Подскажите как защититься

kizhand · 15 Aug 2010

[LeaL_NoFiE] said:

Запусти RKU, перейди на вкладку 'отчет', и подожди пока утилита будет искать следы компрометации системы, затем просто скопируй отчет в топик.
Click to expand...

5 часть...

>Stealth ============================================== WARNING: File locked for read access [C:\WINDOWS\system32\drivers\sptd.sys] ============================================== >Files ============================================== ============================================== >Hooks ============================================== IDT-->Int 01h-->DEBUG TRAP, Type: IDT modification[BA59C541] [ati2mtag.sys] IDT-->Int 03h-->Breakpoint, Type: IDT modification[BA59C5E7] [ati2mtag.sys] IDT-->Int 06h-->Invalid Opcode, Type: IDT modification[AB57B16D] [Haspnt.sys] IDT-->Int 0Eh-->Page Fault, Type: IDT modification[AB57AFC2] [Haspnt.sys] Key object-->ParseProcedure, Type: Kernel Object [dwprot.sys] LpcPort object-->OpenProcedure, Type: Kernel Object [dwprot.sys] ntoskrnl.exe+0x00004AA2, Type: Inline - RelativeJump 0x804DBAA2-->804DBAA9 [ntoskrnl.exe] ntoskrnl.exe+0x0000B9AB, Type: Inline - RelativeJump 0x804E29AB-->804E299D [ntoskrnl.exe] ntoskrnl.exe+0x0000B9F0, Type: Inline - RelativeJump 0x804E29F0-->804E29F9 [ntoskrnl.exe] ntoskrnl.exe+0x0000BAA3, Type: Inline - RelativeJump 0x804E2AA3-->804E2AFF [ntoskrnl.exe] ntoskrnl.exe-->KeFindConfigurationNextEntry, Type: Inline - RelativeJump 0x806AA4E4-->806AA50F [ntoskrnl.exe] Process object-->DeleteProcedure, Type: Kernel Object [dwprot.sys] [1024]winlogon.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1024]winlogon.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1024]winlogon.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1024]winlogon.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [1044]GoogleCrashHandler.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1044]GoogleCrashHandler.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1044]GoogleCrashHandler.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1044]GoogleCrashHandler.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [1068]services.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1068]services.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1068]services.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1068]services.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [1088]lsass.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1088]lsass.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1088]lsass.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1088]lsass.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [132]svchost.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [132]svchost.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [132]svchost.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [132]svchost.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [1360]svchost.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1360]svchost.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1360]svchost.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1360]svchost.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [1412]wmagent.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1412]wmagent.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1412]wmagent.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1412]wmagent.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [1468]svchost.exe-->user32.dll--
Click to expand...

kizhand · 15 Aug 2010

Последняя - 6 часть...

>ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1468]svchost.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1468]svchost.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1468]svchost.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [1632]svchost.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1632]svchost.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1632]svchost.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1632]svchost.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [1640]ps.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1640]ps.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1640]ps.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1640]ps.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [1708]SMAgent.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1708]SMAgent.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1708]SMAgent.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1708]SMAgent.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [1848]svchost.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1848]svchost.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1848]svchost.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1848]svchost.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [192]IEXPLORE.EXE-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [192]IEXPLORE.EXE-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [192]IEXPLORE.EXE-->user32.dll-->DialogBoxIndirectParamA, Type: Inline - RelativeJump 0x7E3A6D7D-->00000000 [ieframe.dll] [192]IEXPLORE.EXE-->user32.dll-->DialogBoxIndirectParamW, Type: Inline - RelativeJump 0x7E382072-->00000000 [ieframe.dll] [192]IEXPLORE.EXE-->user32.dll-->DialogBoxParamA, Type: Inline - RelativeJump 0x7E38B144-->00000000 [ieframe.dll] [192]IEXPLORE.EXE-->user32.dll-->DialogBoxParamW, Type: Inline - RelativeJump 0x7E3747AB-->00000000 [ieframe.dll] [192]IEXPLORE.EXE-->user32.dll-->MessageBoxExA, Type: Inline - RelativeJump 0x7E3A085C-->00000000 [ieframe.dll] [192]IEXPLORE.EXE-->user32.dll-->MessageBoxExW, Type: Inline - RelativeJump 0x7E3A0838-->00000000 [ieframe.dll] [192]IEXPLORE.EXE-->user32.dll-->MessageBoxIndirectA, Type: Inline - RelativeJump 0x7E38A082-->00000000 [ieframe.dll] [192]IEXPLORE.EXE-->user32.dll-->MessageBoxIndirectW, Type: Inline - RelativeJump 0x7E3B64D5-->00000000 [ieframe.dll] [192]IEXPLORE.EXE-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [192]IEXPLORE.EXE-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [1996]BTNtService.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [1996]BTNtService.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [1996]BTNtService.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [1996]BTNtService.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [2016]svchost.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [2016]svchost.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [2016]svchost.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [2016]svchost.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [2040]svchost.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [2040]svchost.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [2040]svchost.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [2040]svchost.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [2124]opera.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [2124]opera.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [2124]opera.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [2124]opera.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [280]spoolsv.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [280]spoolsv.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [280]spoolsv.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [280]spoolsv.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [312]SMTray.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [312]SMTray.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [312]SMTray.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [312]SMTray.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [3936]mstsc.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [3936]mstsc.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [3936]mstsc.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [3936]mstsc.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [396]UnlockerAssistant.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [396]UnlockerAssistant.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [396]UnlockerAssistant.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [396]UnlockerAssistant.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [900]explorer.exe-->shell32.dll-->SHFileOperationW, Type: Inline - RelativeJump 0x7CA7083C-->00000000 [UnlockerHook.dll] [900]explorer.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [900]explorer.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [900]explorer.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [900]explorer.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] [964]magent.exe-->user32.dll-->ChangeDisplaySettingsExA, Type: Inline - RelativeJump 0x7E37384E-->00000000 [wl_hook.dll] [964]magent.exe-->user32.dll-->ChangeDisplaySettingsExW, Type: Inline - RelativeJump 0x7E3A95BD-->00000000 [wl_hook.dll] [964]magent.exe-->user32.dll-->SetForegroundWindow, Type: Inline - RelativeJump 0x7E3742ED-->00000000 [wl_hook.dll] [964]magent.exe-->user32.dll-->SetWindowPos, Type: Inline - RelativeJump 0x7E3799F3-->00000000 [wl_hook.dll] !!POSSIBLE ROOTKIT ACTIVITY DETECTED!! =)
Click to expand...

[LeaL_NoFiE] · 15 Aug 2010

Ничего себе у тебя софта. Я просмотрел отчеты, чуть глаза не сломал, вроде нет ничего подозрительного, подавляющее число перехватов установленно Dr.Web и Outpost Firewall, скрытих процессов нет, скрытых, или неподписанных драйверов вроде тоже нет, сложно сказать, как ушли твои явки и пароли, возможно человек, что угнал твои данные просто удалил малварь которую использовал, и оставил бекдор в виде сервиса управления робочим столом. Больше ничем помочь не могу.

kizhand · 15 Aug 2010

[LeaL_NoFiE] said:

Ничего себе у тебя софта. Я просмотрел отчеты, чуть глаза не сломал, вроде нет ничего подозрительного, подавляющее число перехватов установленно Dr.Web и Outpost Firewall, скрытих процессов нет, скрытых, или неподписанных драйверов вроде тоже нет, сложно сказать, как ушли твои явки и пароли, возможно человек, что угнал твои данные просто удалил малварь которую использовал, и оставил бекдор в виде сервиса управления робочим столом. Больше ничем помочь не могу.
Click to expand...

Спасиб за помощь. Он кстати удалил все папки и файлы с паролями...

[LeaL_NoFiE] · 15 Aug 2010

У тебя пароли хранились в текстовых файлах ? Лучше записывай на бумажке если запомнить не можешь Да собственно говоря, незачто

BrainDeaD · 15 Aug 2010

наверное не ошибусь, если предположу, что ТС юзает ХР.

[LeaL_NoFiE] · 15 Aug 2010

наверное не ошибусь, если предположу, что ТС юзает ХР.
Click to expand...

Да. Если внимательно просмотреть логи, которые представил на обозрение ТС, то можно много узнать о софте,железе которым пользуеться ТС. Даже имя текущего пользователя системы засвеченно

kizhand · 15 Aug 2010

[LeaL_NoFiE] said:

У тебя пароли хранились в текстовых файлах ? Лучше записывай на бумажке если запомнить не можешь Да собственно говоря, незачто
Click to expand...

Во-первых там паролей целая куча была - не запомнишь))
Во-вторых там не только пароли были(((

[LeaL_NoFiE] · 15 Aug 2010

Во-первых там паролей целая куча была - не запомнишь))
Click to expand...

Ясно. Тогда это мог быть любой человек который сидел за твоим компьютером А удалил скорее всего в надежде что когда тебе понадобяться данные сервисы ты в них просто незайдешь и соответственно не заметишь компрометации учетных записей...

BrainDeaD · 15 Aug 2010

[LeaL_NoFiE] said:

Да. Если внимательно просмотреть логи, которые представил на обозрение ТС, то можно много узнать о софте,железе которым пользуеться ТС. Даже имя текущего пользователя системы засвеченно
Click to expand...

в таком случае всё становится ясно. на семёрке такие фокусы было бы в разы сложнее осуществить.

emomasson · 26 Aug 2010

топикстартер: netstat -r в студию!

black_berry · 26 Aug 2010

Пожалуй, добавлю.

Если к тебе не поступало угроз о том что твои пароли будут удалены, и не поступало предложений вернуть твои файлы обратно за деньги, человек это сделал не в целях что-то получить от тебя, а чтобы просто навредить тебе. На будущее могу посоветовать хранить пароли либо в самописном password-менеджере, либо на зашифрованном разделе флешки. Чтобы не получилось так, как у тебя можно сделать так: сделал архив паролей, обновляешь его каждые 2-3 дня, сохраняешь в зашифрованный RAR или ZIP под AES-256, можно JAR или BH на худой конец. Потом используешь сервис для мультизагрузки файлов на файлообменники, просто записываешь ссылки что сгенерены и в случае критической утери скачиваешь свой же файл с паролями. Ссылки никому не говоришь, а даже если скажешь при условии что вбил нормальный пароль на архив - за разумный промежуток времени никто не будет заниматься брутом.

Делай резервные копии когда система работает наиболее стабильно. Если винчестеров много и объем большой, делай копии каждый месяц или неделю. Потом не будешь париться с такими проблемами.

Как вариант с червяком, твой червь могли криптануть приватным криптором, от чего он не виден антивирусами. От этого никто не застрахован.

kampe · 29 Aug 2010

мдааа... история. раз есть тырнет сразу outpost воткнул бы и не было бы проблем, если только через удалённый доступ сломали. Да и при малейщем шорохе он орёт.

Подскажите как защититься

kizhand Banned

kizhand Banned

[LeaL_NoFiE] New Member

kizhand Banned

[LeaL_NoFiE] New Member

BrainDeaD Elder - Старейшина

[LeaL_NoFiE] New Member

kizhand Banned

[LeaL_NoFiE] New Member

BrainDeaD Elder - Старейшина

emomasson Member

black_berry Active Member

kampe New Member

Useful Searches

Подскажите как защититься

kizhand Banned

kizhand Banned

[LeaL_NoFiE] New Member

kizhand Banned

[LeaL_NoFiE] New Member

BrainDeaD Elder - Старейшина

[LeaL_NoFiE] New Member

kizhand Banned

[LeaL_NoFiE] New Member

BrainDeaD Elder - Старейшина

emomasson Member

black_berry Active Member

kampe New Member