Win32/Mebroot.K

[vokounek]

Provedeno

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x2546841 size 0x1ac !
copy of MBR has been found in sector 62 !



Zadny takovy drv soubor jsem nenasel, ani pres WinCmd

[JanH.]

zajimave poptam se radcu co to asi je.

zatim -> http://www.viry.cz/forum/viewtopic.php?t=11394

[vokounek]

Moc dik ...

[archeo]

to vokounek

http://www.eset.sk/buxus/generate_page. ... 688&lng=sk

Win32/Mebroot
Aliasy: Backdoor.Win32.Sinowal (Kaspersky), Trojan.Mebroot (Symantec), StealthMBR!mbr trojan (McAfee), BackDoor.MaosBoot (Dr. Web)
Typ infiltrácie: Trójsky kôň
Veľkosť: Premenlivá
Zasiahnuté platformy: Microsoft Windows
Verzia vírusovej databázy: 2793 (20080115)
Krátky popis: Win32/Mebroot je trójsky kôň, ktorý inštaluje malware s názvom Win32/PSW.Sinowal. Trójsky kôň maskuje svoju prítomnosť v systéme. Používa techniky bežné v rootkitoch.

Inštalácia
Systém je zvyčajne nepozorovane infikovaný počas prehliadania kompromitovanej webstránky.

Inštalačný program infiltrácie je spustený po zneužití bezpečnostnej chyby vo webovom prehliadači.

Win32/Mebroot nahrádza pôvodný MBR (Master Boot Record) pevného disku vlastným programovým kódom a navyše zapisuje dodatočný kód, ktorý zavedie a v pamäti zmodifikuje nasledovné súbory:

ntoskrnl.exe


Získavanie údajov
Win32/Mebroot je trójsky kôň, ktorý inštaluje malware s názvom Win32/PSW.Sinowal.

Win32/PSW.Sinowal je trójsky kôň, ktorý získava heslá a iné citlivé informácie.

Trójsky kôň dokáže zaznamenávať stlačené klávesy. Trójsky kôň dokáže odoslať informácie na vzdialený počítač.


Iné informácie
Trójsky kôň dokáže stiahnuť a spustiť súbor z Internetu. Možno ho na diaľku ovládať

[JanH.]

takze podle rady...

Ten zbytek co tam je by mel byt neskodny a vic se delat neda. Maximalne naformatovat disk. Jeste skuste neco procistit a vlozte log z Hjt.

[vokounek]

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:26:32, on 2.9.2008
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Smart Security\ekrn.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\OmniBack\bin\omniinet.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Smart Security\egui.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Miranda\miranda32.exe
C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe
C:\Program Files\Outlook Express\msimn.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
C:\Program Files\WinCmd\WinCmd32.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Notes\NLNOTES.EXE
C:\Program Files\Notes\ntaskldr.EXE
c:\Program Files\HNetInfo\HServer\HServer.exe
C:\Program Files\NetMeeting\conf.exe
C:\WINDOWS\System32\rundll32.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Putty\putty.exe
c:\Temp\HijackThis.exe
C:\Program Files\Putty\putty.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy2.datis.cdrail.cz:80
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost;10.*;*.cdrail.cz;*.cd.cz;*.cdtel.cz;*.testcdtel.cz;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Odkazy
O1 - Hosts: 236.129.122.35 webora
O1 - Hosts: 171.30.36.138 ftp_sj
O1 - Hosts: 171.30.36.122 ftp_fs
O1 - Hosts: 171.30.36.171 ftp_sl
O1 - Hosts: 171.30.36.163 ftp_sk
O1 - Hosts: 171.30.36.89 ftp_fr
O1 - Hosts: 171.30.36.99 ftp_be
O1 - Hosts: 171.30.36.100 ftp_be_pro
O1 - Hosts: 171.30.36.187 ftp_sp
O1 - Hosts: 171.30.36.114 ftp_db_pro
O1 - Hosts: 171.30.36.115 ftp_db
O1 - Hosts: 171.30.36.109 ftp_sw
O1 - Hosts: 171.30.36.110 ftp_sw_pro
O1 - Hosts: 171.30.36.249 ftp_obb
O1 - Hosts: 171.30.36.209 ftp_mav
O1 - Hosts: 171.30.36.210 ftp_mav_pro
O1 - Hosts: 171.30.36.234 ftp_isr
O1 - Hosts: 171.30.36.236 ftp_isr_pro
O1 - Hosts: 171.30.36.228 ftp_icf
O1 - Hosts: 171.30.36.229 ftp_icf_pro
O1 - Hosts: 171.30.36.148 ftp_dsb
O1 - Hosts: 171.30.36.150 ftp_dsb_pro
O1 - Hosts: 171.30.36.131 ftp_nl
O1 - Hosts: 171.30.36.130 ftp_nl_pro
O1 - Hosts: 171.30.36.75 ftp_gb
O1 - Hosts: 171.30.36.76 ftp_gb_pro
O1 - Hosts: 171.30.36.157 ftp_obb_a40
O1 - Hosts: 194.172.80.140 ftp_db_a40
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_12\bin\ssv.dll
O3 - Toolbar: &Rádio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [egui] "C:\Program Files\Smart Security\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\RunOnce: [!CleanupNetMeetingDispDriver] "C:\WINDOWS\System32\rundll32.exe" msconf.dll,CleanupNetMeetingDispDriver 0
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MirandaIM] "c:\Program Files\Miranda\miranda32.exe" "c:\Program Files\Miranda\user"
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Outlook Express.lnk = C:\Program Files\Outlook Express\msimn.exe
O4 - Startup: Vyroci.lnk = C:\Program Files\Vyroci\Vyroci.exe
O8 - Extra context menu item: E&xportovat do aplikace Microsoft Office Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_12\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_12\bin\ssv.dll
O9 - Extra button: Zdroje informací - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: iLO 2 Remote Console Applet - https://10.28.16.71/dvc.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{2B3C7655-DAB3-430E-9AD1-CB26C36A34D7}: NameServer = 10.28.12.23,10.28.17.6
O17 - HKLM\System\CS1\Services\Tcpip\..\{2B3C7655-DAB3-430E-9AD1-CB26C36A34D7}: NameServer = 10.28.12.23,10.28.17.6
O17 - HKLM\System\CS2\Services\Tcpip\..\{2B3C7655-DAB3-430E-9AD1-CB26C36A34D7}: NameServer = 10.28.12.23,10.28.17.6
O23 - Service: Eset HTTP Server (EhttpSrv) - Unknown owner - C:\Program Files\Smart Security\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\Smart Security\ekrn.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Data Protector Inet (omniInet) - Hewlett-Packard - C:\Program Files\OmniBack\bin\omniinet.exe

--
End of file - 6584 bytes

[JanH.]

toto znate?

O1 - Hosts: 236.129.122.35 webora
O1 - Hosts: 171.30.36.138 ftp_sj
O1 - Hosts: 171.30.36.122 ftp_fs
O1 - Hosts: 171.30.36.171 ftp_sl
O1 - Hosts: 171.30.36.163 ftp_sk
O1 - Hosts: 171.30.36.89 ftp_fr
O1 - Hosts: 171.30.36.99 ftp_be
O1 - Hosts: 171.30.36.100 ftp_be_pro
O1 - Hosts: 171.30.36.187 ftp_sp
O1 - Hosts: 171.30.36.114 ftp_db_pro
O1 - Hosts: 171.30.36.115 ftp_db
O1 - Hosts: 171.30.36.109 ftp_sw
O1 - Hosts: 171.30.36.110 ftp_sw_pro
O1 - Hosts: 171.30.36.249 ftp_obb
O1 - Hosts: 171.30.36.209 ftp_mav
O1 - Hosts: 171.30.36.210 ftp_mav_pro
O1 - Hosts: 171.30.36.234 ftp_isr
O1 - Hosts: 171.30.36.236 ftp_isr_pro
O1 - Hosts: 171.30.36.228 ftp_icf
O1 - Hosts: 171.30.36.229 ftp_icf_pro
O1 - Hosts: 171.30.36.148 ftp_dsb
O1 - Hosts: 171.30.36.150 ftp_dsb_pro
O1 - Hosts: 171.30.36.131 ftp_nl
O1 - Hosts: 171.30.36.130 ftp_nl_pro
O1 - Hosts: 171.30.36.75 ftp_gb
O1 - Hosts: 171.30.36.76 ftp_gb_pro
O1 - Hosts: 171.30.36.157 ftp_obb_a40
O1 - Hosts: 194.172.80.140 ftp_db_a40


jestli ne:

podle tohoto navodu si vycisti hosts soubor :

http://www.viry.cz/forum/viewtopic.php?t=2782

jinak log z hjt je cisty.

[vokounek]

Thx za pomoc

[Ondras]

Zdravim, tak se mi dnes do pc natahl smejd
Win32/Mebroot.K
koukl jsem se sem, nasel jsem tohle tema a jak radi uzivatel merlin.fel stahl jsem program Dr.Web cureIT, programek se spustil, udelal kontrolu, vir vycistil a je po problemu! DEKUJI za radu

[stell]

ja si dovolim o tom polemizovat ze WEBCUREIT odstranil MEBROOT,k,ano z pamati,len pre zaujimavost spust tento program

táhněte MBR - http://www2.gmer.net/mbr/mbr.exe ulož ho na plochu>spust > vytvoří se log mbr.log, vložte ho celý sem.

[lukyluk]

Ahoj,
jak radí Stell. Dr.Web cureit je jen jeden z pomocníků. Já sám jsem strávil čištěním logu z mbr.exe minimálně několik týdnů za použití alespoň deseti programů. Nakonec (po odstranění viru samotného) pomohla pouze přímá editace sektorů disku. Vše je popsáno v rozsáhlé diskuzi výše. Neexistuje jedno jednoduché řešení, postup je složitý. Pevné nervy - vždy se dá koupit nový HDD

[Consolero]

Pripadne vice HDD jako je tomu u me. Ja ho tam stale mam, ale uz nijak nesleduji ze by neco delal, nejak se sklidnil Ale ty sectory to bych skusil pokud by byl nekdo hodny a dal primej odkaz na stranku kde se o tom da docist ? Predem mocX dekuji.

[stell]

zdravim
najprv vloz sem mbr.exe log.

stáhněte MBR - http://www2.gmer.net/mbr/mbr.exe ulož ho na plochu>spust > vytvoří se log mbr.log, vložte ho celý sem.

[Ondras]

no tak ho mam v pc asi porad... casto se mi pocitac celej sekne, takze pomuze akorat tvrdej restart... a navic mam 2 disky, ten druhej jako Ultra ATA myslim, v tom supliku a kdyz jsem dneska zapnul pc, tak mi tento disk nenajel

[stell]

pred Tvojim prispevkom som napisal ze co mas spravit,vloz sem log z mbr.exe.