safety

Совсем недавно на форумах столкнулись с массовой проблемой блокирования доступа в социальные сети. Вместо соответствующих интернет-ресурсов в окне браузера демонстрировались веб-страницы с сообщением о том, что профиль пользователя в социальной сети заблокирован, и предложением ввести в соответствующее поле номер телефона и подтверждающий код, полученный в ответном СМС. Проверка hosts, настроек DNS сетевых подключений, поиск в системе известных троянов к решению проблемы не привели. Тем не менее, хелперы... обратили внимание на одну закономерность. Во всех проблемных темах в образе автозапуска uVS известный системный файл rpcss.dll не прошел проверку по цифровой подписи.
Кроме того, добавленный в uVS критерий (ССЫЛКА ~ \PARAMETERS\SERVICEDLL) AND (ЦИФР. ПОДПИСЬ ~ ОТСУТСТВУЕТ) выделяет системные сервисные dll, не прошедшие проверку цифровой подписи в список подозрительных.

Рост количества проблемных тем привел к рождению качественной мысли о том, что возможно файл rpcss.dll модифицирован и является источником данной проблемы. Vvvyg: "Погодите, может ещё RPCSS.DLL - плод моей паранойи . Но я порядка десятка логов отсмотрел с подобной проблемой - симтом общий." Была подготовлена библиотека чистых файлов для систем Windows XP, Vista, Windows7, Windows 8 различной разрядности.
Пользователям было предложено заменить модифицированные rpcss.dll на соответствующие чистые версии файлов, используя загрузочные диски.

И сразу же появились сообщения о положительном решении проблемы.

Далее предложены три варианта решения:

1. замена модифицированных файлов на чистые используя Live.CD

Win8x86 /6.2.9200.16384/
Win7x64SP1 /6.1.7601.17514/
Win7x64 /6.1.7600.20870/
Win7x86SP1 /6.1.7601.17514/
Vistax86SP2 /6.0.6002.18005/
Win XPx86SP3 /5.1.2600.5755/
Win XPx86SP3 /5.1.2600.5512/

2. установка патча системы от Microsoft, который приводит к обновлению системного файла rpcss.dll
например:
На компьютере под управлением Windows Server 2003 с пакетом обновления (SP2), Windows Vista, Windows Server 2008, Windows 7 или Windows Server 2008 R2, процесс Svchost.exe, на котором размещены службы вызова удаленной процедуры аварийно завершает работу.

Данный патч позволяет в том числе обновить rpcss.dll до следующих версий:

Для всех поддерживаемых 32 разрядных выпусков Windows 7

Имя файла Версия файла Размер файла Дата Время Платформа
RPCSS.dll 6.1.7600.20870 376,320 01-Янв-2011 06: 43 x 86
RPCSS.dll 6.1.7601.21631 376 832 01-Янв-2011 06: 47 x 86

Для всех поддерживаемых 64-разрядных версий Windows 7 и Windows Server 2008 R2

Имя файла Версия файла Размер файла Дата Время Платформа
RPCSS.dll 6.1.7600.20870 509,952 01-Янв-2011 07: 30 x 64
RPCSS.dll 6.1.7601.21631 512,000 01-Янв-2011 07: 39 x 64

3. Так же хелперами был создан скрипт uVS с использованием замены модифицированного файла на чистый из подготовленной библиотеки.

здесь, соответствующий чистый файл rpcss.dll из библиотеки необходимо предварительно поместить в каталог c Universal Viris Sniffer / uVS /

Таким образом замечаем, что это уже не первая проблема которая была решена благодаря функционалу uVS (например, ведение списков чистых проверенных системных файлов) и его способности создать расширенный образ автозапуска системы, который позволяет хелперу выполнить анализ системы за кратчайшее время.

Функционал uVS позволил оперативно собрать в карантин модифицированные файлы для отправки в вирлабы компаний ESET, DrWeb, Kaspersky.
Спустя несколько дней появился первый детект: вначале у ESET / Win32/Patched.IB /, затем у ЛК / Trojan.Win32.Patched.pj/, затем у DrWeb / Trojan.Starter.2229 /

Однако, корректного лечения модифицированного rpcss.dll антивирусными утилитами из активной системы на сегодня нет. Поэтому мы рекомендуем использовать для решения данной проблемы перечисленные выше варианты.

(c), chklst.ru