Worm.Win32.Raleka и другие DCOM вирусы - практика борьбы.

Shturmer 06.05.2004 - 17:56 | Ниже расскажу о том, как я боролся с Ралекой на своей машине. ПРактически, убил сутки. :) Надеюсь, эта информация поможет другим интернетчикам. :)
Shturmer 1 - 06.05.2004 - 18:05 | ПРежде всего, небольшое вступление. Данная группа DCOM вирусов - одна из самых опасных в силу своей распространенности, тех действий, которые совершает на пораженной машине и того, какие последствия могут быть для системы в целом. ПОлная информация о вирусе - здесь. http://www.viruslist.com/viruslist.html?id=2765587 Описание на Microsoft и ссылка на патч: http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-026.asp
Shturmer 2 - 06.05.2004 - 18:07 | На всякий случай для тех, кому лень прочитать описание вируса на сайте: "... Прочее Червь запускает на заражённой машине HTTP-сервер, с которого успешно атакованные компьютеры загружают файл червя и файлы service.exe и ntrootkit.exe (см. пункт "Размножение"). Кроме того, червь соединяется с IRC-сервером irc.ircsoulz.net и по команде "хозяина" может, в частности: подключиться к указанному в команде IRC-каналу; выгрузить из памяти указанный процесс; выслать список активных процессов; загрузить из интернета файл; запустить указанный файл; установить патч, закрывающий уязвимость в DCOM (загружается версия патча для испаноязычной Windows XP); загрузить обновлённую версию червя с указанного сайта; выслать список IP-адресов компьютеров, в которых при сканировании была обнаружена уязвимость DCOM RPC (см. пункт "Размножение")...."
Shturmer 3 - 06.05.2004 - 18:11 | В отличие от других DCOM вирусов семейств Lovesan-Welchia или последнего Sasser.Worm, простая установка данного вируса мможет вызвать необратимые последствия для инфицированной машины. Механизм инфицирования таков, что вирус подменяет файл svchost.exe, поражая тем самым RPC - Remote Processing Call сервис. Одно перечисление зависимых от RPC сервисов-даймонов в системах windows 2000 - XP займет пару страниц. После перезагрузки системы вирус запускает с правами "СИСТЕМА" свою собственную копию svchost.exe.
Shturmer 4 - 06.05.2004 - 18:19 | Плохая новость состоит в том, что для удаления этого вируса необходимо заменитьл инфицированный сервис svchost.exe, что невозмоджно в обычных условиях. Ниже я расскажу, как это возможно сделать.
Shturmer 5 - 06.05.2004 - 18:26 | Данную информацию не далось найти в инете несмотря на то, что в течении полугода в мире было поражено около 200.000 компьютеров. Патч от Микрософт эффективен в случае работы на стандартной системе, со стандартными политиками. Плюс - на инфецированной машине он не удаляет вирус, а лишь ставит заплатку на DCOM, но вирус продолжает быть активен и создает постоянную потенциальную опасность для системы и локальной сети в целом.
Shturmer 6 - 06.05.2004 - 18:29 | Таким образом, единственный эффективный путь лечения вируса Raleka - удаление ВСЕХ систем в локальной сети, пораженных вирусом, переустановка в оффлайн режиме операционных систем с патчированием от Микрософт. И только после этого - возврат к эксплуатации данных систем в локальной сети. Но, мне кажется, что я нашел и успешно применил другой способ.
Shturmer 7 - 06.05.2004 - 18:45 | Подготовка. 1) Локализовать с помощью антивируса зараженные файлы. Их имена и расшщирения могут варьироваться. 2) Найти и записать на дискету оригинальный файл svchost.exe 3) Заранее подготовить копию патча по бюллетеню 03-026, сохранив ее на локальные диски пораженных компьютеров. ВНИМАНИЕ! Этот файл должен совпадать по версии сервис-пака и языка с установленной ОС! В противном случае результатом нижеследующих действий будет критический останов загрузки системы!!!!! Я ПРЕДУПРЕДИЛ! Этапы ликвидации вируса. 1) Установка патча от Микрософт по бюллетеню 03-026 (в случае, если вирус уже находится в активной фазе) 2) Перезагрузка компьютера в "безопасном режиме БЕЗ РАБОТЫ В СЕТИ". 3) Остановка и запрещения работы оригинального сервиса RPC и, разумеется, его клона под управлением вируса - имя может варьироваться, подробнее см. описание по ссылке на viruslist.ru 4) Вручную удалить обнаруженные антивирусом файлы вируса и тех программ, которые он успел сгрузить и установить в компьютер. Особое внимание на временные папки интернет-кэша. УДалить все абсолютно инфецировнные файлы! 5) Перезаписать командой copy с дискеты файл svchost.exe в каталог winnt/system32 6) Перезагрузить компьютер нормальном режиме. Проверить еще раз на предмет вируса. 7) Установить патч по бюллетеню 03-026
Shturmer 8 - 06.05.2004 - 18:46 | ПОПРАВКА К ПРЕДЫДУЩЕМУ СООБЩЕНИЮ! ВНИМАНИЕ! Заменяемый (оригинальный) svchost.exe должен быть аналогичен по верссии сервис-пака и языка системы инфицированному!!!!!
Shturmer 9 - 06.05.2004 - 18:54 | Если Вы выполнили все условия из вышеперечисленных, все ОК. Система чистая. Но есть одна проблема - отключены и не работают все сервисы, зависимые от RPC. Теперь нужно вручную в реестре системы заменить коючи запуска RPC сервиса. При этом нужно оставить отключенным тот клон-сервис, который был создан вирусом.
Shturmer 10 - 06.05.2004 - 19:02 | В зависимости от того, сколько конфигураций оборудования у Вас имеется, столько раз Вам придется повторить нижеследующее дейстие. Зайдите в раздел: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcSs Найдите в этой ветке значение: Start и установите его из 4(отключено) в 1(автоматическая загрузка) --- Повторите данное действие для всех ControlSet - (ControlSet001, ControlSet002, etc.) Перезагрузите компьютер. Вуаля! Система избавлена от вируса. Остается лишь проверить, все ли сервисы запустились, запустить необходимые - и все дела. :) Надеюсь, смог помочь тем, кто столкнулся с подобной проблемой. У меня ее решение заняло 2 суток. :) Теперь оно займет не более 10 минут. :) Удач. Искренне Ваш, Макс Штурмер. :)
Просто интересно 11 - 06.05.2004 - 20:22 | Только я одного не понял. Как понимать фразу подменяет файл svchost.exe? Он то прописывается в папку System а оригинальный лежит в System32.
Shturmer 12 - 06.05.2004 - 21:04 | Он прописывается в обе папки. Кроме того, заруская клон-сервис, каждый раз подменяет оригинальный svchost.exe на копию в любом случае, даже если патч восстановил оригинальный фацл.
Auximen 13 - 06.05.2004 - 21:14 | http://agnitum.com/download/outpostpro.html и можно забыть о DCOM.
Shturmer 14 - 06.05.2004 - 21:20 | Auximen - на месяц? :-)))
Auximen 15 - 06.05.2004 - 21:38 | http://ya.ru , если речь идёт об организации, то можно и внести в список затрат и расходы на компьютерную безопасность, недосмотр в которой может повлечь за собой куда более весомые затраты.
Auximen 16 - 06.05.2004 - 21:39 | К тому же, там предлагается FREE версия Outpost Firewall 1.0, которая, наверняка, справится с упомянутой проблемой.
Shturmer 17 - 06.05.2004 - 22:05 | Auximen - Версия 1.0 Фри отвратительно работает с 2000-й после 1-го сервиспака. И кроме того, давно не обновлялись правила для фри версии. Насчет же покупки постоянной версии ПРо - вполне солидарен.30 баксов для 1 сервера - не деньги.
Просто интересно 18 - 07.05.2004 - 00:34 | Что то я не нашел инфы по поводу того, что он в обе папки прописывается. И что-то мне кажется что если удалить псевдо-svchost.exe, то все может и решится.
Shturmer 19 - 07.05.2004 - 02:01 | Не решается. svchost.exe занимается системой с момента запуска. Как я понимаю, зловредный сервис-клон, добавляемый вирсом, делает только одну штуку - загружается раньше RPC в момент инициализации ядра системы и переписывает svchost из архива. При этом простое удаление/замена файла-источника ничего не дает, бо заколдованный круг получается.
Boroda 20 - 17.05.2004 - 22:45 | Значит надо одного грохнуть, а другого перезаписать. Но я не об этом. Небольшая поправка, если автор позволит. Значению ключа реестра службы или драйвера 0х00000001 соответствует тип запуска Система - service_system_start. Так как служба имеет максимальный тип запуска Авто, значение параметра Start в реестре надо менять на 0х00000002 - service_auto_start.
ПереЦ 21 - 18.05.2004 - 15:58 | Shturmer ну ты и гонишь надо было просто скачать антивирус и всё !!!

>>