PDA

Просмотр полной версии : папка С:\108\

zlo12
21.11.2009, 23:14
Странным образом наткнулся на папку С:\108\
Причём: папка не отображается вообще, т.е. её не видно даже при включённом показе скрытых файлов и папок.
В ней лежали 5 файлов: NT.dll , Service.dll , Script.dll , Remote.cfg , и таинственный Radmin.txt
Таинственный потому, что я никакого радмина не устанавливал=\
Папку сабо самой удалил, прошёлся авастом по диску, но вопрос остался. Что это было?!
rinat83
21.11.2009, 23:16
NT.dll , Service.dll , Script.dll , Remote.cfg, Radmin.txt --- вот что это было =))
Помог поставь +
))))))))))))))))))))))
zlo12
21.11.2009, 23:16
NT.dll , Service.dll , Script.dll , Remote.cfg, Radmin.txt --- вот что это было =))
Спасибо КЭП, ты как всегда прав
zlo12
21.11.2009, 23:17
Вопрос в том, откуда всё это вылезло?
<Cyber-punk>
21.11.2009, 23:28
Фигню всякую поинсталил вот появилось !!!
Cthulchu
21.11.2009, 23:35
надо было не удалять, а исследовать файло. возможно, вирус. возможно - результат работы какой-то софтины, а возможно - твоя невнимательность.
warkk
21.11.2009, 23:36
Папку сабо самой удалил
Зачем? Посмотрел бы что бы в радмин.тхт и в Remote.cfg
root_sashok
21.11.2009, 23:38
Если еще раз появится - залей. Посмотри, не открыто ли у тебя каких лишних портов?... Особенно 445 порт, который пробивается метасплоитом. Конфиг рад бы был посмотреть.
Xcontrol212
22.11.2009, 00:01
root_sashok,вполне вероятность,что взломали через метасплоит!

ТС у тебя винда какая стоит?обновляешь ее?И еще проверь cure it и поставь фаервол!
kodzero
22.11.2009, 00:09
Фигню всякую поинсталил вот появилось !!!

Молодец, хорошо пошутил!
zlo12
22.11.2009, 00:26
Зачем? Посмотрел бы что бы в радмин.тхт и в Remote.cfg
В ремоте находилось 8 айпишников, включая мой. В конфиге прописаны пути с % по бокам.
Дллки читались блокнотом++, туда особо не всматривался, но мне не понравилось=\
root_sashok
22.11.2009, 00:47
Закрой все опасные порты, ну или фаерволл поставь, чтобы видеть.
zlo12
22.11.2009, 02:02
Всем спасибо, кроме кибер-панка, все молодцы=)
P.S. ничего не понял
Xcontrol212
22.11.2009, 02:06
P.S. ничего не понял
а что тебе не понятно?
Поставь фаервол(например Outpost),закрой им порты.
Ты так и не сказал какое винда какая у тебя?
Случайно logfile.txt на компе не находил?
zlo12
22.11.2009, 02:15
Ты так и не сказал какое винда какая у тебя?
ЖЕСТЬ...
насчёт файервола и прочего я понял, а вот насчёт того, что это за папка нет
Nightmarе
22.11.2009, 02:18
ухх, когда ТС узнает ЧТО такое Radmin думаю чуствовать он себя будет не очень =))

PS: удалённое системное администрирование вашего компа. такой-же доступ к компу как и у вас самих, ну почти... консоли только нету.
zlo12
22.11.2009, 02:21
ухх, когда ТС узнает ЧТО такое Radmin думаю чуствовать он себя будет не очень =))

PS: удалённое системное администрирование вашего компа. такой-же доступ к компу как и у вас самих, ну почти... консоли только нету.
В этом то и дело, что я знаю что такое радмин=)
Вот поэтому мне очень интересно откуда у меня это=\
five5feer
22.11.2009, 02:24
Вот поэтому мне очень интересно откуда у меня это=\

пробивали метасплоитом, от туда и появилось
Xcontrol212
22.11.2009, 02:26
ЖЕСТЬ...
насчёт файервола и прочего я понял, а вот насчёт того, что это за папка нет
ты хоть понимаешь,что тебя просят?
Или ты тупо не понимаешь что бывают Windows XP,Vista,что бывают Windows SP1,Windows SP2 и т .д.
Нужна была какая ОС и сп какое у тебя на компе установлена,смекаешь?
Дальше возможно тебя взломали через метасплоит и загрузили Radmin,думаю какя-нибудь сборка радмина!
Аваст не палит радмин,т.к. Радмин это не хак.утилита,официальная программа для удаленного администрирования(сайт radmin.ru)
Если ты решил написать тему,то будь добр опиши,то,что просили,иногда это важно=\
Да ты наверно и не поймешь какая эта папка=\\
И если у тебя на компе logfile.txt?
zlo12
22.11.2009, 02:32
Windows XP MCedition SP2
Радмин это не хак.утилита,официальная программа для удаленного администрирования(сайт radmin.ru)
да в курсе я, что такое радмин
И если у тебя на компе logfile.txt?
нету.
--
Второй вопрос, как такое можно сделать, чтобы папка была абсолютно невидимой, даже при показе скрытых файлов?
Xcontrol212
22.11.2009, 02:44
Windows XP MCedition SP2 обновляешь ее?
Данная версия Windows SP2 в метасплоите достаточно много!
zlo12
22.11.2009, 03:02
не обновляю и не собираюсь, я консерватор.
--
аутпост качаю уже
Xcontrol212
22.11.2009, 03:12
Вот и следствие твоего консервотизма!Тебя взломали и залили радмин,думаю радмин еще сидит на твоем компе;)
zlo12
22.11.2009, 03:39
предложения по находке оного есть?)
Cthulchu
22.11.2009, 04:54
ps -waux
А если серьезно, то все предложения сводятся примерно к hijack и аналогам типа Gmer. Только мозг не парься включать, а то "почистишь" что не надо.
Pashkela
22.11.2009, 05:12
Поздравляю ТС, ты - дедик. Ищи спеца теперь, сам не справишься 100%, если папочку так спрятали - значит полный контроль включая доступ к реестру. Совет только один, если сам - format c: и полная переустановка системы.
Cthulchu
22.11.2009, 05:48
Поздравляю ТС, ты - дедик. Ищи спеца теперь, сам не справишься 100%, если папочку так спрятали - значит полный контроль включая доступ к реестру. Совет только один, если сам - format c: и полная переустановка системы.
вот никогда так не делайте. это слишком просто. юзайте инструменты и ищите суку в r0 или, даже в биосе (а вдруг бирус? надо дизасемблером поработать и посмотреть:) ну, хотя бы, олли.)
ЗЫ
пашкелла и сам дедик, ибо он каждый раз переставляет винду из уже зараженного дистрибутива, так что не верь ему ;)
ЗЫ
на счет последнего - я пошутил.
//где-то здесь я оставил своего поука. Никто не видел? Он со щупальцами был.
zlo12
22.11.2009, 07:23
Поздравляю ТС, ты - дедик. Ищи спеца теперь, сам не справишься 100%, если папочку так спрятали - значит полный контроль включая доступ к реестру. Совет только один, если сам - format c: и полная переустановка системы.
Хм...
Продам дедик, хороший, недорого)
Мне стало интересно. Не буду формат делать. Попытаюсь выследить мерзавца о.о
Я объявляю ему войну!
altblitz
22.11.2009, 11:37
Второй вопрос, как такое можно сделать, чтобы папка была абсолютно невидимой, даже при показе скрытых файлов?
вполне возможно, если файловая система - NTFS.
она использует несколько запутанные способы управления файлами,
несколько лет ушло на разработку утилит для доступа к вышеупомянутой файловой системе под *никсами.

и единственный надежный на сегодня способ анализировать и корректировать подобную файловую систему - без запуска самой Винды,
т.е. тем же Линуксом.

// остается правда, нераскрытым одно белое пятно,
а именно, как же ТС обнаружил существование той 'невидимой' папки \108 ?
zlo12
22.11.2009, 12:01
// остается правда, нераскрытым одно белое пятно,
а именно, как же ТС обнаружил существование той 'невидимой' папки \108 ?
Ну ладно, расскажу сию тайну: когда запустил дефрагментацию, и пошло сканирование файлов, мой зоркий глаз уловил то, что я думал мне показалось, а именно эту папку... Залез в Ц- нету, включил отображение скрытых- нету(!уже решил пить бросать!), прописал в пути- от она, родная... Мельком просмотрел и удалил от греха подальше внутренности, впрочем, сама папка осталась.
altblitz
22.11.2009, 12:45
... Мельком просмотрел и удалил от греха подальше внутренности, впрочем, сама папка осталась.
уже ясно и конкретно.
дело в том, что NTFS оперирует потоками данных и их дескрипторами, не статическими файлами.
это пошло еще с эпохи DOS - "copy con c:\108\radmin.txt"

думается, поэтому папка и не была видна, как нужно.

что можно сделать еще?
посмотреть аттрибуты папки \108 на наличие меток Read-only/Hidden/System/Archive и права доступа - Security, Security/Owner.


http://img38.imageshack.us/img38/4594/2009112201.png
root_sashok
22.11.2009, 12:48
ТС, отследи IP и попробуй сделать ответную атаку через metasploit :D

Тогда точно увидишь, есть ли над тобой контроль :D

А еще лучше - закрой Radmin-порты.
altblitz
22.11.2009, 13:20
ТС, отследи IP и попробуй сделать ответную атаку через metasploit :D
на экранах кинотеатров: блокбастер "Кибер-цунами 2009"

добрый бот *zlo12* вступает в жестокую схватку с недобрым ботом *ХЗ, что это вообще*.

в конце фильма - пис, печеньки и все женятся))

// sry, воскресный оффтоп)
morty10
22.11.2009, 14:09
altblitz, че эт у тебя за батник в корне лежит?
ТС, залей файлы архивом. Посмотрим что там..
altblitz
22.11.2009, 14:36
morty10,
посмотри на дату файлов
AUTOEXEC.BAT
CONFIG.SYS
IO.SYS
MSDOS.SYS
они создаются по умолчанию при инсталле Виндоуз. 0 байтс.

алсо:
Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

c:\dir c:\windows\repair\*.nt
Volume in drive C has no label.
Volume Serial Number is 8441-ACBF

Directory of c:\windows\repair

04/14/2008 01:00 PM 1,688 autoexec.nt
09/08/2009 11:08 PM 2,577 config.nt
2 File(s) 4,265 bytes