Показано с 1 по 7 из 7.

AVZ что-то находит - помогите разобраться (заявка № 35120)

  1. #1
    Junior Member Репутация
    Регистрация
    04.12.2008
    Сообщений
    4
    Вес репутации
    30

    Question AVZ что-то находит - помогите разобраться

    Здравствуйте. Недавно скачал AVZ. При проверки он нашёл перехватчики и др., в основном это были файлы антивируса и файрволла. Но было ещё кое-что, непонятное для меня. Например, в пункте 1.1 были строчки, подобные этой:
    Код:
    Функция kernel32.dll:CreateProcessA (99) перехвачена, метод CodeHijack (метод не определен)
    и в пункте 1.5 строчки, подобные этой:
    Код:
    \FileSystem\ntfs[IRP_MJ_CREATE] = 8A7CB1F8 -> перехватчик не определен
    Я сначала решил что это всё антивирус и файрволл, но сегодня решил это проверить. Деинсталлировал их, а заодно и эмулятор привода диска. Запустил проверку и увидел, что появилось ещё что-то совсем мне непонятное В пункте 1.2, где раньше были файлы антивируса и файрволла, появились сообщения о перехватчике ****.sys. Что это за файл и где он находится я не смог выяснить, причём название его при последующих проверках меняется. Также я не пойму что вот это за файл в пункте 3:
    Код:
    Прямое чтение H:\WINDOWS\system32\drivers\sptd.sys
    Помогите разобраться, а то у меня такое чувство появилось, что в системе какой-то тщательно скрывающийся от меня и антивируса руткит
    Прилаживаю в этом сообщении логи с установленными антивирусом и файрволлом:
    Вложения Вложения

  2. Реклама
     

  3. #2
    Junior Member Репутация
    Регистрация
    04.12.2008
    Сообщений
    4
    Вес репутации
    30
    А вот логи с деинсталлированными антивирусом, файрволлом и эмулятором привода диска. Также прошу помочь разобраться с другими пунктами
    2.
    Код:
    Анализатор - изучается процесс 380 *:\WINDOWS\system32\PnkBstrA.exe
    [ES]:Может работать с сетью
    [ES]:Может отправлять почту ?!
    [ES]:Приложение не имеет видимых окон
    [ES]:Размещается в системной папке
    что это означает? оно может отправлять какие-то письма без моего ведома?
    3.
    Код:
    *:\Program Files\ATI Technologies\ATI.ACE\Graphics-Previews-Common\MMACEPrev.exe >>> подозрение на Trojan.Win32.Vapsup.lvd ( 0069AF23 08CD5FC5 001E12A2 001C7B21 102400)
    я качал дрова с оффсайта - вряд ли это троян
    Код:
    *:\Program Files\OpenOffice.org 3\program\unopkg.com - PE файл с измененным расширением, допускающим запуск (присуще вирусам)(степень опасности 35%)
    что это ?
    8.
    Код:
    >> Безопасность: к ПК разрешен доступ анонимного пользователя
    это служба какая-то? какая и нужно ли её отключать?
    Вложения Вложения

  4. #3
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для drongo
    Регистрация
    17.09.2004
    Адрес
    Israel
    Сообщений
    7,165
    Вес репутации
    967
    Достаточно было антивирус отключить Но вы сделали больше, что похвально. Может в правила впишем ваше предложение со ссылкой на вас, как рационализатора
    отвечаю по вашим пунктам:
    1- sptd.sys - от эмулятора дисков- собственно это руткит, только с хорошими намерияними,то есть эмулирует диск, когда его нет физически.эмулятор привода диска-не сдаётся просто так всё равно я вижу его следы в логах.
    2 PnkBstrA.exe
    - этот файл от онлайн игр против читеров, то есть если тяжёлыми играми в оналайн не играете, то можно избавиться от него. Не думаю что он почту шлёт, возможно теоретически и может, можно
    Олега спросить, если очень интересно. (запакуйте его как полагается и напишите письмо Олегу Зайцеву)
    3. MMACEPrev.exe- часть кода похоже, вот и сообщает. Опять же, письмо к Олегу, в теме указать false positive, проверьте пожалуйста
    unopkg.com - PE файл с измененным расширением, допускающим запуск-
    .тут даже перевода не надо. файл с расширением com действительно исполняемый файл, а что вас тут удивило?

    8.нет, это не служба, это параметр в реестре. По умолчанию в виндоус
    к ПК разрешен доступ анонимного пользователя.
    Отключать или нет- это смотря по обстоятельствам. Безопасней отключить. Если один компьютер, то с закрытыми глазами отключать.(Насчёт глаз я образно:лучше проводить любые действия с открытыми глазами, а то можно не то отключить :0). Если у вас десяток компьютеров соединенные в сеть, то легче оставить, но безопаснее отключить и настроить так чтобы друг друга видели, а чужие анонимки нет.

    Я удовлетворил ваше любопытство? Теперь и вы моё удовлетворите, несколько файлов хотелось бы чтобы вы прислали.
    Для этого нужно вам выполнить скрипт в avz:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('H:\Program Files\TGTSoft\StyleXP\TGT_BHO.dll','');
     QuarantineFile('H:\WINDOWS\system32\linkdel.cmd','');
     QuarantineFile('H:\Program Files\ATI Technologies\ATI.ACE\Graphics-Previews-Common\MMACEPrev.exe','');
     QuarantineFile('H:\WINDOWS\system32\DRIVERS\rspndr.sys','');
     QuarantineFile('H:\Program Files\ATI Technologies\ATI.ACE\Branding\Branding.dll','');
    BC_Importall;
    BC_Activate;
    RebootWindows(true);
    end.
    карантин прислать по ссылке http://virusinfo.info/upload_virus.php?tid=35120
    Последний раз редактировалось drongo; 04.12.2008 в 23:50.

  5. #4
    Junior Member Репутация
    Регистрация
    04.12.2008
    Сообщений
    4
    Вес репутации
    30
    Да, я решил деинсталлировать всё что явно могло, на сколько я понимаю, обнаруживаться AVZ. Но я всё таки хотел бы узнать, что он находит после деинсталляции этого всего. Я имею ввиду эти 7 функций KiST, где перехватчик какой-то файл, с изменяющимся каждый раз именем. То spzj.sys, то spmm.sys, то spxi.sys или ещё как. Месторасположение его не указано, просто написан этот файл и всё. И что значит "перехватчик не определен" - это нормально? По остальному я понял, службу PnkBstrA отключил, файл удалил вроде (оно мне действительно не надо ). А скажите, пожалуйста, путь до этого параметра в реестре, и как этот параметр изменить, чтоб не было доступа анонимного пользователя.
    Файл linkdel.cmd в авторане. Зачем не знаю, но в его описании написано что это "Командный сценарий Windowd NT". Скрипт выполнил, карантин отправил.

  6. #5
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    В присланном Вами файле не найдено ничего вредоносного.

  7. #6
    Junior Member Репутация
    Регистрация
    04.12.2008
    Сообщений
    4
    Вес репутации
    30
    Спасибо! Извините за эти вопросы, пожалуйста Лень было поиском пользоваться Всё нашёл. Вообще можно тему "ф топку", так как автор не воспользовался поиском перед её созданием

  8. #7
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,547
    Вес репутации
    941

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 15
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) Chrono, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. помогите разобраться в AVZ
      От Tara в разделе Антивирусы
      Ответов: 4
      Последнее сообщение: 05.01.2010, 19:01
    2. Помогите разобраться
      От cobra1969 в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 08.03.2009, 15:29
    3. Ответов: 4
      Последнее сообщение: 22.02.2009, 06:54
    4. Помогите разобраться...
      От xromikigor в разделе Помогите!
      Ответов: 18
      Последнее сообщение: 22.02.2009, 01:52
    5. Помогите разобраться!!!
      От denveridze в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 22.02.2008, 14:09

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00977 seconds with 22 queries