Проблема

**magstorm** · 05.02.2009, 14:30

Подозрение на вирусы

>>> C:\WINDOWS\system32\csrcs.exe ЭПС: подозрение на Файл с подозрительным именем (высокая степень вероятности)

перехватчик spwn.sys

и др.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Гриша** · 05.02.2009, 14:43

Обновите базы AVZ!

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\csrcs.exe','');
 TerminateProcessByName('c:\windows\system32\csrcs.exe');
 DeleteFile('c:\windows\system32\csrcs.exe');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);    
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

**magstorm** · 05.02.2009, 15:04

теперь появился новый перехватчик

Функция NtCreateKey (29) перехвачена (8056E9A9->F770E0E0), перехватчик spim.sys

вирус переслать не удалось = удалил NOD32

что дальше?

**Гриша** · 05.02.2009, 15:07

sp??.sys-эмулятор дисков...

В логах чисто, установите SP3+all updates...

**Bratez** · 05.02.2009, 15:11

вирус переслать не удалось = удалил NOD32

На будущее: при работе с AVZ свой антивирус необходимо отключать.

**magstorm** · 05.02.2009, 15:11

Установленных программ эмуляторов дисков нет

стоит ZVER 2
WinXP SP2

**Bratez** · 05.02.2009, 15:21

Сообщение от magstorm

Установленных программ эмуляторов дисков нет

Однако драйвер sptd установлен. Эти sp??.sys - его "детки".

Можно его удалить таким скриптом:

Код:

 
begin
BC_DeleteSvc('sptd');
BC_Activate;
RebootWindows(true);
end.

Проблема (заявка № 39026)

Опции темы