Шпион Spysure восстанавливается после перезагрузки

**denison** · 22.03.2008, 14:49

Agava antispy нашел на ПК шпиона "Spysure", вылечил, но после перезагрузки он вновь появляется, антивирус AVG и фаирвол Outpost на него не реагируют. После выполнения скрипта "лечение и сбор информации" с помощью AVZ, шпион остался цел и невридим (проверил AGAVой), удалял в ручную записи в реестре на которые показал анишпион, не помогло. Нашел описание в интернете, но его файлов и папок в директориях в которых он должен прописаться не нашел.

Все делал по правилам, за единственным исключением, антивирус AVG не отключал, тк через меню не отключается, а выключать в ручную не рискнул, чтобы не выключить что-нибудь лишнее, прошло вроде все хорошо.

И еще 1 вопрос в протоколе сканирования есть строчка что к ПК разрешен доступ анонимного пользователя. У меня активна только 1 учетная запись с правами администратора, остальные либо удалены (что удаляется) либо отключены (встроенная учетка администратора тоже отключена), как это понимать?

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Rene-gad** · 22.03.2008, 15:00

Выполните скрипт

begin
QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
QuarantineFile('c:\progra~1\common~1\target~1\tmag ent\tmasrv.exe','');
QuarantineFile('spes.sys','');
end.

Карантин закачайте по правилам

**denison** · 22.03.2008, 15:53

Закачал.

**Rene-gad** · 22.03.2008, 18:40

Сообщение от denison

Закачал.

spes.sys не попал. Попробуйте поискать вручную и закачать.

**denison** · 22.03.2008, 20:35

Искал разными способами, не нашел. Только в реестре 1 ключ. Его и прислал.

**wise-wistful** · 22.03.2008, 21:38

Диамон/алкоголь установлен? spes.sys - это от него.

**denison** · 22.03.2008, 21:43

Да Диамон стоит, но он не загружается автоматом. Файл не является шпионом?

Удалил вручную
[HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\5603]
"000"="spes.sys"

Всеравно при старте шпион обнаруживает себя.
Обычный поиск и через AVZ не находит ничего с именем "spes"

**wise-wistful** · 22.03.2008, 21:46

Нет он не шпион в прямом смысле слова. То что он не загружается автоматом это ещё ни о чём не говорит. после полного удаления диамона остаётся один драйвер, который нужно только отдельно "умервщлять".

**denison** · 24.03.2008, 22:10

Нет. Это не диамон.
Отформатировал диск, постаивил другой XP2, установил драйвера, аутпост софициального сайта, бесплатный нод 32, агаву антиспай, больше ничего не ставил, запускаю агаву, опять этот шпион!

**akok** · 24.03.2008, 22:25

агава бесплатная версия?

Добавлено через 2 минуты

явных шпионов в последнем комплекте логов не заметил

**denison** · 24.03.2008, 23:11

Да бесплатная, показывает модуль рекламы внизу браузера (вернее должна показывать

), раньше тоже бесплатная была, но шпионов не обнаруживала.

**akok** · 24.03.2008, 23:36

давайте файлик в архив и закачайте по правилам на анализ

**denison** · 25.03.2008, 17:14

Закачал установочный файл в exe формате.

**wise-wistful** · 25.03.2008, 23:28

Аналитики ответили, что aas.exe - not-a-virus:AdTool.Win32.TMAagent.f.

**denison** · 25.03.2008, 23:38

Сообщение от wise-wistful

Аналитики ответили, что aas.exe - not-a-virus:AdTool.Win32.TMAagent.f.

нашел похожее с помощью AVG antispy ("not-a-virus" было в названии) им было заражено несколько файлов в паке с Firefox-ом, "уровень опасности высокий", удалил все, повторное сканирование его не нашло, запустил Агаву, она опять нашла "Spysure"