Win Server 2003 prawdopodobie ZeroAccess cd.

[abraham2ooo]

W zeszłym tygodniu odwirusowaliśmy jeden komputer, ale używany był w szkole i mam kolejne przypadki dziwnych zachowań. Najgorsza jest infekcja Win 2003 Server, ale nie do końca mogę stwierdzić co to jest. Po zalogowaniu widziałem przez chwilę Avirę (jest na wszystkich kompacha ta sama, bo szkoła ma wersję edukacjyjną) i później sama się wyłącza, przeprowadzana reinstalacja oczywiście nic nie daje. Zacząłem skanować Gmerem, po odpaleniu dostałem informację, że coś wykrył i czy zrobić pełny skan systemu, chwilę później dostałem BSODa z memory dump. Więcej nie kombinowałem, bo serwer uruchamia się ok godziny i nie miałem czasu. Moje pytanie jest takie, czy mam postępować tak jak przy zwykłym systemie, czy np. ComboFixem mogę wyrządzić większe szkody na systemie serwerowym?

[Landuss]

Zacząłem skanować Gmerem, po odpaleniu dostałem informację, że coś wykrył i czy zrobić pełny skan systemu, chwilę później dostałem BSODa z memory dump.

 

Próbowałeś w trybie awaryjnym?

 

Moje pytanie jest takie, czy mam postępować tak jak przy zwykłym systemie, czy np. ComboFixem mogę wyrządzić większe szkody na systemie serwerowym?

 

Ale po co ComboFix? Kto ci go każe używać? Na pewno nie każą tak zasady tego działu. Przeczytaj je jeszcze raz i załącz raporty z OTL

[abraham2ooo]

Niestety nie próbowałem w trybie awaryjmym, spróbuję w środę jak będę miał dostęp do maszyny. ComboFix używam na własną odpowiedzialność, ale nie robiłem tego jeszcze na systemach serwerowych, więc o to pytam, bo chcę wiedzieć na przyszłość. Resztę raportów dołączę jak tylko uzyskam raport z Gmera,czyli między świętami.

 

PS. Przy poprzednik kompie pomagała picasso w tym temacie.

[picasso]

ComboFix używam na własną odpowiedzialność, ale nie robiłem tego jeszcze na systemach serwerowych, więc o to pytam, bo chcę wiedzieć na przyszłość.

 

ComboFix to pewnie się nawet nie uruchomi, kompatybilność z systemami klienckimi a nie serwerowymi, narzędzie wykonuje detekcje identyfikatora platformy.

 

Jak mówimy: raporty są potrzebne, a nie uruchamianie ComboFix w ciemno, bo nawet nie wiadomo co jest w w systemie. Jeżeli GMER nawet w awaryjnym padnie, to przynajmniej dostarcz raport z Kaspersky TDSSKiller (wszelkie ewentualne detekcje ustaw na Skip).

 

 

 

.

[abraham2ooo]

Trochę to trwało, ale w końcu dotarłem do sprzętu. Gmer nadal powoduje bsod, tak w normalnym trybie, jak i awaryjnym, ale szczątkowy skan zapisałem. Oba programy, Gmer i TDSSKiller, pokazują zainfekowany plik SBCore, ale nie wiem jaka to infekcja. Logi załączam.

gmer.txt

tdss.txt

[picasso]

To co widzą GMER i TDSSKiller to usługa systemowa Windows Server 2003 (KLIK / KLIK), pokazana w obu narzędziach, gdyż jest zablokowany do niej dostęp. Powód blokady nie jest znany (może np. brak uprawnień), niekoniecznie to jest infekcja.

 

Przedstaw mi na jakiej podstawie wykazałeś infekcję na tej platformie serwerowej, jakie są podstawy do jej szukania.

 

 

 

.

[abraham2ooo]

Na serwerze zainstalowana jest Avira. Po zalogowaniu, w trayu widać ikonkę Aviry z wykrzyknikiem i po kliknięciu jej, w głównym oknie av widać, że ochrona jest wyłączona, nie można jej włączyć, przycisk jest nieaktywny lub po najechaniu myszką ikona w trayu znika i w menadżerze zadań nie ma uruchomionego żadnego procesu Aviry. Nie pomaga żadna reinstalacja. Wcześniej Avira działała tam 3 lata bez problemu.