» Symantec Norton Internet Security - NIS

vlkremnev
У тебя троян 200%. Нету у Нис такого алерта.. Скорее всего НИС уже убит... флеш-плеер обновил небось, с фейка?
http://virusinfo.info/showthread.php?t=103396

Качаем FAR http://www.farmanager.com/files/Far20b1807.x86.20110203.msi
Качаем AVZ http://z-oleg.com/avz4.zip
Качаем Malwarebytes Anti-Malware http://download.cnet.com/Malwarebytes-Anti-Malware/3000-8022_4-10804572.html

Ctrl+alt+del - убиваем служебные программы, которые запущенны от пользователя (Вроде Srvservice и svvhost)
FAR`ом - заходим в папочку Windows и ПЕРЕМЕЩАЕМ на рабочий стол две скрытые папки Update1 Update2
Запускаем AVZ, заходим в службы
Убиваем службу xWpDrivers (Сервис - Диспетчер служб и драйверов), и смотрим дальше, все подозрительные службы, которые выделены черным цветом, тоже убиваем.
Заходим в Автозагрузку (Сервис - Менеджер Автозапуска) И убиваем все левые пути автозагрузки, они почти все будут идти из папки Windows
Перезагружаем.
Удаляем две папочки Update, которые мы раньше перекинули на рабочий стол.
Запускаем Проверку AVZ и Malwarebytes Anti-Malware.

предполагаемый список зараженных файлов:

c:\\windows\\aadrive32.exe - Trojan.MSIL.Crypt.dq
C:\\WINDOWS\\jodrive32.exe - Trojan.MSIL.Crypt.ej
C:\\WINDOWS\\l1rezerv.exe - Trojan.Win32.Scar.dzcv
c:\\windows\\system32\\ac32.exe - Backdoor.Win32.VB.npc
C:\\WINDOWS\\system32\\bsysmgr.exe - P2P-Worm.Win32.Palevo.cnqn
C:\\WINDOWS\\system32\\Tarantula.cpl - подозрительный,
C:\\WINDOWS\\system32\\40.exe - Trojan.MSIL.Crypt.ej
C:\\WINDOWS\\system32\\42.exe - подозрительный,
C:\\WINDOWS\\system32\\72.exe - подозрительный,
C:\\WINDOWS\\system32\\78.exe - подозрительный,
C:\\WINDOWS\\system32\\86.exe - Trojan.MSIL.Crypt.do
C:\\Documents and Settings\\user\\Application Data\\46.tmp - Trojan-Downloader.Win32.Small.bzua
C:\\Documents and Settings\\user\\Application Data\\47.tmp - Trojan-Downloader.Win32.Small.bztz
C:\\WINDOWS\\l1rezerv.exe - Trojan.Win32.Scar.dzcv
C:\\WINDOWS\\system32\\40.exe - Trojan.MSIL.Crypt.ej
C:\\WINDOWS\\system32\\42.exe - подозрительный,
C:\\WINDOWS\\system32\\72.exe - подозрительный,
C:\\WINDOWS\\system32\\78.exe - подозрительный,
C:\\WINDOWS\\system32\\86.exe - Trojan.MSIL.Crypt.do

NAV не панацея от троянов (!!!).., а NIS ? Какая антитрояновская программа, подскажите коллеги, хорошо стыкуется и работает в связке с NISом...

methos2008, огромное спасибо, что откликнулся!
Сегодня попытался запуститься в безопасном режиме - ничего не выходит. Попробовал реанимировать запуск безопасного режиме через правку реестра - тоже ничего не выходит - реестр не меняется.
Стал внимательно присматриваться к запущенным процессам и обнаружил некий ufa.exe - жрет ресурсов до 98%!!!

[more=Предыстория...]
Вчера знакомая попросила помочь исправить неполадки в настольном компьютере - жалобы: замучили вирусы. Сказала, что антивирус Каперский сутки пытался бороться с ними, и что после безуспешной попытки отбиться от атаки вирусов компьютер теперь совсем не включается. Я забрал хард себе и после танцев с бубном удалось запустить систему (на харде стоит Windows XP Pro).
После удачного запуска системы решил установить NIS_18.1.0.37_ING_Direct_LOEM_MRF1321A_5578.

Здесь скрин его цифровой подписи:


В режиме полного осмотра системы NIS_18.1.0.37_ING_Direct_LOEM_MRF1321A_5578 выявил четыре вируса. После этого я накатил поверх англоязычной версии русскоязычную: Norton Internet Security 2011 18.1.0.37 Rus.

Здесь скрин его цифровой подписи:


После установки Norton Internet Security 2011 18.1.0.37 Rus компьютер сам загрузился и в правом нижнем углу вылезло это злополучное красное окно с указанием, что Norton AntiVirus работает в режиме усиленной защиты.[/more]

suomifinland
Причем здесь NAV ??? У виря одно окошко на все продукты Нортона, как и на Каспера, Др. Вэба, Noda , майкрософтовского Антивиря.. и др.. Короче троянчик убивающий антивири. Почитать:
http://www.cyberforum.ru/antivirus-firewall-soft/thread299891.html

Упрощённое описание нового трояна, выдающего на экран текст "Внимание! Антивирус работает в режиме усиленной защиты..." [more=Читать дальше..]Общая информация и источники попадания в компьютер.
Зашифрованная вредоносная программа под Windows, написанная на языке Borland Delphi версии 3.0. Размер файла данного варианта троянца составляет 1236992 байта.
Криптографическая защита кода организована при помощи утилиты-паковщика, которая компрессирует код файла, а поверх сжатой структуры ещё и шифрует, делая его недоступным для просмотра и анализа функционала. Размер декомпрессированного и расшифрованного файла вируса составляет, примерно, 2.6Мб.
Всем пострадавшим вирус попал в компьютеры под видом обновления графической поддержки Adobe Flash Player, которую предлагается скачать на некоторых страничках популярного портала “Ютуб” якобы для возможности просмотра неподдерживаемого старой версией Flash Player ролика. Название файла было одно и то же - Flash-Player.exe


Инсталляция в систему.
При запуске вирус копирует свой файл в корневой каталог системы под одним из двух названий:

\WINDOWS\svchost.exe
или
\WINDOWS\services32.exe

Названия файлов умышленно выбраны по аналогии с оригинальными системными файлами Виндовс, расположенными в папке \WINDOWS\System32\
Для возможности автозапуска при старте системы с расширенными правами в ключах системного реестра создаётся следующий параметр:

SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
“AutoAdminLogon”=“1”

, а также 2 записи с ссылками на вредоносный файл, которые хранятся в нижеприведенной ветке ключей автозапуска системного реестра в таких параметрах

SOFTWARE\Microsoft\Windows\CurrentVersion\Run
“nsrv”=“[путь к вредоносному файлу]”
“wxpdrv”=“[путь к вредоносному файлу]”


Вредоносные и деструктивные действия внутри системы зараженного компьютера.
Троянец блокирует приложения, которые импортируют в систему запросы, или содержат в заголовках своих окон или в названиях файлов ниже приведенные текстовые строки:

KAV_START
KAV_UNINSTALL
KAV_URL
KAV_TXT
kaspersky
virus
avp.exe
klwtblfs.exe
kavsvc.exe
klnagent.exe
klserver.exe
kavss.exe
Антивирус Касперского 2011
Изменение, восстановление или удаление
Лаборатория Касперского в интернете
Лицензионное соглашение
KAV_2011
Kaspersky
Касперск
0
2011
Антивирус Касперского 2010
KAV_2010
1
Антивирус Касперского 2009
KAV_2009
Антивирус Касперского 7.0
KAV_2008
Антивирус Касперского 7
internet
Kaspersky Internet Security 2011
Kaspersky Internet Security 2010
Kaspersky Internet Security 2009
Kaspersky Internet Security 7.0
Kaspersky Internet Security 7
NOD_AV_START
NOD_SYSINSP
NOD_SYSRESC
NOD_UNINSTALL
NOD_TXT
eset
ekrn.exe
egui.exe
nod32krn.exe
nod32kui.exe
ehttpsrv.exe
era.exe
callmsi.exe
sysrescue.exe
ESET NOD32 Antivirus
ESET SysInspector
ESET SysRescue
Удаление
NOD_AV_4_2
NOD_SS_START
ESET Smart Security
NOD_SS_4_2
outpost_start2
agnitum
outpost_start1
acs.exe
op_mon.exe
asp_srv.exe
outpost.exe
feedback.exe
Outpost Firewall
Outpost Firewall Pro 7.0
outpost
comodo_start
comodo
cmdagent.exe
cfp.exe
cpf.exe
clpsls.exe
bocore.exe
Comodo
agava_start
agava
agava.exe
Agava Firewall
avast_start
avast_desktop
alwil
avast
aswupdsv.exe
ashserv.exe
ashwebsv.exe
ashmaisv.exe
ashdisp.exe
avastsvc.exe
avastui.exe
ashsimpl.exe
Avast
avira_start
avira
sched.exe
avgnt.exe
avguard.exe
avfwsvc.exe
avmailc.exe
avwebgrd.exe
checkt.exe
avcenter.exe
avscan.exe
agent.exe
evmgr.exe
ium.exe
avmcs.exe
Avira AntiVir
mcafee_start
mcafee
engineserver.exe
frameworkservice.exe
vstskmgr.exe
mfevtps.exe
naprdmgr.exe
mcshield.exe
mfeann.exe
udaterui.exe
mctray.exe
shstat.exe
mcsacore.exe
mcproxy.exe
ssscheduler.exe
mcmscsvc.exe
mpfsrv.exe
mcagent.exe
mcsysmon.exe
mcnasvc.exe
hwapi.exe
mcods.exe
redirsvc.exe
mcuimgr.exe
msksrver.exe
scan64.exe
McAfee
norton_start
norton
ccsetmgr.exe
ccevtmgr.exe
spbbcsvc.exe
defwatch.exe
nisum.exe
ccsvchst.exe
smc.exe
ccapp.exe
vptray.exe
rtvscan.exe
pifsvc.exe
aluschedulersvc.exe
appsvc32.exe
vprosvc.exe
sndsrvc.exe
smcgui.exe
symcorpui.exe
savui.exe
sesclu.exe
luall.exe
lucomserver_3_3.exe
lucallbackproxy.exe
ccproxy.exe
issvc.exe
navapsvc.exe
nsctop.exe
reportersvc.exe
ngserver.exe
dbserv.exe
navw32.exe
nprotect.exe
nopdb.exe
symcuw.exe
oscheck.exe
Norton AntiVirus
drweb_start
drweb
doctor web
dwengine.exe
spiderml.exe
spiderui.exe
spidernt.exe
spideragent.exe
spidergate.exe
drweb32w.exe
drwebupw.exe
frwl_notify.exe
drwebscd.exe
drwagnui.exe
drwagntd.exe
ahm5ha.exe
atdguv.exe
f25cr4.exe
h58exa6v.exe
3hfw77.exe
le6lb7.exe
drwcsd.exe
Dr.Web
dr.web
avg_start
AVG
avgchsvx.exe
avgrsx.exe
avgcsrvx.exe
avgwdsvc.exe
avgam.exe
avgnsx.exe
avgemc.exe
avgtray.exe
avgchsva.exe
avgrsa.exe
avgcsrva.exe
avgfws9.exe
avgidsagent.exe
avgnsa.exe
avgfws8.exe
AVG Anti-virus
avg
panda_start
Panda
tpsrv.exe
psctrls.exe
pavfnsvr.exe
pavprsrv.exe
psksvc.exe
pavsrv51.exe
avengine.exe
apvxdwin.exe
webproxy.exe
srvload.exe
pavbckpt.exe
pavsrvx86.exe
psunmain.exe
psanhost.exe
inicio.exe
Panda Antivirus
Essentials_start
Essentials
Microsoft Security Client
msascui.exe
msmpeng.exe
essentials.exe
mpcmdrun.exe
Microsoft Security Essentials
defender_start
defender
Microsoft Defender
Defender

Также он модифицирует значения в ветке ключей реестра

SOFTWARE\Microsoft\Security Center
FirewallOverride
DisableThumbnailCache
FirewallDisableNotify
UpdatesDisableNotify
AntiVirusDisableNotify

, тем самым блокируя работу системного фаерволла (Брэндмауэра) Виндовс, а также производит модификации значений и в некоторых других ветках системного реестра, связанных с политикой безопасности компьютера:

SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System
EnableLUA
EnableSecureUIAPaths

При помощи системной службы “netsh” системе отдаётся команда полного отключения Брэндмауэра Виндовс – “firewall set opmode mode=disable”

При помощи системной службы “taskkill” принудительно завершается работа некого сервиса rstui.exe.

Также вирус модифицирует системный файл boot.ini, связанный с выбором загрузки ОС, заменяя в нём значения нижеприведенных параметров на следующие:

timeout=0
/safeboot:minimal
/safeboot:minimal(alternateshell)
/noexecute=AlwaysOff
/execute
/noexecute=optin

Кроме того, удаляет разделы ключей системного реестра, связанные с зарузкой Безопасного режима (Safe Mode), после чего попытки загрузить систему в Безопасном режиме компьютер либо наглухо виснет, либо уходит на перезагрузку (в зависимости от версии установленной ОС Виндовс).
Ещё вирус блокирует программные окна подпрограмм-деинсталляторов, в заголовках которых присутствует любой из следующих текстовых фрагментов:

remove
удал
Uninstall
убрать


Вредоносные действия в сети.
Вирус блокирует доступ к следующим серверам, блокируя отсылаемые на них запросы:

google.com
microsoft.com
yandex.ru

Пытается связаться со следующими серверами (для чего - непонятно):

v-baza.ru
baza-44.ru
domain-test-mode.ru

Также ищет свои обновления, соединяясь со следующими сайтами:

bmp-forwindows.com
office-Important-update.com
free-pac.net
drivers-z2012.com
newdrivers-win7.com

При установке соединения вирус передаёт на них некоторую тех. информацию и номер своей версии (у исследуемого варианта это 2.23). В случае обнаружения обновления оно скачивается в систему и перезаписывает устаревший файл.
Кроме того, вирус создаёт на диске инфицированного компьютера ряд лог-файлов с разными названиями, в которых сохраняет техническую информацию, связанную со своей работой и ошибках в ходе выполнения различных процедур, а также записывает в них список установленных в системе программ, список IP-адресов, которые прописаны в параметрах установленных в системе локальных и глобальных соединений. Эти файлы вирус отправляет, используя http-протокол, на вышеуказанные сайты.


Прочее.
В зависимости от обращений к своему файлу со стороны сторонних программ (например, антивирусных утилит), вредун может выводить на экран следующее сообщение:

System error! Access denied

В теле вируса содержится ряд каких-то графических файлов в формате “PNG”, сконвертированных при помощи программы Adobe Photoshop 7.0.
Также при попытках пользователя изменить параметры установленного под системой антивируса на экран выдаётся сообщение следующего вида:

Внимание!
[название антивируса] работает в режиме усиленной
защиты.
Это временная мера, необходимая
для моментального реагирования
на угрозы со стороны вирусных
программ.
От Вас не требуется никаких
действий.

В дальнейшем вирус может выводить на экран и текст вида

Дата выпуска баз:
Ваша система защищена


Рекомендации по удалению вируса и восстановлению повреждений системы.
1. Загрузиться с загрузочного диска с интерфейсом типа Windows PE, после чего удалить вредоносные файлы

\WINDOWS\svchost.exe
и
\WINDOWS\services32.exe

2. Для восстановления работоспособности Безопасного режима воспользоваться утилитой №10 из моего антивирусного набора, который доступен для скачивания на страничке нашего портала http://daxa.com.ua/virushunter

3. Модифицированный системный файл boot.ini заменить оригинальным (можно взять из дистрибутива Виндовс с диска, или же скопировать с другого компьютера с аналогичной ОС Виндовс).
[/more]

vlkremnev
Пройдись этим. Или сюда: http://forum.ru-board.com/topic.cgi?forum=62&topic=20225

Ребята, уж простите великодушно.., был задан вопрос.., помогите в решении проблемы...
Какая антитрояновская программа, подскажите коллеги, хорошо стыкуется и работает в связке с NISом...

suomifinland

Цитата:

Какая антитрояновская программа, подскажите коллеги, хорошо стыкуется и работает в связке с NISом.

Любой нормальный антивирус превосходит по всем параметрам любую антитроянскую программу. "Троян" - это всего лишь разновидность зловредной программы. Антивирус должен такие программы детектировать и обезвреживать. Если антивирусной программе по каким-то причинам это не удаётся, она однозначно должна быть удалена из системы и заменена на более эффективную.
То есть, Ваш вопрос априори не имеет ответа, так как поставлен изначально неверно.

Хм... Да я бы и не задала данный вопрос (сама пользуюсь NIS 6 лет) если бы не пост с предыдущей страницы...



vlkremnev
Друзья, Norton Internet Security 2011 перестал реагировать на команды и начал работать в усиленном режиме.
Кто-нибудь сталкивался с этим? Как из этого режима выйти?


И последующие ответы.., их то как понимать, в свете Вашего ответа..?

Цитата:

И последующие ответы.., их то как понимать, в свете Вашего ответа..

Понимать нужно так: NIS пропустил серьёзный зловред. Увы, это далеко не единичный случай и опроисхотит это не только со зловредом "убийца антивирусов". Например, так популярные последнее время винлоки NIS тоже абсолютно не хочет замечать. Можно ли пользоваться такой антивирусной программой - каждый решает сам. Тем более, что:
Цитата:

сама пользуюсь NIS 6 лет

и, наверное, без проблем.
Хотя, отсутствие проблем, скорее, заслуга пользователя, а не NIS. (ИМХО).

Цитата:

И последующие ответы.., их то как понимать, в свете Вашего ответа..?

Избирательное чтение не приводит к пониманию сути затронутой темы.
Если прочесть внимательно и углубиться в Предыстория..., то с легкостью просматриваются корни, которые породили определённые плоды.

Цитата:

Вчера знакомая попросила помочь исправить неполадки в настольном компьютере - жалобы: замучили вирусы. Сказала, что антивирус Каперский сутки пытался бороться с ними, и что после безуспешной попытки отбиться от атаки вирусов компьютер теперь совсем не включается. Я забрал хард себе и после танцев с бубном удалось запустить систему (на харде стоит Windows XP Pro).
После удачного запуска системы решил установить NIS_18.1.0.37_ING_Direct_LOEM_MRF1321A_5578.

Т.е., как видно, NIS ставился после другого антивирусного продукта на уже зараженную систему....

oabox

Цитата:

Избирательное чтение не приводит к пониманию

Согласен. "Предисторию" я не прочитал и сделал неправильные выводы.
Хотя, общая картина способностей NIS все-равно не радужная. (Конечно, ИМХО).

И в итоге... Вывод.., вывод каков ? (???)

suomifinland

Цитата:

Вывод.., вывод каков

Меньше читать подобные ужастики . Стоит у Вас NIS - и ладно. Добавлять всякую фигню смысла нет. Менять на что-то другое - тоже. Все подобные программы имеют как достоинства, так и недостатки.

Цитата:

популярные последнее время винлоки NIS тоже абсолютно не хочет замечать

Сигнатурно -да. не видит, но Сонар рубит при запуске большинство.


Цитата:

Антивирус должен

В первую очередь пользователь должен, соблюдать элементарные правила "гигиены"
Хотя бы - ограниченная учетка + UAC под паролем + запрещено все . что явно не разрешено (у 99% наоборот - все, что явно не запрещено, — разрешено. ))

В любом случае... Гусарам верят на слово.

Цитата:

В первую очередь пользователь должен

Точно. И тем не менее, позволю себе немного оффтоп...
Как-то недавно в этой теме сравнили NIS с мерседесом. Я бы это сравнение назвал очень метким. Но, увы, эта "модель" плохо адаптирована к дорогам Рунета.
Реакция на один из последних винлоков (http://zalil.ru/31412512 пароль123) большинства антивирусов: здесь...
И такая картина типична.
Конечно, можно и у нас (в Рунете) ездить аккуратно, объезжая ямы и ухабы...

aleksdem2

Цитата:

Реакция на один из последних винлоков (http://zalil.ru/31412512 пароль123) большинства антивирусов:

Цитата:

Сигнатурно -да. не видит, но Сонар рубит при запуске большинство.

Вывод: Сигнатуры бесполезны, если кто то сегодня написал свежачек и запустил в сеть

aleksdem2

Цитата:

Конечно, можно и у нас (в Рунете) ездить аккуратно, объезжая ямы и ухабы...

Но,безопаснее на вездеходах...
Прошу прощение за ОФФТОП

methos2008
Большинство совершенно не означает 100%. При чём, далеко на 100%. Историю с предидущим винлоком (Trojan.Winlock.3278) и невнятными действиями Сонара Вы прекрасно знаете. А на SEP тот же Сонар вообще ведёт себя как дохлая рыба.

aleksdem2

Цитата:

совершенно не означает 100%

А у кого 100% ..??? !!!
Файл был запущен. на свежеустановленном НИС -2011 без каких либо обновлений (последнее 59 дней назад).. у ж очень сомневаюсь, что те продукты которые его на вирустотале сигнатурно детектят.. повторят то же самое .. при равных условиях.. без обнов.

Oabox, проверил этим этим.
Спасибо за оперативную помощь!
Результат осмотра в скриншотах. [more=Подробнее...]

[/more]

Также нашел источник заразы, который привел Norton Internet Security к краху - это фейк Adobe Flash Player.

Ниже привожу сравнительный скрин (как в задачках: найдите несколько отличий) оригинального файла Adobe Flash Player с цифровой подписью скачанного с офсайта Adobe и фейка Adobe Flash Player без цифровой подписи, скачанного с просторов Интернета - с запакованным в него вирусом.

methos2008

Цитата:

А у кого

А у меня NIS2012 (без обновлений) при запуске zalil.ru/3141251 промолчал как рыба и компьютер успешно заблокирован. Вот Вам и Сонар.. Или там какой-то не такой сонар?

Цитата:

Файл был запущен. на свежеустановленном НИС -2011 без каких либо обновлений

Подтверждаю. NIS 2011 и NIS 2012 убивают файло сонаром при запуске.

Цитата:

Или там какой-то не такой сонар?

Ну да у каждого свой персональный Сонар теперь - кому лучше достался . а кому похуже... лотерея .
А если серьезно ... то надо посмотреть . какая система. НИС . язык. настройки. Странно все это...

Цитата:

Странно все это...

Расширенный режим Sonar в агрессивном - убивает, в авто- пропускает.

Цитата:

Расширенный режим Sonar в агрессивном - убивает, в авто- пропускает.

Добавлено:
мало того - отключим расширенный режим Сонар и все равно рубит

Тогда вообще не понятки.
NIS 18-6-0-29

oabox
А я запускал на ранней 18-1-0-37 OEM 90 eng

methos2008
oabox
На любительском форуме Symantec целая тема этим фокусам посвящена. Факт совершенно непонятного поведения Сонара есть, и от наших картинок ничего не меняется. То "оно" видит, то нет.