Показано с 1 по 10 из 10.

Помогите справиться с 1546186979:470800291.exe (заявка № 107560)

  1. #1
    Junior Member Репутация
    Регистрация
    17.08.2011
    Сообщений
    5
    Вес репутации
    20

    Thumbs down Помогите справиться с 1546186979:470800291.exe

    Доброго времени суток и здравия сотрудникам virusinfo.info, а также отдельное спасибо за Ваш ресурс и проделываемую работу.

    Столкнулся со следующей проблемой, знакомая подцепила интереснейший вирус, который впервые проявился при попытке открыть excel документ, отругалось на ядро и открываться отказалось, так же был отключен и дезактивирован НОД. После машина была перегружена но грузится только обоина рабочего стола так же еще вызывается диспетчер задач в котором помимо десятка стандартных процессов запущен c:\windows\1546186979:470800291.exe. При этом имеется файл c:\windows\1546186979 с 0 размером который легко удаляется при загрузке с загрузочной windows. При попытке через диспетчер задач запустить explorer.exe или иной процесс, появляется сообщение о недостатке прав. Пробовались проверки CUREIT при начале проверки появлялась ошибка программы "При сканировании были обнаружены вирусы или подозрительные объекты (RC=***)". RC= каждый раз являлся произвольным числом. Запустить Kaspersky Recovery Tool отказалось начисто. AVZ запускается но об этом опишу ниже. Та же ситуация и с безопасным режимом.

    При попытке проверить систему этими программами с Live CD особого успеха не принесли Cureit пишет ту же ошибку, а вот Kaspersky USB REcovery нашел несколько вирусов которые и удалил. Кроме одного Backdoor.Win32.Zaccess.dg который удалить не может.

    К сожалению снятие логов по правилам форума не является возможным программа при запуске AVZ через менеджер задач запускается но при попытке выполнить стандартный лог закрывается та же картина и с HiJackThis. Снял текстовый протокол проверки AVZ который и выкладываю ниже. Просьба не судить за неправильно размещение, поскольку интереснейший случай.


    Протокол антивирусной утилиты AVZ версии 4.35
    Сканирование запущено в 17.08.2011 14:35:02
    Загружена база: сигнатуры - 293350, нейропрофили - 2, микропрограммы лечения - 56, база от 07.08.2011 20:12
    Загружены микропрограммы эвристики: 388
    Загружены микропрограммы ИПУ: 9
    Загружены цифровые подписи системных файлов: 290168
    Режим эвристического анализатора: Средний уровень эвристики
    Режим лечения: включено
    Версия Windows: 5.1.2600, Service Pack 3 ; AVZ работает с правами администратора
    Восстановление системы: Отключено
    1. Поиск RootKit и программ, перехватывающих функции API
    >>>> Подозрение на маскировку файла процесса: c:\windows\1546186979:470800291.exe
    1.1 Поиск перехватчиков API, работающих в UserMode
    Анализ kernel32.dll, таблица экспорта найдена в секции .text
    Анализ ntdll.dll, таблица экспорта найдена в секции .text
    Анализ user32.dll, таблица экспорта найдена в секции .text
    Анализ advapi32.dll, таблица экспорта найдена в секции .text
    Анализ ws2_32.dll, таблица экспорта найдена в секции .text
    Анализ wininet.dll, таблица экспорта найдена в секции .text
    Анализ rasapi32.dll, таблица экспорта найдена в секции .text
    Анализ urlmon.dll, таблица экспорта найдена в секции .text
    Анализ netapi32.dll, таблица экспорта найдена в секции .text
    1.2 Поиск перехватчиков API, работающих в KernelMode
    Драйвер успешно загружен
    SDT найдена (RVA=08B520)
    Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000
    SDT = 80562520
    KiST = 804E48B0 (284)
    Функция NtCreateKey (29) перехвачена (8057791D->F76B70E0), перехватчик spyt.sys
    Функция NtEnumerateKey (47) перехвачена (80578E14->F76D5CA2), перехватчик spyt.sys
    Функция NtEnumerateValueKey (49) перехвачена (80587693->F76D6030), перехватчик spyt.sys
    Функция NtOpenKey (77) перехвачена (80572BF4->F76B70C0), перехватчик spyt.sys
    Функция NtQueryKey (A0) перехвачена (80578A14->F76D610, перехватчик spyt.sys
    Функция NtQueryValueKey (B1) перехвачена (80573037->F76D5F8, перехватчик spyt.sys
    Функция NtSetValueKey (F7) перехвачена (8058228C->F76D619A), перехватчик spyt.sys
    Функция IoAllocateIrp (804EAF9D) - модификация машинного кода. Метод не определен., внедрение с байта 12
    Функция IoIsOperationSynchronous (804EAFAE) - модификация машинного кода. Метод не определен.
    Проверено функций: 284, перехвачено: 7, восстановлено: 0
    1.3 Проверка IDT и SYSENTER
    Анализ для процессора 1
    Анализ для процессора 2
    Проверка IDT и SYSENTER завершена
    1.4 Поиск маскировки процессов и драйверов
    Проверка не производится, так как не установлен драйвер мониторинга AVZPM
    1.5 Проверка обработчиков IRP
    Драйвер успешно загружен
    \FileSystem\ntfs[IRP_MJ_CREATE] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_CLOSE] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_WRITE] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_EA] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_EA] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 86FD71F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_PNP] = 86FD71F8 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_CREATE] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_CLOSE] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_WRITE] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_QUERY_EA] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_SET_EA] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 86498500 -> перехватчик не определен
    \FileSystem\FastFat[IRP_MJ_PNP] = 86498500 -> перехватчик не определен
    Проверка завершена
    2. Проверка памяти
    Количество найденных процессов: 19
    c:\windows\1546186979:470800291.exe:$DATA >>> Опасно - исполняемый файл в потоке NTFS - возможно, маскировка исполняемого файла
    Количество загруженных модулей: 230
    Проверка памяти завершена
    3. Сканирование дисков
    Прямое чтение C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
    Прямое чтение C:\Program Files\ESET\ESET NOD32 Antivirus\SysInspector.exe
    Прямое чтение C:\Program Files\McAfee Security Scan\2.0.181\McCHSvc.exe
    Прямое чтение C:\WINDOWS\explorer.exe
    Прямое чтение C:\WINDOWS\system32\drivers\sptd.sys
    4. Проверка Winsock Layered Service Provider (SPI/LSP)
    Настройки LSP проверены. Ошибок не обнаружено
    5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
    6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
    Проверка отключена пользователем
    7. Эвристичеcкая проверка системы
    Проверка завершена
    8. Поиск потенциальных уязвимостей
    >> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
    >> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
    >> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
    >> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
    > Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
    >> Безопасность: разрешен автозапуск программ с CDROM
    >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
    >> Безопасность: к ПК разрешен доступ анонимного пользователя
    >> Безопасность: Разрешена отправка приглашений удаленному помошнику
    Проверка завершена
    9. Мастер поиска и устранения проблем
    Проверка завершена
    Просканировано файлов: 84933, извлечено из архивов: 61964, найдено вредоносных программ 0, подозрений - 0
    Сканирование завершено в 17.08.2011 14:42:40
    Сканирование длилось 00:07:39
    Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
    то Вы можете обратиться в систему http://kaspersky-911.ru
    Последний раз редактировалось goalkeeper; 17.08.2011 в 16:11.

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,268
    Вес репутации
    326
    Уважаемый(ая) goalkeeper, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для миднайт
    Регистрация
    28.03.2009
    Адрес
    Voronezh
    Сообщений
    9,466
    Вес репутации
    729
    Добрый день. ESET NOD32 + McAfee Security Scan. У Вас 2 антивируса? Должен быть только один.
    Пробуйте эту версию AVZ http://gjf.hotbox.ru/svchost.pif
    Paula rhei.
    Поддержать проект можно тут

  5. #4
    Junior Member Репутация
    Регистрация
    17.08.2011
    Сообщений
    5
    Вес репутации
    20
    Цитата Сообщение от миднайт Посмотреть сообщение
    Добрый день. ESET NOD32 + McAfee Security Scan. У Вас 2 антивируса? Должен быть только один.
    Пробуйте эту версию AVZ http://gjf.hotbox.ru/svchost.pif
    Результат самолечения... имеем только результат.

  6. #5
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для миднайт
    Регистрация
    28.03.2009
    Адрес
    Voronezh
    Сообщений
    9,466
    Вес репутации
    729
    Paula rhei.
    Поддержать проект можно тут

  7. #6
    Junior Member Репутация
    Регистрация
    17.08.2011
    Сообщений
    5
    Вес репутации
    20
    Сейчас буду пробовать

    Добавлено через 10 минут

    Не вариант, начинается создание скрипта и программа закрывается. Та же ситуация и с HiJackThis в полиморфном режиме.
    Последний раз редактировалось goalkeeper; 17.08.2011 в 17:03. Причина: Добавлено

  8. #7
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для миднайт
    Регистрация
    28.03.2009
    Адрес
    Voronezh
    Сообщений
    9,466
    Вес репутации
    729
    Сделайте лог ComboFix
    Paula rhei.
    Поддержать проект можно тут

  9. #8
    Junior Member Репутация
    Регистрация
    17.08.2011
    Сообщений
    5
    Вес репутации
    20
    Та же проблема, не запускается, если переименовать в Combo@Fix то при установке появляется сообщение "Невозможно открыть файл для записи NirCMD.cfxxe

    Добавлено через 8 минут

    Но при том могу подгрузить редактор реестра и если поискать искомый ехе-шник то




    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\e 3f0285c key

    ImagePath

    \systemroot\1546186979:470800291.exe




    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\WO W

    REG_MULTI_SZ

    \Device\HarddiskVolume1\WINDOWS\1546186979:4708002 91.exe





    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Control\WO W

    REG_MULTI_SZ

    \Device\HarddiskVolume1\WINDOWS\1546186979:4708002 91.exe


    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\e3f0285c




    HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\e 3f0285c


    ImagePath

    \systemroot\1546186979:470800291.exe


    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\WOW

    REG_MULTI_SZ

    \Device\HarddiskVolume1\WINDOWS\1546186979:4708002 91.exe


    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\e3f0285c

    ImagePath

    \systemroot\1546186979:470800291.exe

    но сам файл найти не удается.
    Последний раз редактировалось goalkeeper; 17.08.2011 в 18:10. Причина: Добавлено

  10. #9
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для миднайт
    Регистрация
    28.03.2009
    Адрес
    Voronezh
    Сообщений
    9,466
    Вес репутации
    729
    Утилиты от имени администратора запускаете?
    сделайте лог Gmer
    Paula rhei.
    Поддержать проект можно тут

  11. #10
    Junior Member Репутация
    Регистрация
    17.08.2011
    Сообщений
    5
    Вес репутации
    20
    Проблема решена. Format C:

  • Уважаемый(ая) goalkeeper, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Помогите справиться с autorun..
      От lubagira в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 05.04.2010, 12:45
    2. Помогите справиться.
      От rafik в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 30.07.2009, 15:38
    3. Помогите справиться с sfc.sys
      От Starik 74 в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 15.07.2009, 21:56
    4. Помогите справиться!!!
      От vladislafff в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 22.02.2009, 09:01
    5. Помогите справиться с вирусом
      От O.K. в разделе Помогите!
      Ответов: 24
      Последнее сообщение: 22.02.2009, 05:10

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01535 seconds with 20 queries