Отправлено Make_Pic 12 марта 2005 г. 22:01

Оказался им троян, который не определяет ни одна из антивирусных программ (AVP, DRWEB, Norton AV) и не одна из адварных программ.
Запускаемое ядро живет в /Program Files/svhost32.exe, порождает процесс cvloc.dll и его прописывает в /SYSTEM32
Этот троян напрочь блокирует работу Outpost-а.

• :) А как же Вы жили с ним раньше? Не "мешал"?... — axsin   (12.03.2005 22:39, пустое)
  • Дык я на прошлой странице писал, что проблемы начались вчера с непонятной блокировкой работы Outpost — Make_Pic   (12.03.2005 22:47, пустое)
    • Я помню, помню. :) Хорошо хоть обнаружили причину. — axsin   (12.03.2005 22:51, пустое, ссылка)
  • Т.е. как-то сомнительно... — axsin   (12.03.2005 22:46, 120 байт)
    • Касперский последний, DRWEB последний, Norton база не очень. А чего удивляться? Я троянов до установки Outpost отлавливал через неделю новый, потом все кидал для коллекции в один каталог, дык вот (+) — Make_Pic   (12.03.2005 22:52, 227 байт)
      • а вы касперскому мылом отправляли свою коллекцию ? — DSN    (12.03.2005 22:55, 124 байт)
        • DRWEB овцам посылал. Они мне ответили, что троян не вирус и за всеми не уследишь :) — Make_Pic   (12.03.2005 22:58, пустое)
          • А это и не нужно. — Maxi   (12.03.2005 23:24, 139 байт)
        • Где ж Вы их находите?! :))) С фаерволлом, брандмаурем, обновлениями XP, и всё равно они на компе? — axsin   (12.03.2005 22:58, пустое)
          • это на работе было и не я его нашел — DSN    (12.03.2005 23:02, 382 байт)
          • Я же говорю - когда outpost не был установлен ! а XP SP1 firewall - то же что его нет:) — Make_Pic   (12.03.2005 23:00, пустое)
            • XP SP1 - это прошлый век. Более того, после SP2 (осеннего) вышла ещё целая Мегатонна критических (и прочих) обновлений! — axsin   (12.03.2005 23:05, 144 байт)
              • Не пользуюсь SP2 по причине, того, что последний требует и обновления прикладного софта! Понятно о чем я ? ;) — Make_Pic   (12.03.2005 23:11, пустое)
                • Ответ: — Дмитрий С.   (04.04.2005 11:26, 348 байт)
                • А то. :) — axsin   (12.03.2005 23:12, пустое)
• А сами файлы не убил? — Maxi   (12.03.2005 22:26, 79 байт)
  • см ниже ответ. — Make_Pic   (12.03.2005 22:36, пустое)
• Я-ж тебе говорил, - червей гонять надо... :) а что за файл такой svhost32 - это и есть вирусный файл? — alpha7   (12.03.2005 22:04, пустое)
  • И вообще-то, троян не должен был проникнуть сквозь фильтр Оутпоста... как нашел и чем вычислил, - опыт борьбы в студию... — alpha7   (12.03.2005 22:06, пустое)
    • Смотрел каждый запущенный процесс - какой файл запускается, где живет, у подозрительных просматривал вьювером код. Ну, svhost32.exe сразу насторожил своим именем. Лечение простое - остановить процесс svhost32, и прибить его местоположение и порождающий процесс в SYSTEM32 (кстати именно здесь и живет вся тварь) далее почистить реестр все что касается этих процессов. — Make_Pic   (12.03.2005 22:35, пустое)
      • Теперь дело за малым, - если зараза проникла не через фильтр Outpostа, (маловероятно, что через фильтр) - теперь найти и убить файл с зародышем червя... :) — alpha7   (12.03.2005 22:39, пустое)
        • Он и был svhost32.exe, а тварь которая шарила по компу и видимо блокировала outpost - svloc.dll поражденная svhost32.exe — Make_Pic   (12.03.2005 22:43, пустое)
          • я про тот файл, что прописал этот самый svhost32 в систему, - не сам же ты его туда занес :) если через файрволл проник - одно, если с каким-нибудь экзешником с дискет - совсем другое... может появиться вновь. (+) — alpha7   (12.03.2005 22:48, 244 байт)
            • Возможно и сфалом занес, сейчас не определить - буду начеку. — Make_Pic   (12.03.2005 22:55, пустое)
              • Ну типа с файлом ... ;) — Make_Pic   (12.03.2005 22:56, пустое)
    • а я говорил что AtGuard лучше всяких глючных постов и алармов — DSN    (12.03.2005 22:10, 56 байт)
      • svchost без 32 32 часть системы, а svchost32 - это и есть замаскированный вирусняк... :) — alpha7   (12.03.2005 22:15, пустое)
        • я наткнулся на SV гостя - svhost32.exe :) — Make_Pic   (12.03.2005 22:38, пустое)
        • я уж думал после доса вирусы опять начали внедрять в файлы — DSN    (12.03.2005 22:21, 147 байт)
      • дак я догадывался, что часть ОС, - в том-то и удивительно, - как он инфицируется и порождает ДЛЛ, - должен быть еще один независимый файл самого червя... — alpha7   (12.03.2005 22:13, пустое)
        • Все очень просто — Maxi   (12.03.2005 22:22, 836 байт)
          • а, блин.... я букву не заметил... — alpha7   (12.03.2005 22:26, пустое)
            • хотя стоп! ну нет с системе WINXP файла svchost32.exe - сами проверьте!!! svchost.exe есть, svchost32.exe - нету! у меня нету! вирусов у меня может, нету... :)))))))) — alpha7   (12.03.2005 22:29, пустое)
              • Ответ: Вирус — Deman   (29.07.2006 16:05 82.207.119.19, 83 байт)
        • вирусы под дос не пробовал писать ? или ты такую ОС не застал — DSN    (12.03.2005 22:16, 71 байт)
          • DOS rulezzz :) А я не в курсе, кстати — неужели под мастдай еще не написали quot;внедренцевquot;?   (12.03.2005 22:49, пустое)
          • есть файл svchost.exe в нормальной системе WINXP. Файла svchost32 там нет. Следовательно, этот файл и есть тело вируса-трояна. Логично? — alpha7   (12.03.2005 22:20, пустое)
            • не знаю, я в кишках форточек особо не копаюсь, проще с образа востановить. — DSN    (12.03.2005 22:23, пустое)