Подозрение на RootKit spss.sys, spwo.sys, spzk.sys, spfm.sys, spii.sys

[Crossfire]

Утилитой AVZ было получено сообщение:
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=0846E0)
Ядро ntkrnlpa.exe обнаружено в памяти по адресу 804D7000
SDT = 8055B6E0
KiST = 80503A70 (284)
Функция NtCreateKey (29) перехвачена (806222D2->BA6AA0E0), перехватчик spvp.sys
Функция NtEnumerateKey (47) перехвачена (80622B12->BA6C7CA2), перехватчик spvp.sys
Функция NtEnumerateValueKey (49) перехвачена (80622D7C->BA6C8030), перехватчик spvp.sys
Функция NtOpenKey (77) перехвачена (80623668->BA6AA0C0), перехватчик spvp.sys
Функция NtQueryKey (A0) перехвачена (8062398C->BA6C810, перехватчик spvp.sysФункция NtQueryValueKey (B1) перехвачена (8062038C->BA6C7F8, перехватчик spvp.sys
Функция NtSetValueKey (F7) перехвачена (80620992->BA6C819A), перехватчик spvp.sys
Проверено функций: 284, перехвачено: 7, восстановлено: 0

Нод32, Панда 2008 и Др. Веб ничего не нашли. После выполнения скриптов на удаление РутКитов "перехватчик spvp.sys" начал изменять имя файла на spss.sys, spwo.sys, spzk.sys, spfm.sys, spii.sys и т.д. sp*.sys. При попытке физического поиска этого файла поисковик ничего не находит. Логи прикркплены. Конечно всё снести и переустановить проще, но очень хотелось бы разобраться что это такое.

[V_Bond]

выполните скрипт ...

begin
 QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\cusbohcn.sys','');
BC_Importall;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
sp??.sys от DAEMON Tools ...

[Crossfire]

Я отправил, про sp??.sys это перехватчик меняет своё имя согласно данной маске, Демон тулз из подозрений я откинул сразу. Кстати забыл сказать еще была ошибка системы при автозагрузке файла NMBgMonitor.exe из пакета Nero 8. А так же после установки Панды или обновления баз AVZ появилось подозрение на рут кит в файле PavProc.sys, вот кусок лога:

Функция NtTerminateProcess (101) перехвачена (805D13E4->B5681A70), перехватчик C:\WINDOWS\system32\DRIVERS\PavProc.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtTerminateThread (102) перехвачена (805D15DE->B5680E40), перехватчик C:\WINDOWS\system32\DRIVERS\PavProc.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован

[V_Bond]

PavProc.sys от панды ....
sp??.sys от DAEMON Tools 100%

[Crossfire]

От Демона sptd.sys я это знаю, про pavProc я понял, а что делать с этим файлом, который меняет своё имя после скрипта на руткиты? Этот файл невозможно физически обнаружить в системе...

[V_Bond]

это динамические драйвера демона ... в новой версии так ...

[Crossfire]

Хммм, это что, выходит что все эти файлы, которые меняют своё имя ТОЛЬКО после лечения являются "динамическими драйверами демона"?

[V_Bond]

ини меняют имя прикаждой загрузке ... причем на диске их нет ...

[Crossfire]

Так вынес Демона вместе с приводами, почистил реестр, а проблема осталась.

[V_Bond]

демон так не сдается ... драйвер остался ... 100 %

[Crossfire]

Благодарю за помощь!

[wise-wistful]

Нам интересно Ваше мнение о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены