Как узнать что передает вирус на сервер и как мне его вырезать из exe?

Question

[Volk_J]

Добрый день.
На днях мне знакомый скинул один exe. Касперский показал что это heur:trojan.win32.generic. Но это еще ничего, как оказалось потом при запуске файла без ведома скачивался вирус Backdoor.win32.darkkomet.xyk
Как мне узнать, что это за вирус и что он передает и куда он передает данные.
Как мне найти его в исходном коде файла и убрать загрузку вируса Backdoor и прочие подозрительные элементы.
Посоветуйте программы отслеживающие полностью весь интернет-трафик на компьютере, чтобы знать что, кто и куда передает данные пк.
Заранее благодарен.

PS.Удалось немножко поговорить с автора exe. Он утверждает ничего такого там нет, просто сбор данных: IP и имя пользователя.

Answer 1

[nirvimel]

Как мне найти его в исходном коде файла и убрать загрузку вируса Backdoor и прочие подозрительные элементы.

1. exe-файл - скомпилированная программа, никакого исходного кода внутри нет.
   
2. Для того чтобы удалить trojan.win32.generic, надо просто удалить его exe-файл.
   

Comments

[Дмитрий Ковальский]

50/50 - Есть шанс что exe это сборка Java или .NET и ее можно прекрасно дизасемблировать вплоть до исходников.

[nirvimel]

Дмитрий Ковальский: Во-первых не дизасемблировать, а декомпилировать (если речь о .NET или Java). Во-вторых, если вам когда-нибудь придется заниматься декомпилированием, то вы поймете что ничего "прекрасного" в этом очень трудоемком процессе нет.

[Antony]

Где-то я слушал про вирус, из которого авторы забыли убрать отладочную информацию.

[Antony]

nirvimel: Ну не знаю. Я яву декомпилировал какой-то тулзой. Если прога не была подвергнута обфускации, то исходник был даже юзабелен.

[nirvimel]

Antony:

вирус, из которого авторы забыли убрать отладочную информацию.

Дети тоже пытаются писать вирусы. И сигнатурами таких "вирусов" в основном набиты базы Касперского (сколько у него там тысяч? Каждый день по сотни "новых" накручивают).

[nirvimel]

Antony: Конечно, существуют инструменты по декомпиляции java и .net. Код на их выходе валидный и пригодный к компиляции (в таком виде как есть). Вот только с исходником он имеет мало общего, разобраться в его логике возможно со скоростью 1/10 от скорости с которой читается нормальный исходник. Существует целый рынок услуг реверс-инжиниренга и это касается не только дизассемблирования нативного кода, но и восстановление читаемого вида исходников из выхода декомпиляторов java и .net.

Answer 2

[Артем]

wireshark`ом посмотрите куда ломиться.