Руткиты

[santa13]

сама запустилась Служба обнаружения SSDP- отключал, на экране в любых формах может появится такая надпись

еуыееуыееуыееуыееуыееуыееуыееуыееуыееуыееуыееуыееу ыееуыееуыееуыееуыееуыееуыееуыееуыееуыееуыееуыееуые еуыееуыееуыееуыееуыееуыееуыееуыееуыееуыееуыееуыееу ыееуыееуыееуыееуыееуыееуыееуыееуыееуыееуыееуыееуые

при этом с клавиатурой при этом неработал,

в папке локалсетингс файл ntuser.dat.LOG с интересным содержимым

[santa13]

а как же это:

Функция user32.dll:ChangeDisplaySettingsExA (34) перехвачена, метод APICodeHijack.JmpTo[100AB842]
>>> Код руткита в функции ChangeDisplaySettingsExA нейтрализован
Функция user32.dll:ChangeDisplaySettingsExW (35) перехвачена, метод APICodeHijack.JmpTo[100AB86E]
>>> Код руткита в функции ChangeDisplaySettingsExW нейтрализован
Функция user32.dll:EndTask (202) перехвачена, метод APICodeHijack.JmpTo[100AB52A]
>>> Код руткита в функции EndTask нейтрализован
Функция user32.dll:SetForegroundWindow (600) перехвачена, метод APICodeHijack.JmpTo[100AB4D2]

\driver\tcpip[IRP_MJ_CREATE] = F908315A -> D:\WINDOWS\system32\drivers\afwcore.sys, драйвер опознан как безопасный
\driver\tcpip[IRP_MJ_DEVICE_CONTROL] = F9083664 -> D:\WINDOWS\system32\drivers\afwcore.sys, драйвер опознан как безопасный
\driver\tcpip[IRP_MJ_INTERNAL_DEVICE_CONTROL] = F90834DC ->

Анализатор - изучается процесс 1336 D:\Program Files\Mozilla Firefox\firefox.exe
[ES]:Может работать с сетью
[ES]:Загружает DLL RASAPI - возможно, может работать с дозвонкой ?

Добавлено через 23 минуты

НЕМОЖЕТ БЫТЬ ЧТОБ НИЧЕГО НЕБЫЛО!!! или ВЫ ТОЛЬКО ПРИМЕТИВНЫХ ТРОЯНОВ ЛОВИТЕ? А С РУТКИТАМИ СЛАБО СПРАВИТЬСЯ?

[light59]

выполните скрипт

begin
 QuarantineFile('D:\WINDOWS\system32\drivers\keyscrambler.sys','');
end.

пришлите карантин, как написано в правилах.


А это ничего, что перед созданием логов нужно выгрузить все программы?

уыееуыееуыееуыееуыееуыееуыееуыееуыееуыееуые

Это AVZ шалил. Кейлоггеров ловит.

ВЫ ТОЛЬКО ПРИМЕТИВНЫХ ТРОЯНОВ ЛОВИТЕ?

Вы по разделу-то погуляйте, посмотрите каких мы там примитивов ловим.

А С РУТКИТАМИ СЛАБО СПРАВИТЬСЯ?

Их тут через тему по букету.

отпрвляет исходящие на ФТП 78.107.100.10

inetnum: 78.106.0.0 - 78.107.255.255
netname: RU-CORBINA-20070606
descr: Investelektrosviaz Ltd.
country: RU
org: ORG-CTaM1-RIPE




А выгрузить фаерволы и прочее забыли?