помогите выевить трояна. - Безопасность

alexey85 · 14.12.2003, 18:09

вот скачал я прогу Spybot-Search&Destroy 1.2 и просканел на трояны, и вывел он мне вот такой спислк:
*первая картинка это начало а вторая это продолжения

http://www.mnbvc8.by.ru/Pictures/Other/q/spy.JPG
http://www.mnbvc8.by.ru/Pictures/Other/q/spy2.JPG

помогите узнать что стирать а что нет, и обяснити вашу точку зрения, так как я незнаю что надо стирать а что нет.

по моему усматрению не нужно стирать мелкософт... но можит я и не прав, ведь есть "умные трояны" которые прячутся под именно такими названиями...

Благодарю.

Demin · 14.12.2003, 18:20

C:\Windows\web\related.htm удали!

C:\Windows\System32\cd_clint.dll вот с этим я немного не уверин!

Покажи мне свою автозагрузку.... напиши в команде выполнить msconfig и кажи что там...!

Добавлено через 1 минуту:
alexey85 можешь еще куки почистеть! это не страшно!

alexey85 · 14.12.2003, 18:29

вот:
http://www.mnbvc8.by.ru/Pictures/Other/q/spy3.JPG
http://www.mnbvc8.by.ru/Pictures/Other/q/spy4.JPG

а как ты узнал что именно вот это C:\Windows\web\related.htm надо стерать??
просто хочу сам научится эти трояны распознавать... не буду жи я вас спрашивать каждый раз...

Demin · 14.12.2003, 19:45

Ну помоему что htm может быть заражен это довно известно!

мне вот очень интересно что у тебя в автозагрузке за bootconf ???

-

А вообще ето просто ты сматри что ты ставил а что нет, ну а что ты не ставил но это появилось значит что-то не хорошое.... вот только винду не посерь.....

у меня такое было

(по началу) может еще и осталось

Ты посмотрел что такое троян, и как он работает! и все наверно поймешь...

Могу сказать не много но это факт.

1. троян всегда висет в автозакрузке или загрузке задач, и приложений
2. Всегда нозвание файла как-то отличается.... (пример bootconf)
3. если я где-то ошибся поправте меня... давно я не убивал трояны...(нет у меня таких)

14.12.2003, 20:31

Цитата:

1. троян всегда висет в автозакрузке или загрузке задач, и приложений
2. Всегда нозвание файла как-то отличается.... (пример bootconf)
3. если я где-то ошибся поправте меня... давно я не убивал трояны...(нет у меня таких)

Троян можно вписать в explorer.exe or svchost.exe, а некоторые современные RAT вобще не видны в автозагрузки и на диски.

hempsmoke · 14.12.2003, 20:40

лучше всего, если не уверен в названии процесса - зайтьи на avp.ru и давай поиск по имени процесса - авось повезет и ты его там не найдешь...
у тебя стоит Kazaa?

Добавлено через 2 минуты:
забыл
cd_clint.dll - это крутильщик баннеров, так что реж его нах!

Добавлено через 2 минуты:
перед такими вещами делай снимок реестра на всякий случай

alexey85 · 14.12.2003, 20:59

Ребята я вам скажу одну вещь, я в сетки новенький, и строяноми дело некогда в жизни не имел мало того я узнал что такое троян только 3 дня тому назад(дажи меньши) за это время нашол выши указыную прогу, и просканировал... но беда та вся в том что комп летел у меня уже несколько раз, и в соответствии незнания и без наличия виндоуса, я оказывался в ....***

я не против всё испытать..

но карман и знания не позваляют... как вы называети таких как я? а ну да, ламёр...

так вот, кто можит сказать НАВЕРНИКА что стереть? и если нельзя однакратно сказать что стереть, то хоть скажите как провереть дажи тот самый bootconf, тоесть как узнать троян это или нет???

Demin · 14.12.2003, 23:15

Цитата:

Первоначальное сообщение от WestFOX
Троян можно вписать в explorer.exe or svchost.exe, а некоторые современные RAT вобще не видны в автозагрузки и на диски.

там млин у него ХР не уже трудно нажать Ctrl+Alt+Delete и посмотреть что загружено! если два explorer.exe один можно выгрузить и удалить! (ну тот что меньше весит и меньши памети жрет)

На сколько я помню не один троян не заменяет explorer.exe а создает новый! т.е. в проццсе загрузке их будет две ШТУКА...

Добавлено через 3 минуты:

Цитата:

Первоначальное сообщение от WestFOX
Троян можно вписать в explorer.exe or svchost.exe, а некоторые современные RAT вобще не видны в автозагрузки и на диски.

А еще фаром можно все проюзать!

Shanker · 15.12.2003, 02:10

alexey85
Посмотрел скриншотики... Всё понятно. Сам такую прогу юзал!!! Но перешёл на Ad-Aware! Да и с троянами дело имел... в смысле, сам их впариваю

Вот что я скажу:
Походу, у тебя IE? Через что ещё можно получить эксплоиты и Alexa!

Alexa Related удаляй к... В оющем, ты понял

Эта штука следит какие ты сайты посещаешь (может, и что ты там вводишь!)
Всё, что связано с кукисами (aka cookie) - удаляй. Тоже ничего хорошего: собирают о тебе инфу: твоя ОСь, твой пров, твой браузер, какие сайты посещаешь и, возможно, твой ящик!
И вообще я рекомендую тебе в настройках браузера убрать использование кукисов (или удаление при выходе из браузера)

Cydoor - вроде бэкдор (такая хрень, которяа даёт возможность подключаться к твоему компу и тырить инфу)

DSO Exploit - удаляй на***!!! IE то непропатченный! По ходу, тебя обработали эксплоитом (такая хрень, которая использует дыры в прогах и делает что-то нехорошее)

Заключение:
Удаляй ВСЁ!!!

И мой тебе совет - не используй IE вместо этого рекомендую Оперу! И поставь файерволл!

hempsmoke · 15.12.2003, 02:15

Цитата:

alexey85:
за это время нашол выши указыную прогу, и просканировал...

какую прогу?

Добавлено через 2 минуты:

Цитата:

Shanker:
И поставь файерволл

у него стоит..

ёёёёё прости - не заметил скринов!....
ого..
ну конечно cd_clint.dll - ее точно стирай.. это как я уже говорил рекламу загружает, а остальное теб е рассказали выше...

Shanker · 15.12.2003, 02:20

alexey85
Если хочешь найти трояна - используй антивирусы, смотри автостарт... и поставь файерволл!

Demin

Цитата:

На сколько я помню не один троян не заменяет explorer.exe а создает новый! т.е. в проццсе загрузке их будет две ШТУКА...

А он и не заменяет. Просто если в реестре прописано какую ему dll'ку запускать - он её запустит... А библиотека запустит самого троя!
При этом через Ctrl+Alt+Delete видно не будет!

15.12.2003, 13:00

Demin
Я ничего не писал о дублировании ехплорера. Так причем же тут 2 ехплорера в процесах? Фаром тут кстати тоже делать нечего. Что ты фаром то делать будешь? Реестр смотреть? Весь диск лопатить при этом даже не зная, что ты ищешь? А как ты вобще узнаешь, что у тебя трой? Фаервол? Дык трой либо выгрузит твой фаер вместе с антивирям, либо при невозможности этого сделать самоудалится и ничего слать не будет, а еще есть трои шлющии через другие приложения (через bat, opera, ie, msn ...) которые твой фаер пропускает.

Demin · 17.12.2003, 10:32

Shanker
WestFOX

Хех ну я пошел за трояном буду смотреть окуда чего видать и как ето удалять!

R!xon · 27.12.2003, 02:15

Цитата:

explorer.exe or svchost.exe

ага есть у меня подозрительная байда в svchost чето хочет на 5678-м порту (очень подозрительно), и главное недавно заметил, просто я прогнал, svchost в доверенных приложениях стоял, тобишь файр все с него пропускал

27.12.2003, 10:29

На 5678 известные халявные трои не ломятся. Значит либо очень качественный трой со случайным выбором портов, либо новый, не общедоступный, трой, висящий на 5678 и видемо качественно сделанный. Возможно это прокси трой, т.к. восновном им необходима функция случайного порта. Но может и инфу ворует

За ... короче уже эти троянописцы.

Shanker · 27.12.2003, 20:59

R!xon

Цитата:

svchost чето хочет на 5678-м порту (очень подозрительно)

svchost - системный процесс. Возможно, это проверка заплаток...

WestFOX

Цитата:

На 5678 известные халявные трои не ломятся.

Это ещё почему?

R!xon · 28.12.2003, 03:31

если это трой, то он имеет функции червя, пролез как-то на мой комп, встроился в доверенный процесс (svchost.exe Generic Host Process), и мог отсылать и принимать чо угодно

Цитата:

Shanker:
svchost - системный процесс. Возможно, это проверка заплаток...

исходящий трафик на 5678-м порту, какая проверка?

или lYl$ просто внедряют в виндоз чтоб проверять на заплаты своих клиентов? так просто никто не имеет права проверять мой комп на заплатки (все равно что проверять сайт на уязвимости) так и засудить можно

Shanker · 28.12.2003, 08:54

R!xon
Я имею в виду, что это может быть Windows Autoupdate. Хотя... там файл по-другому называется...

*helldomain* · 04.01.2004, 20:07

Kto-to obmolwilsya, chto troyan doljen bit w awtozapuske. Tak wot. Eshe para wozmojnostei:
1. Kak servis.
2. Kak draiwer failowoi sistemi (oni gruzyatsya w perwuju ochered).
3. Kak draiwer nositelya.

Shanker · 04.01.2004, 22:20

Цитата:

Kak servis

Только если это WinNT

А ещё трой может загружаться используя dll, которую будет при загрузке грузить explorer.exe
ИМХО: грузится быстрее, чем из сервисов, драйверов и автозагрузки!

04.01.2004, 20:07	# 19
helldomain Administrator Регистрация: 13.05.2002 Сообщения: 11 227	Kto-to obmolwilsya, chto troyan doljen bit w awtozapuske. Tak wot. Eshe para wozmojnostei: 1. Kak servis. 2. Kak draiwer failowoi sistemi (oni gruzyatsya w perwuju ochered). 3. Kak draiwer nositelya. __________________ Осколки прошлого, как снег, закрутит ураган времён, В ушедший день для нас навек, обрушив мост, Оставив в наших душах след, тьма уплывёт за горизонт, И в чистом небе вспыхнет свет, свет новых звёзд.

14.12.2003, 18:09	# 1
alexey85 Member Регистрация: 18.10.2003 Адрес: Israel Сообщения: 212	помогите выевить трояна. вот скачал я прогу Spybot-Search&Destroy 1.2 и просканел на трояны, и вывел он мне вот такой спислк: *первая картинка это начало а вторая это продолжения http://www.mnbvc8.by.ru/Pictures/Other/q/spy.JPG http://www.mnbvc8.by.ru/Pictures/Other/q/spy2.JPG помогите узнать что стирать а что нет, и обяснити вашу точку зрения, так как я незнаю что надо стирать а что нет. по моему усматрению не нужно стирать мелкософт... но можит я и не прав, ведь есть "умные трояны" которые прячутся под именно такими названиями... Благодарю.

14.12.2003, 18:20	# 2
Demin Member Регистрация: 13.12.2003 Адрес: Москва Сообщения: 291	C:\Windows\web\related.htm удали! C:\Windows\System32\cd_clint.dll вот с этим я немного не уверин! Покажи мне свою автозагрузку.... напиши в команде выполнить msconfig и кажи что там...! Добавлено через 1 минуту: alexey85 можешь еще куки почистеть! это не страшно!

14.12.2003, 18:29	# 3
alexey85 Member Регистрация: 18.10.2003 Адрес: Israel Сообщения: 212	вот: http://www.mnbvc8.by.ru/Pictures/Other/q/spy3.JPG http://www.mnbvc8.by.ru/Pictures/Other/q/spy4.JPG а как ты узнал что именно вот это C:\Windows\web\related.htm надо стерать?? просто хочу сам научится эти трояны распознавать... не буду жи я вас спрашивать каждый раз...

14.12.2003, 19:45	# 4
Demin Member Регистрация: 13.12.2003 Адрес: Москва Сообщения: 291	Ну помоему что htm может быть заражен это довно известно! мне вот очень интересно что у тебя в автозагрузке за bootconf ??? - А вообще ето просто ты сматри что ты ставил а что нет, ну а что ты не ставил но это появилось значит что-то не хорошое.... вот только винду не посерь..... у меня такое было (по началу) может еще и осталось Ты посмотрел что такое троян, и как он работает! и все наверно поймешь... Могу сказать не много но это факт. 1. троян всегда висет в автозакрузке или загрузке задач, и приложений 2. Всегда нозвание файла как-то отличается.... (пример bootconf) 3. если я где-то ошибся поправте меня... давно я не убивал трояны...(нет у меня таких)

14.12.2003, 20:40	# 6
hempsmoke ::VIP:: IMHO Молодожен-2006 Регистрация: 14.06.2002 Адрес: Moscow Сообщения: 2 921	лучше всего, если не уверен в названии процесса - зайтьи на avp.ru и давай поиск по имени процесса - авось повезет и ты его там не найдешь... у тебя стоит Kazaa? Добавлено через 2 минуты: забыл cd_clint.dll - это крутильщик баннеров, так что реж его нах! Добавлено через 2 минуты: перед такими вещами делай снимок реестра на всякий случай

14.12.2003, 20:59	# 7
alexey85 Member Регистрация: 18.10.2003 Адрес: Israel Сообщения: 212	Ребята я вам скажу одну вещь, я в сетки новенький, и строяноми дело некогда в жизни не имел мало того я узнал что такое троян только 3 дня тому назад(дажи меньши) за это время нашол выши указыную прогу, и просканировал... но беда та вся в том что комп летел у меня уже несколько раз, и в соответствии незнания и без наличия виндоуса, я оказывался в ....*** я не против всё испытать.. но карман и знания не позваляют... как вы называети таких как я? а ну да, ламёр... так вот, кто можит сказать НАВЕРНИКА что стереть? и если нельзя однакратно сказать что стереть, то хоть скажите как провереть дажи тот самый bootconf, тоесть как узнать троян это или нет???

15.12.2003, 02:10	# 9
Shanker Banned Регистрация: 27.10.2002 Адрес: Питер Сообщения: 1 893	alexey85 Посмотрел скриншотики... Всё понятно. Сам такую прогу юзал!!! Но перешёл на Ad-Aware! Да и с троянами дело имел... в смысле, сам их впариваю Вот что я скажу: Походу, у тебя IE? Через что ещё можно получить эксплоиты и Alexa! Alexa Related удаляй к... В оющем, ты понял Эта штука следит какие ты сайты посещаешь (может, и что ты там вводишь!) Всё, что связано с кукисами (aka cookie) - удаляй. Тоже ничего хорошего: собирают о тебе инфу: твоя ОСь, твой пров, твой браузер, какие сайты посещаешь и, возможно, твой ящик! И вообще я рекомендую тебе в настройках браузера убрать использование кукисов (или удаление при выходе из браузера) Cydoor - вроде бэкдор (такая хрень, которяа даёт возможность подключаться к твоему компу и тырить инфу) DSO Exploit - удаляй на*!!! IE то непропатченный! По ходу, тебя обработали эксплоитом (такая хрень, которая использует дыры в прогах и делает что-то нехорошее) Заключение:** Удаляй ВСЁ!!! И мой тебе совет - не используй IE вместо этого рекомендую Оперу! И поставь файерволл!

15.12.2003, 13:00	# 12
WestFOX Guest Сообщения: n/a	Demin Я ничего не писал о дублировании ехплорера. Так причем же тут 2 ехплорера в процесах? Фаром тут кстати тоже делать нечего. Что ты фаром то делать будешь? Реестр смотреть? Весь диск лопатить при этом даже не зная, что ты ищешь? А как ты вобще узнаешь, что у тебя трой? Фаервол? Дык трой либо выгрузит твой фаер вместе с антивирям, либо при невозможности этого сделать самоудалится и ничего слать не будет, а еще есть трои шлющии через другие приложения (через bat, opera, ie, msn ...) которые твой фаер пропускает.

17.12.2003, 10:32	# 13
Demin Member Регистрация: 13.12.2003 Адрес: Москва Сообщения: 291	Shanker WestFOX Хех ну я пошел за трояном буду смотреть окуда чего видать и как ето удалять!

27.12.2003, 10:29	# 15
WestFOX Guest Сообщения: n/a	На 5678 известные халявные трои не ломятся. Значит либо очень качественный трой со случайным выбором портов, либо новый, не общедоступный, трой, висящий на 5678 и видемо качественно сделанный. Возможно это прокси трой, т.к. восновном им необходима функция случайного порта. Но может и инфу ворует За ... короче уже эти троянописцы.

28.12.2003, 08:54	# 18
Shanker Banned Регистрация: 27.10.2002 Адрес: Питер Сообщения: 1 893	R!xon Я имею в виду, что это может быть Windows Autoupdate. Хотя... там файл по-другому называется...

Опции темы
Версия для печати Отправить на email