Вирус или ... ?

50

Vita

8 декабря 2006, 09:08

2448

У одной сотрудницы перестал работать Касперский. Полезли смотреть, что с ним случилось. В процессе его поиска на компе была обнаружена странная вещь: на диске С, помимо всего обычного и нужного, расположено под 2000 тысячи блокнотовских файлов под названиями типа "client105.log", "smtpthread1784.log". В них полная абра-катабра непонятная мне...

Например:

--------------------------------------------------
[12/05/06 11:59:45] ACE. Type - 0000, flags - 0000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] Sid: 0101 5000000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] User SYSTEM, domain NT AUTHORITY, rights 10000000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] ACE. Type - 0000, flags - 0000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] Sid: 0201 5000000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] User Администраторы, domain BUILTIN, rights A0020000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] ACE. Type - 0000, flags - 0000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] Sid: 0201 5000000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] User Администраторы, domain BUILTIN, rights 101FFFFF
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] ACE. Type - 0000, flags - 0000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] Sid: 0201 5000000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] User Пользователи, domain BUILTIN, rights 101FFFFF
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] ACE. Type - 0000, flags - 0000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] Sid: 0101 5000000
--------------------------------------------------

--------------------------------------------------
[12/05/06 11:59:45] User SYSTEM, domain NT AUTHORITY, rights 101FFFFF
--------------------------------------------------

Хотя есть и тексты:

-------------------------------------------------
12/06/06 11:11:17 Start SMTP sending thread : 00000934
--------------------------------------------------

--------------------------------------------------
12/06/06 11:11:35 ParseLetter. Letter after parsing.Buffer size: 20766
Buffer:

Received: from psw0 (jmptwzc3 [9.69.6.26])

by Igor (8.13.6/8.12.11) with SMTP id wzdgjmq8

for <rti@sandiego.edu>; Wed, 6 Dec 2006 06:58:01 +0300

(envelope-from hwangfrankf@amphicar.net)

Message-ID: <000b01c7190e$25cb1050$2702a8c0@Igor>

From: "yunit" <hwangfrankf@amphicar.net>

To: <joe_mcnabb@cchcs.org>

Subject: thanks for {%rot:1|2|3|4|5%} sec of ur time

Date: Wed, 6 Dec 2006 06:58:01 +0200

MIME-Version: 1.0

Content-Type: multipart/related;

type="multipart/alternative";

boundary="----=_NextPart_002_000B_01C7190E.25CB1050"

X-Priority: 3

X-MSMail-Priority: Normal

X-Mailer: Microsoft Outlook Express 6.00.1400.147

X-MimeOLE: Produced By Microsoft MimeOLE V6.00.400.047

This is a multi-part message in MIME format.

------=_NextPart_002_000B_01C7190E.25CB1050

Content-Type: multipart/alternative;

boundary= "----=_NextPart_001_000B_01C7190E.25CB1050"

------=_NextPart_001_000B_01C7190E.25CB1050

Content-Type: text/plain;

charset="us-ascii"

Content-Transfer-Encoding: quoted-printable

Vladyka prebyval v plohom Nastroenii.

Kak nadoevshaia kompiuternaia Igra, kotoruiu posle pobedonosnogo=20=

zaversheniia v zapale nachinaesh prohodit s Samogo nachala i vdru=

g osoznaesh, chto ona uzhe stala neinteresnoj.

Kazhdaia tochka na tele otzyvalas noiushchej sadniashchej boliu,=20=

i dazhe stol Neznachitelnoe dvizhenie zastavilo smorshchitsia.

------=_NextPart_001_000B_01C7190E.25CB1050

Content-Type: text/html;

charset="us-ascii"

Content-Transfer-Encoding: quoted-printable

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">

<HTML><HEAD>

<META http-equiv=3DContent-Type content=3D"text/html; charset=3Du=

s-ascii">

<META content=3D"MSHTML " name=3D"GENERATOR">

<STYLE></STYLE>

</HEAD>

<BODY>

<DIV>

<p><IMG alt=3D"" hspace=3D0 src=3D"cid:005601c71903$de9c9af0$3869=

5781@hwangfrankf" align=3Dbaseline border=3D0></p>

<DIV>

<br>

Vladyka prebyval v plohom Nastroenii.

<br>

Kak nadoevshaia kompiuternaia Igra, kotoruiu posle pobedonosnogo=20=

zaversheniia v zapale nachinaesh prohodit s Samogo nachala i vdru=

g osoznaesh, chto ona uzhe stala neinteresnoj.

<br>

Kazhdaia tochka na tele otzyvalas noiushchej sadniashchej boliu,=20=

i dazhe stol Neznachitelnoe dvizhenie zastavilo smorshchitsia.

</DIV></BODY></HTML>

Сотрудница в глаза не видела эти файлы раньше. Как я понимаю, это почтовые логи... Но почему они на С?

И Касперский не включается, гад :rolleyes:

149

vbz

8 декабря 2006, 09:19

#1

Vita:
У одной сотрудницы перестал работать Касперский. Полезли смотреть, что с ним случилось. В процессе его поиска на компе была обнаружена странная вещь: на диске С, помимо всего обычного и нужного, расположено под 2000 тысячи блокнотовских файлов под названиями типа "client105.log", "smtpthread1784.log". В них полная абра-катабра непонятная мне...
Например:

Хотя есть и тексты:

Сотрудница в глаза не видела эти файлы раньше. Как я понимаю, это почтовые логи... Но почему они на С?
И Касперский не включается, гад 🙄

поствьте семантику и будет Вам счастье:)

Печать визиток (http://www.media-serv.ru/content/pechat-vizitok)

50

Vita

8 декабря 2006, 09:26

#2

vbz:
поствьте семантику и будет Вам счастье:)

хм.. спорно это как-то, весьма :)

48

alagon2k

8 декабря 2006, 09:29

#3

НОД32 пробуйте..

вряд ли вируса в таком формате

возможно какойто софт все это вытворяет..:)

50

Vita

8 декабря 2006, 09:33

#4

alagon2k:
НОД32 пробуйте..
вряд ли вируса в таком формате
возможно какойто софт все это вытворяет..:)

НОД32 попробуем. Как только истечет лицензия Каспера.

Вопрос в том - какой софт вытворяет и как с этим бороться.

48

alagon2k

8 декабря 2006, 09:35

#5

зайдите просто в установленные программы, и всё, что вам не нужно (а если не знаете что за программа, полазьте, посмотрите что делает) - удаляйте

105

Santim

8 декабря 2006, 09:42

#6

А Каспер то какую ошибку выдает? ПОчему не запускается?

Установка НОДа врятли спасет Вас, тут личные предпочтения каждого той или иной системе анивируса.

Может быть это и какойнибудь почтовый червь, но наврятли они будут так открыто клонировать почтовые сообещния. Скорее всего Ваша сотрудница установила свой софт, который такое делает. Может это произошло и без её ведома. Но как видно из сообщения, с вашего адреса просто идет спам.

Ошибки системы можете посмотреть вот тут "Пуск -> выполнить -> eventvwr" Может там Каспер оставляет свои сбои и замечания.

P.S. Рекомендую пока отключить компьютер от сети, справиться с анивирусом и все просканировать, потом поставить дрйгой анивирус и просканить им. Если результата небудет, поставьте на машину фаервол и посомтрите уто к вам стучится и какие приложения от вас стучатся и тогда выловите проказчика. Есть утилита ещё AdAware советую всем сотрудникам поставить её и каждый день пользоваться ей.

eTarget 2011:Панельная дискуссия «Стратегия eTarget 2011: Круглый стол Могут ли «плохие» входящие

247

albion

8 декабря 2006, 09:45

#7

Зайдите вот сюда: http://www.microsoft.com/technet/sysinternals/Processesandthreadsutilities.mspx

Скачайте программы: autoruns и process explorer

Запустите autoruns и посмотрите, что у Вас сидит в автозагрузке, если есть неизвестные программы, то запускаем process explorer и останавливаем ненужные процессы, после заходим опять в autoruns и удаляем все ненужное из автозагрузки, записав все пути до запускаемых файлов. После собираем все файлы и отправляем косперскому newvirus @ kaspersky.com. В течении часа они ответят - вирус это или нет. Если вирус, то обновляйте антивирус и компьютер полностью на сканирование.

eTarget 2011:Панельная дискуссия «Стратегия eTarget 2011: Круглый стол Могут ли «плохие» входящие

105

Santim

8 декабря 2006, 10:04

#8

Зайдите вот сюда: http://www.microsoft.com/technet/sys...utilities.mspx

Скачайте программы: autoruns и process explorer

Зачем это все качать, когда стандартными средствами все можно посмотреть и увидеть.

Если вирус, то обновляйте антивирус и компьютер полностью на сканирование.

Как это представляете, если анивирус не запускается?

39

mediatime

8 декабря 2006, 10:08

#9

Santim:
Как это представляете, если анивирус не запускается?

Имелось ввиду скачать с сайта Касперского новую версию и переустановить ......

Меньше скажешь, раньше выйдешь

247

albion

8 декабря 2006, 10:12

#10

Santim:
Зачем это все качать, когда стандартными средствами все можно посмотреть и увидеть.

Как это представляете, если анивирус не запускается?

1. Стандартные средства не все показывают, а точнее почти ничего не показывают. У меня один раз грузился вирус через мелкософтовскую dllку.

За автозагрузку отвечают 25 ключей реестра + 2 папки автозагрузки, фал win.ini и task менеджер. Стандартные виндовые средства этого не показывают.

А по второму mediatime ответил.

eTarget 2011:Панельная дискуссия «Стратегия eTarget 2011: Круглый стол Могут ли «плохие» входящие

Как удалить плохие SEO-ссылки и очистить ссылочную массу сайта

Вышел новый Яндекс Браузер с YandexGPT и YandexART