
LegalCopyright: © Malwarebytes Corporation. All rights reserved.
Comments: Malwarebytes' Anti-Malware

-= EOF =-

[/spoiler]

:reg - wyświetla zawartość podkluczy do wyświetlenia zawartości podkluczy dodaje sią atrybut /S
przykładowy log ze skanowania na komendzie

:reg
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1} /s

[spoiler]
SystemLook 30.07.11 by jpshortstuff
Log created at 18:56 on 18/11/2012 by Conor
Administrator - Elevation successful

========== reg ==========

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}]
@="Microsoft WBEM New Event Subsystem"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32]
@="C:\WINDOWS\system32\wbem\wbemess.dll"
"ThreadingModel"="Both"


-= EOF =-
[/spoiler]

ervice-wyświetla szczegóły odnośnie usługi
przykładowy log ze skanowania na komendzie

ervice
MBAMService

[spoiler]
SystemLook 30.07.11 by jpshortstuff
Log created at 18:58 on 18/11/2012 by Conor
Administrator - Elevation successful

========== service ==========

MBAMService
MBAMService
"Malwarebytes' Anti-Malware service"
Current Status: Stopped
Startup Type: Disabled
Error Control: Unable to Determine
Binary: "C:\Program Files\Malwarebytes' Anti-Malware\mbamservice.exe"
Group: (none)
SafeBoot:
Dependencies:
->MBAMProtector
Dependant Services:
(none)

-= EOF =-
[/spoiler]


:process - podaje szczegóły odnośnie uruchomionego procesu ścieżką docelową/moduły załadowane pod ten proces
przykładowy log ze skanowania na komendzie

:process
AIMP3.exe

[spoiler]
[size=4]SystemLook 30.07.11 by jpshortstuff
Log created at 19:00 on 18/11/2012 by Conor
Administrator - Elevation successful

========== process ==========

AIMP3.exe - 1 handle(s) returned.
File path: C:\Program Files\AIMP3\AIMP3.exe
MD5: 8B3DF7F1FE332B65E63FBF916678CDFC
Modules:
C:\Program Files\AIMP3\AIMP3.exe
C:\WINDOWS\system32\ntdll.dll
C:\WINDOWS\system32\kernel32.dll
C:\Program Files\AIMP3\AIMP3.dll
C:\WINDOWS\system32\oleaut32.dll
C:\WINDOWS\system32\ADVAPI32.dll
C:\WINDOWS\system32\RPCRT4.dll
C:\WINDOWS\system32\Secur32.dll
C:\WINDOWS\system32\GDI32.dll
C:\WINDOWS\system32\USER32.dll
C:\WINDOWS\system32\msvcrt.dll
C:\WINDOWS\system32\ole32.dll
C:\WINDOWS\system32\msimg32.dll
C:\WINDOWS\system32\version.dll
C:\WINDOWS\system32\mpr.dll
C:\WINDOWS\system32\IMAGEHLP.DLL
C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll
C:\WINDOWS\system32\SHLWAPI.dll
C:\WINDOWS\system32\shell32.dll
C:\WINDOWS\system32\comdlg32.dll
C:\WINDOWS\WinSxS\x86_Microsoft.Windows.GdiPlus_6595b64144ccf1df_1.0.2600.5512_x-ww_dfb54e0c\gdiplus.dll
C:\WINDOWS\system32\oleacc.dll
C:\WINDOWS\system32\MSVCP60.dll
C:\WINDOWS\system32\winmm.dll
C:\WINDOWS\system32\wsock32.dll
C:\WINDOWS\system32\WS2_32.dll
C:\WINDOWS\system32\WS2HELP.dll
C:\Program Files\AIMP3\bass.dll
C:\WINDOWS\system32\MSACM32.dll
C:\WINDOWS\system32\msdmo.dll
C:\WINDOWS\system32\dsound.dll
C:\Program Files\AIMP3\Sqlite3.dll
C:\WINDOWS\system32\imm32.dll
C:\WINDOWS\system32\uxtheme.dll
C:\Program Files\AIMP3\Modules\aimp_libvorbis.dll
C:\WINDOWS\system32\CLBCATQ.DLL
C:\WINDOWS\system32\COMRes.dll
C:\WINDOWS\system32\xpsp2res.dll
C:\Program Files\AIMP3\AIMP3lib.dll
C:\WINDOWS\system32\shdocvw.dll
C:\WINDOWS\system32\CRYPT32.dll
C:\WINDOWS\system32\MSASN1.dll
C:\WINDOWS\system32\CRYPTUI.dll
C:\WINDOWS\system32\NETAPI32.dll
C:\WINDOWS\system32\WININET.dll
C:\WINDOWS\system32\WINTRUST.dll
C:\WINDOWS\system32\WLDAP32.dll
C:\Program Files\AIMP3\Modules\aimp_mediakeys.dll
C:\Program Files\AIMP3\Plugins\aimp_lastfm.dll
C:\Program Files\AIMP3\Plugins\Aorta.svp
C:\Program Files\AIMP3\Plugins\bass_aac.dll
C:\Program Files\AIMP3\Plugins\bass_ac3.dll
C:\Program Files\AIMP3\Plugins\bass_alac.dll
C:\Program Files\AIMP3\Plugins\bass_ape.dll
C:\Program Files\AIMP3\Plugins\bass_flac.dll
C:\Program Files\AIMP3\Plugins\bass_midi.dll
C:\Program Files\AIMP3\Plugins\bass_mpc.dll
C:\Program Files\AIMP3\Plugins\bass_spx.dll
C:\Program Files\AIMP3\Plugins\bass_tta.dll
C:\Program Files\AIMP3\Plugins\bass_wma.dll
C:\Program Files\AIMP3\Plugins\bass_wv.dll
C:\Program Files\AIMP3\Plugins\OptimFROG.dll
C:\Program Files\AIMP3\Plugins\PandemicAnalogMeter.dll
C:\Program Files\AIMP3\Plugins\tak_deco_lib.dll
C:\Program Files\AIMP3\Modules\aimp_update.dll
C:\Program Files\AIMP3\Modules\aimp_infobar.dll
C:\Program Files\AIMP3\Modules\basscd.dll
C:\Program Files\AIMP3\Modules\aimp_radiocat.dll
C:\Program Files\AIMP3\Modules\aimp_scheduler.dll
C:\WINDOWS\system32\wdmaud.drv
C:\WINDOWS\system32\msacm32.drv
C:\WINDOWS\system32\midimap.dll
C:\WINDOWS\system32\KsUser.dll
C:\WINDOWS\system32\dsdmo.dll

-= EOF =-

[/spoiler]

:filefind- szuka pliku na dysku zawierajacą wpisaną frazą w nazwie
przykładowy log ze skanowania na komendzie

:filefind
svchost.exe

[spoiler]

SystemLook 30.07.11 by jpshortstuff
Log created at 19:01 on 18/11/2012 by Conor
Administrator - Elevation successful

========== filefind ==========

Searching for "svchost.exe"
C:\WINDOWS\system32\svchost.exe --a---- 14336 bytes [12:00 15/04/2008] [12:00 15/04/2008] 8607D35D92528E2DF386F19A960D23CE
C:\WINDOWS\system32\dllcache\svchost.exe --a--c- 14336 bytes [12:00 15/04/2008] [12:00 15/04/2008] 8607D35D92528E2DF386F19A960D23CE

-= EOF =-

[/spoiler]

:folderfind - szuka folderu na dysku zawierajacą wpisaną frazą w nazwie
przykładowy log ze skanowania na komendzie

:folderfind
Sounds

[spoiler]

SystemLook 30.07.11 by jpshortstuff
Log created at 19:02 on 18/11/2012 by Conor
Administrator - Elevation successful

========== folderfind ==========

Searching for "Sounds"
C:\Sounds d------ [16:37 07/10/2012]
C:\Program Files\OpenOffice.org 3\Basis\share\gallery\sounds d------ [11:41 07/10/2012]

-= EOF =-

[/spoiler]

regfind - szuka w rejestrze wpisaną frazą
przykładowy log ze skanowania na komendzie

:regfind
OTL

[spoiler]

SystemLook 30.07.11 by jpshortstuff
Log created at 19:04 on 18/11/2012 by Conor
Administrator - Elevation successful

========== regfind ==========

Searching for "OTL"
[HKEY_CURRENT_USER\Software\Microsoft\VCExpress\10.0_Config\AD7Metrics\Exception\{449EC4CC-30D2-4032-9256-EE18EB41B62B}\Common Language Runtime Exceptions\System.Windows.Automation\System.Windows.Automation.ProxyAssemblyNotLoadedException]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"E:\infekcje leczenie\OTL.exe"="OTL"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VCExpress\10.0\AD7Metrics\Exception\{449EC4CC-30D2-4032-9256-EE18EB41B62B}\Common Language Runtime Exceptions\System.Windows.Automation\System.Windows.Automation.ProxyAssemblyNotLoadedException]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\015]
"Counter"="1 1847 2 System 4 Pamiąć 6 Czas procesora (%) 10 Operacje odczytu plików/s 12 Operacje zapisu plików/s 14 Operacje kontrolne na plikach/s 16 Odczyt plików w bajtach/s 18 Zapis plików w bajtach/s 20 Operacje na plikach w bajtach/s 24 Dostąpne bajty 26 Zadeklarowane bajty 28 Błądy stron/s 30 Limit deklaracji 32 Kopie zapisu/s 34 Błądy przejść/s 36 Błądy pamiąci podrącznej/s 38 Błądy żądań stron zerowych/s 40 Strony/s 42 Odczyty stron/s 44 Długość kolejki procesora 46 Stan wątku 48 Strony wychodzące/s 50 Zapisy stron/s 52 Przeglądarka 54 Anonsy do serwera/s 56 Bajty w puli stronicowanej 58 Bajty w puli niestronicowanej 60 Przydziały w puli stronicowanej 64 Przydziały w puli niestronicowanej 66 Bajty rezydentne puli stronicowanej 68 Całkowita liczba bajtów kodu systemowego 70 Bajty rezydentne kodu systemowego 72 Całkowita liczba bajtów sterowników systemowych 74 Bajty rezydentne sterowników systemowych 76 Bajty rezydentne sy
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\015]
"Help"="3 Obiekt wydajności System zawiera liczniki, które stosują sią do wiącej niż jednego wystąpienia procesorów składowych komputera. 5 Obiekt wydajności Pamiąć obejmuje wszystkie te liczniki, które opisują stan fizycznej i wirtualnej pamiąci komputera. Pamiąć fizyczna to pamiąć RAM dostąpna w komputerze. Pamiąć wirtualna to miejsce w pamiąci fizycznej i na dysku. Wiele liczników pamiąci monitoruje stronicowanie, czyli przenoszenie stron kodu i danych miądzy dyskiem a pamiącią fizyczną. Zbyt intensywne stronicowanie, bądące oznaką niedoboru pamiąci, może powodować opóźnienia wpływające na wszystkie procesy systemowe. 7 Licznik Czas procesora (%) przedstawia procent minionego czasu, jaki procesor zużywa do wykonania wątku czynnego. Wartość tą wylicza sią mierząc czas, przez który wątek bezczynny jest aktywny w badanym przedziale przykładowym, i odejmując ten czas od długości przedziału. (Każdemu procesorowi jest przydzielony wą
[HKEY_LOCAL_MACHINE\SOFTWARE\OldTimer Tools\OTL]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\MediaCategories\{DFF21CE7-F70F-11D0-B917-00A0C9223196}]
"Name"="Głośnik do efektów o niskiej cząstotliwości"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\MediaCategories\{DFF21CE7-F70F-11D0-B917-00A0C9223196}]
"Name"="Głośnik do efektów o niskiej cząstotliwości"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\MediaCategories\{DFF21CE7-F70F-11D0-B917-00A0C9223196}]
"Name"="Głośnik do efektów o niskiej cząstotliwości"
[HKEY_USERS\S-1-5-21-1417001333-1757981266-1606980848-1003\Software\Microsoft\VCExpress\10.0_Config\AD7Metrics\Exception\{449EC4CC-30D2-4032-9256-EE18EB41B62B}\Common Language Runtime Exceptions\System.Windows.Automation\System.Windows.Automation.ProxyAssemblyNotLoadedException]
[HKEY_USERS\S-1-5-21-1417001333-1757981266-1606980848-1003\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"E:\infekcje leczenie\OTL.exe"="OTL"

-= EOF =-

[/spoiler]

:assoc - wyświetla jakie programy podejmują akcją otworzenia wybranego pliku
przykładowy log ze skanowania na komendzie

:assoc
.mp4

[spoiler]

SystemLook 30.07.11 by jpshortstuff
Log created at 19:06 on 18/11/2012 by Conor
Administrator - Elevation successful

========== assoc ==========

.mp4
"C:\Program Files\VideoLAN\VLC\vlc.exe" --started-from-file "%1"

-= EOF =-

[/spoiler]

:contents- przepisuje zawartość wybranego pliku tekstowego
przykładowy log ze skanowania na komendzie

:contents
C:\Documents and Settings\Conor\Pulpit\SystemLoock.txt

[spoiler]

SystemLook 30.07.11 by jpshortstuff
Log created at 19:08 on 18/11/2012 by Conor
Administrator - Elevation successful

========== contents ==========

C:\Documents and Settings\Conor\Pulpit\SystemLoock.txt - Opened succesfully.

y?SystemLook 30.07.11 by jpshortstuff
Log created at 19:06 on 18/11/2012 by Conor
Administrator - Elevation successful

========== assoc ==========

.mp4
"C:\Program Files\VideoLAN\VLC\vlc.exe" --started-from-file "%1"

-= EOF =-

-= EOF =-

[/spoiler]

::env - wyświetla zmienne środowiskowe

:env - wyświetla gdzie prowadzi dana zmienna środowiskowa
przykładowy log ze skanowania na komendzie

:env
%systemroot%

[spoiler]

SystemLook 30.07.11 by jpshortstuff
Log created at 19:09 on 18/11/2012 by Conor
Administrator - Elevation successful

========== env ==========
%systemroot% = C:\WINDOWS

-= EOF =-

[/spoiler]