Показано с 1 по 4 из 4.

Похоже на RootKit. Как избавиться (заявка № 11106)

  1. #1
    Junior Member Репутация
    Регистрация
    23.04.2007
    Сообщений
    109
    Вес репутации
    36

    Thumbs up Похоже на RootKit. Как избавиться

    Что то странное творится с машиной. Сначала был непонятный трафик на внешние IP. Отловил вирус (DR.WEB-овской утилитой). Прогоняю AVZ - пишет про перехваченные функции.

    При проверке файла klif.sys - все чисто. Ни одини из антивирусов не срабатывает.
    Последний раз редактировалось alyen; 28.05.2008 в 12:46.

  2. Реклама
     

  3. #2
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1691
    В логах чисто. klif.sys - это перехватчик Касперского... Можно было ввести название в любой поисковик.

  4. #3
    Junior Member Репутация
    Регистрация
    23.04.2007
    Сообщений
    109
    Вес репутации
    36
    Спасибо.
    А правильно понял, что
    Функция kernel32.dll:GetProcAddress (40 перехвачена, метод ProcAddressHijack.GetProcAddress ->7C80AC28->7C882FEC
    Перехватчик kernel32.dll:GetProcAddress (40 нейтрализован
    Функция kernel32.dlloadLibraryA (57 перехвачена, метод ProcAddressHijack.GetProcAddress ->7C801D77->7C882F9C
    Перехватчик kernel32.dlloadLibraryA (57 нейтрализован
    >>> Функции LoadLibraryA - прививка процесса AVZ от перехвата подменой адреса !!)
    Функция kernel32.dlloadLibraryExA (579) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C801D4F->7C882FB0
    Перехватчик kernel32.dlloadLibraryExA (579) нейтрализован
    >>> Функции LoadLibraryExA - прививка процесса AVZ от перехвата подменой адреса !!)
    Функция kernel32.dlloadLibraryExW (580) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C801AF1->7C882FD8
    Перехватчик kernel32.dlloadLibraryExW (580) нейтрализован
    Функция kernel32.dlloadLibraryW (581) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C80ACD3->7C882FC4
    Перехватчик kernel32.dlloadLibraryW (581) нейтрализован
    Детектирована модификация IAT: LoadLibraryA - 7C882F9C<>7C801D77
    Адрес в IAT восстановлен: LoadLibraryA
    Детектирована модификация IAT: GetProcAddress - 7C882FEC<>7C80AC28
    Адрес в IAT восстановлен: GetProcAddress
    И
    >>> Внимание, таблица KiST перемещена ! (804E2D20(284)->85018B58(297))
    Функция NtClose (19) перехвачена (805675D9->EED11810), перехватчик C:\WINDOWS\system32\drivers\klif.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtCreateKey (29) перехвачена (8056F063->EED043C0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtCreateProcess (2F) перехвачена (805B3543->EED11520), перехватчик C:\WINDOWS\system32\drivers\klif.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtCreateProcessEx (30) перехвачена (805885D3->EED116A0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtCreateSection (32) перехвачена (80564B1B->EED12120), перехватчик C:\WINDOWS\system32\drivers\klif.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtCreateSymbolicLinkObject (34) перехвачена (805A27B0->EED11D90), перехватчик C:\WINDOWS\system32\drivers\klif.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtCreateThread (35) перехвачена (8057F262->EED12A80), перехватчик C:\WINDOWS\system32\drivers\klif.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtDeleteKey (3F) перехвачена (8059D6BD->EED044E0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Это нормально ?

  5. #4
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1691
    Нормально.

  • Уважаемый(ая) alyen, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Похоже,поймала странную версию rootkit=(
      От BKSHKA в разделе Помогите!
      Ответов: 21
      Последнее сообщение: 30.05.2011, 03:26
    2. Помогите избавиться от RootKit
      От Андрей П в разделе Помогите!
      Ответов: 13
      Последнее сообщение: 18.11.2010, 15:32
    3. Похоже на rootkit
      От klinx в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 04.02.2010, 23:03
    4. никак не избавиться от rootkit'ов и backdoor'ов
      От Fleksik в разделе Помогите!
      Ответов: 15
      Последнее сообщение: 08.09.2009, 13:43
    5. Как избавиться от Rootkit.Agent.DW wigon.Z
      От Paulig в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 01.08.2007, 11:29

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00909 seconds with 19 queries