Zákeřný rootkit - poučky a antiviry selhávají,

[mac15]

Zdravím,

tak jsem po asi 10 letech chytnul vir, lépe řečeno rootkit, který má tu nádhernou vlastnost, že mi složí při startu, či těsně po startu normálních Windows XP. Modrá obrazovka a automatický restart. Můžu fungovat jen v safe modu. Avast, ani jiný antivir si s tímhle šmejdem zatím neporadil a nedokáže ho odstranit.

Identifikoval jsem ho jako VBO.Malware. Má dva soubory v adresáři \WIN\System32\drivers a to mpxez.sys a xzunywp.sys, které nelze smazat ani v safemodu, což je asi hlavní problém. Zároveň se objevuje v registrech odkud též nemůžu smazat záznam. Antirootkity selhávají jelikož většina z nich pracuje v normalním modu Windows.

Kde jakmile se spustí antivir či nějaká podobná utilita Windows v normálním modu selže.

Jak si s touto mrchou poradit?

[mac15]

Zde ještě ComboFix.

Hned v právních řádcích jsou vidět ty dva soubory


2010-08-07 17:55 . 2010-08-08 06:27 755712 ----a-w- c:\windows\system32\drivers\mpxez.sys
2010-08-07 17:54 . 2010-08-08 06:27 585472 ----a-w- c:\windows\system32\drivers\xzunywp.sys



ComboFix 10-08-07.01 - Administrator 08/08/2010 8:24.2.4 - x86 NETWORK
Microsoft Windows XP Professional 5.1.2600.3.1250.420.1033.18.3326.2938 [GMT 2:00]
Spuštěný z: c:\documents and settings\Administrator\Desktop\ComboFix.exe
FW: Outpost Firewall *enabled* {8A20CA2A-9E02-4A64-923B-0A38208EB7FD}
.

((((((((((((((((((((((((( Soubory vytvořené od 2010-07-08 do 2010-08-08 )))))))))))))))))))))))))))))))
.

2010-08-08 05:54 . 2006-08-25 08:38 5760 ------w- c:\windows\system32\SophosMEMSWEEP.SYS
2010-08-08 05:54 . 2010-08-08 05:54 -------- d-----w- C:\SOPHTEMP
2010-08-07 21:28 . 2010-08-07 21:28 -------- d-----w- c:\program files\Alwil Software
2010-08-07 20:53 . 2010-08-07 20:53 388096 ----a-r- c:\documents and settings\Administrator\Application Data\Microsoft\Installer\{0761C9A8-8F3A-4216-B4A7-B7AFBF24A24A}\HiJackThis.exe
2010-08-07 20:53 . 2010-08-07 20:53 -------- d-----w- c:\program files\TrendMicro
2010-08-07 20:19 . 2010-08-07 20:19 389120 ----a-w- c:\windows\system32\CF16824.exe
2010-08-07 19:41 . 2006-11-01 11:07 334720 ----a-w- c:\program files\RootkitRevealer.exe
2010-08-07 18:53 . 2010-08-07 18:53 -------- d-----w- c:\documents and settings\Administrator\Application Data\Malwarebytes
2010-08-07 18:53 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-08-07 18:53 . 2010-08-07 18:53 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-08-07 18:53 . 2010-08-07 18:53 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes
2010-08-07 18:53 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-08-07 17:55 . 2010-08-08 06:27 755712 ----a-w- c:\windows\system32\drivers\mpxez.sys
2010-08-07 17:54 . 2010-08-08 06:27 585472 ----a-w- c:\windows\system32\drivers\xzunywp.sys
2010-08-03 16:56 . 2010-08-03 16:56 -------- d-----w- c:\documents and settings\Administrator\Application Data\AccurateRip
2010-08-03 16:56 . 2010-08-03 16:56 15331 ----a-w- c:\windows\system32\SpoonUninstall-dBpoweramp Music Converter.dat
2010-08-03 16:56 . 2010-08-03 16:55 5653224 ----a-w- c:\windows\system32\SpoonUninstall.exe
2010-08-03 16:56 . 2010-08-03 16:56 -------- d-----w- c:\program files\IdBpoweramp
2010-08-03 16:51 . 2010-08-03 16:51 -------- d-----w- c:\documents and settings\All Users\Application Data\NCH Swift Sound
2010-08-03 16:50 . 2010-08-03 16:52 -------- d-----w- c:\program files\NCH Swift Sound
2010-08-03 16:50 . 2010-08-03 16:50 -------- d-----w- c:\documents and settings\Administrator\Application Data\NCH Swift Sound
2010-07-31 06:08 . 2010-07-31 07:30 -------- d-----w- c:\program files\Common Files\Blizzard Entertainment
2010-07-25 14:55 . 2010-07-25 14:55 2568656 ----a-w- c:\documents and settings\All Users\Application Data\NOS\Adobe_Downloads\install_flash_player.exe
2010-07-17 14:20 . 2010-08-08 05:49 -------- d-----w- c:\documents and settings\Administrator\Application Data\Tor
2010-07-17 14:20 . 2010-08-08 05:49 -------- d-----w- c:\documents and settings\Administrator\Application Data\Vidalia
2010-07-17 14:20 . 2010-07-17 14:20 -------- d-----w- c:\program files\Vidalia Bundle

.
(((((((((((((((((((((((((((((((((((((((( Find3M výpis ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-08-08 06:17 . 2010-02-19 22:06 -------- d-----w- c:\documents and settings\All Users\Application Data\Alwil Software
2010-08-08 05:50 . 2009-05-07 01:38 16608 ----a-w- c:\windows\gdrv.sys
2010-08-07 20:49 . 2009-05-09 07:04 -------- d-----w- c:\documents and settings\Administrator\Application Data\AIMP
2010-08-07 18:31 . 2010-01-04 22:35 -------- d-----w- c:\documents and settings\Administrator\Application Data\uTorrent
2010-08-07 15:51 . 2010-08-07 15:51 16 ----a-w- c:\documents and settings\NetworkService\Application Data\bawuho.dat
2010-08-07 15:35 . 2009-09-02 08:33 -------- d-----w- c:\program files\Opera
2010-08-07 14:56 . 2010-05-30 13:52 -------- d-----w- c:\documents and settings\Administrator\Application Data\vlc
2010-08-07 14:19 . 2009-05-07 08:20 218808 ----a-w- c:\windows\system32\PnkBstrB.exe
2010-08-07 12:47 . 2009-05-07 08:21 137256 ----a-w- c:\windows\system32\drivers\PnkBstrK.sys
2010-08-03 16:43 . 2009-12-19 10:37 -------- d-----w- c:\program files\Ashampoo Burning Studio 6 FREE
2010-07-31 06:03 . 2008-05-12 06:25 -------- d-----w- c:\program files\Alcohol 120
2010-07-30 14:34 . 2009-11-09 21:40 -------- d-----w- c:\documents and settings\All Users\Application Data\NOS
2010-07-20 14:06 . 2009-05-26 14:12 -------- d-----w- c:\documents and settings\Administrator\Application Data\dvdcss
2010-06-03 16:53 . 2009-05-19 09:47 1 ----a-w- c:\documents and settings\Administrator\Application Data\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2006-07-28 06:32 . 2010-08-07 19:41 7005 ----a-w- c:\program files\Eula.txt
2005-12-07 12:19 . 2010-08-07 19:41 102160 ----a-w- c:\program files\RootkitRevealer.chm
.

------- Sigcheck -------

[-] 2009-07-27 . A6A075B888DA96037B7089F54C16AA4A . 361600 . . [5.1.2600.5625] . . c:\windows\system32\drivers\tcpip.sys
[7] 2009-04-14 . 9AEFA14BD6B182D61E3119FA5F436D3D . 361600 . . [5.1.2600.5625] . . c:\windows\system32\dllcache\tcpip.sys
.
((((((((((((((((((((((((((((( SnapShot@2010-08-07_20.29.20 )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-08-07 20:53 . 2010-08-07 20:53 1093632 c:\windows\Installer\1f52b.msi
.
(((((((((((((((((((((((((((((((((( Spouštěcí body v registru )))))))))))))))))))))))))))))))))))))))))))))
.
.
*Poznámka* prázdné záznamy a legitimní výchozí údaje nejsou zobrazeny.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Vidalia"="c:\program files\Vidalia Bundle\Vidalia\vidalia.exe" [2010-05-25 5475403]
"TrueCrypt"="c:\program files\TrueCrypt\TrueCrypt.exe" [2010-04-02 1412552]
"GAINWARD"="c:\program files\EXPERTool\TBPanel.exe" [2009-03-17 2181672]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TkBellExe"="c:\program files\Common Files\Real\Update_OB\realsched.exe" [2009-08-29 198160]
"SunJavaUpdateSched"="c:\program files\Javaa\bin\jusched.exe" [2009-08-03 148888]
"RTHDCPL"="RTHDCPL.EXE" [2008-02-13 16857600]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-05-26 413696]
"OutpostMonitor"="c:\progra~1\Agnitum\OUTPOS~1\op_mon.exe" [2009-04-28 2374464]
"OutpostFeedBack"="c:\program files\Agnitum\Outpost Firewall\feedback.exe" [2009-04-28 428032]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2010-03-16 110696]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2010-03-16 13670504]
"JMB36X IDE Setup"="c:\windows\RaidTool\xInsIDE.exe" [2007-03-20 36864]
"GEST"="c:\program files\GIGABYTE\GEST\RUN.exe" [2007-12-14 236040]
"36X Raid Configurer"="c:\windows\system32\xRaidSetup.exe" [2007-08-29 1966080]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\LMIinit]
2009-09-28 18:34 87352 ----a-w- c:\windows\system32\LMIinit.dll

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\WINDOWS\\system32\\PnkBstrA.exe"=
"c:\\WINDOWS\\system32\\PnkBstrB.exe"=
"c:\\Program Files\\GIGABYTE\\GEST\\run.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\Electronic Arts\\Crytek\\Crysis\\Bin32\\Crysis.exe"=
"c:\\Program Files\\Electronic Arts\\Crytek\\Crysis\\Bin32\\CrysisDedicatedServer.exe"=
"c:\\Program Files\\uTorrent\\uTorrent.exe"=
"c:\\Program Files\\Steam\\steamapps\\common\\empire total war\\Empire.exe"=
"c:\\Games\\BattlefieldBD2\\BFBC2Updater.exe"=
"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)

R3 afw;Agnitum firewall driver;c:\windows\system32\drivers\afw.sys [12/31/2009 11:43 AM 31128]
S1 bcbus;BestCrypt bus driver;c:\windows\system32\DRIVERS\bcbus.sys --> c:\windows\system32\DRIVERS\bcbus.sys [?]
S1 SandBox;SandBox;c:\windows\system32\drivers\SandBox.sys [12/31/2009 11:44 AM 704384]
S2 acssrv;Agnitum Client Security Service;c:\progra~1\Agnitum\OUTPOS~1\acs.exe [12/31/2009 11:43 AM 1195008]
S2 LMIInfo;LogMeIn Kernel Information Provider;\??\c:\program files\LogMeIn\x86\RaInfo.sys --> c:\program files\LogMeIn\x86\RaInfo.sys [?]
S2 PDRJNDL;PDRJNDL;\??\t:\ss\Disk\PDRJNDL.SYS --> t:\ss\Disk\PDRJNDL.SYS [?]
S2 PRVDISK;PRVDISK;\??\t:\ss\Disk\PRVDISK.SYS --> t:\ss\Disk\PRVDISK.SYS [?]
S3 afwcore;afwcore;c:\windows\system32\drivers\afwcore.sys [12/31/2009 11:44 AM 257432]
S3 GEST Service;GEST Service for program management.;c:\program files\GIGABYTE\GEST\GSvr.exe [5/7/2009 3:39 AM 47624]
S3 MEMSWEEP2;MEMSWEEP2;c:\windows\system32\SophosMEMSWEEP.SYS [8/8/2010 7:54 AM 5760]
S3 PFU;PFU;c:\docume~1\ADMINI~1\LOCALS~1\Temp\PFU.exe --> c:\docume~1\ADMINI~1\LOCALS~1\Temp\PFU.exe [?]
S3 QIMICTAL;QIMICTAL;c:\docume~1\ADMINI~1\LOCALS~1\Temp\QIMICTAL.exe --> c:\docume~1\ADMINI~1\LOCALS~1\Temp\QIMICTAL.exe [?]
S3 tap0901_2gm;VPN Anonymizer Adapter;c:\windows\system32\drivers\tap0901_2gm.sys [6/21/2007 5:21 PM 30720]
S3 tapoas;TAP-Win32 Adapter OAS;c:\windows\system32\drivers\tapoas.sys [10/6/2009 10:27 AM 25984]
S3 vaxscsi;vaxscsi;c:\windows\system32\drivers\vaxscsi.sys [5/12/2008 8:25 AM 223128]
S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [5/12/2008 8:22 AM 611064]

--- Ostatní služby/ovladače v paměti ---

*Deregistered* - mpxez
*Deregistered* - xzunywp
.
.
------- Doplňkový sken -------
.
uStart Page = hxxp://google.com/
IE: Download all with Free Download Manager - file://c:\program files\Free Download Manager\dlall.htm
IE: Download selected with Free Download Manager - file://c:\program files\Free Download Manager\dlselected.htm
IE: Download video with Free Download Manager - file://c:\program files\Free Download Manager\dlfvideo.htm
IE: Download with Free Download Manager - file://c:\program files\Free Download Manager\dllink.htm
IE: E&xportovat do aplikace Microsoft Excel - c:\progra~1\MICROS~4\Office12\EXCEL.EXE/3000
FF - ProfilePath - c:\documents and settings\Administrator\Application Data\Mozilla\Firefox\Profiles\5inixtzu.default\
FF - prefs.js: browser.startup.homepage - www.google.com
FF - plugin: c:\program files\Javaa\bin\new_plugin\npdeploytk.dll
FF - plugin: c:\program files\Javaa\bin\new_plugin\npjp2.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\npFoxitReaderPlugin.dll

---- NASTAVENÍ FIREFOXU ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.lu", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nu", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nz", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--p1ai", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbayh7gpa", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.tel", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.proxy.type", 5);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.count", 24);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.size", 4096);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("dom.ipc.plugins.timeoutSecs", 45);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("accelerometer.enabled", true);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.nptest.dll", true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npswf32.dll", true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npctrl.dll", true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npqtplugin.dll", true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
.
------- Asociace souborů -------
.
.scr=AutoCADScriptFile
.
- - - - NEPLATNÉ POLOŽKY ODSTRANĚNÉ Z REGISTRU - - - -

MSConfigStartUp-avast5 - c:\progra~1\ALWILS~1\Avast5\avastUI.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-08-08 08:27
Windows 5.1.2600 Service Pack 3 NTFS

skenování skrytých procesů ...

skenování skrytých položek 'Po spuštění' ...

skenování skrytých souborů ...

sken byl úspešně dokončen
skryté soubory: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\mpxez]

--

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\xzunywp]

.
--------------------- ZAMKNUTÉ KLÍČE V REGISTRU ---------------------

[HKEY_USERS\S-1-5-21-1202660629-606747145-1801674531-500\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
@Allowed: (Read) (RestrictedCode)
@Allowed: (Read) (RestrictedCode)
"??"=hex:09,7f,dd,12,39,99,26,a8,04,66,d3,42,3d,4b,e5,c1,43,b6,f8,19,35,b2,2c,
56,2b,05,a9,60,3b,a3,e0,17,c6,97,5a,c5,30,73,60,51,0f,78,79,bf,98,02,b2,2f,\
"??"=hex:a1,5e,47,db,25,65,bb,27,8b,92,55,34,10,3f,d9,49

[HKEY_USERS\S-1-5-21-1202660629-606747145-1801674531-500\Software\SecuROM\License information*]
"datasecu"=hex:39,bd,ab,a9,a4,c5,8e,f3,f6,ca,ef,58,8e,a1,6e,da,13,9d,a3,ed,5b,
4d,77,e7,87,90,6e,54,58,4f,83,39,4e,09,b2,ce,3f,cd,e0,62,8d,fc,b2,7c,0c,83,\
"rkeysecu"=hex:75,34,44,1c,aa,2c,d6,38,23,a2,12,e8,2a,85,be,27
.
--------------------- Knihovny navázané na běžící procesy ---------------------

- - - - - - - > 'winlogon.exe'(1112)
c:\windows\system32\LMIinit.dll
.
Celkový čas: 2010-08-08 08:28:00
ComboFix-quarantined-files.txt 2010-08-08 06:27
ComboFix2.txt 2010-08-07 20:31

Před spuštěním: 57,019,625,472 bytes free
Po spuštění: 57,067,773,952 bytes free

WindowsXP-KB310994-SP2-Pro-BootDisk-CSY.exe
;
;Warning: Boot.ini is used on Windows XP and earlier operating systems.
;Warning: Use BCDEDIT.exe to modify Windows Vista boot options.
;
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /NOEXECUTE=OPTIN /FASTDETECT
C:\wubildr.mbr = "Ubuntu"

- - End Of File - - 681DD737C92A107160DF08E3E9D878E6

[mac15]

Tak jsem Vám to tu zbytečně zaprasil. Nakonec se mi podařilo spustit utilitku Avanger, která si již se smazáním těchto dvou záležitostí poradila. Nicméně, je zajímavé, že se mi včera nedařil tuto utilitku spustit v safe modu, a dneska ano. Vůbec nevím co jsem dělal před tím špatně.

[zombux]

já bych byl opatrnej, vidím tam toho víc než jen tyhle dva "ovladače"... třeba se mi nelíbí to co se spouští z Local Settings\Temp, to legitimní aplikace nedělá. je to prolezlé virama jak červotočem ale vyčistit to určitě jde.

jako problém bych viděl taky spoustu najednou nainstalovaných i spuštěných zabezpečení najednou, to je dost sebevražda, protože se ty programy mezi sebou perou...

[mac15]

Ano, po ještě další diagnostice jinými programy jsem byl upozorněn i na jiné červy, nicméně firewall jsem znovu překonfiguroval (chyba totiž byla na mé straně, povolil sem komunikaci, která být povolena neměla), a aktivní antiviry a antimallware programy používám jen při spuštění, případně vypnutí, takže by se snad "prát" neměly. Hlavní je, že jsem dostatečně zabojoval, a Windows dokázal znovu spustit. W7 jsou již na cestě, Mandriva běží v klidu, a já si můžu zavzpomínat, že naposledy, kdy jsem měl problém s virem/malwarem, je tak 10 let, kdy tu kovovou bednu dostal One.half.