Непонятная активность в системе

[Darlord]

История такая. Стояли кав7+агнитум фаер, программа которая графики по траффику рисует (bwmeter), собственно замечаю левый траффик, в фаере видно что опера ломится по ip адресу, примерно 2 новых соединения в секунду, ответа не получает. Поекспериментировав выяснил что долбежка по адресу начинается когда запущены либо опера либо интернет експлорер. Адрес заблочил в фаере, такая ситуация примерно неделю. Удаляю кав и фаер, ставлю кис8, утром оставляю проверку, вечером после перезагрузки получаю 100%-ю загрузку проца процессом System. Через ProcessExplorer видно что грузит драйвер irenum.sys.

При создании логов приложениям ставил приоритет "выше среднего"

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('0.exe','');
 DeleteFile('0.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

C:\Documents and Settings\Darlord\Рабочий стол\Текстовый документ (2).txt - что за файл с заданием в планировщике?

[Darlord]

C:\Documents and Settings\Darlord\Рабочий стол\Текстовый документ (2).txt - что за файл с заданием в планировщике?

пародия на поминальник, пользовал 1 раз оч давно

alltotray - програмка для сворачивания окон в трей по щелчку правой кнопки мыши по кнопке "закрыть" окна программы, у нее меню настроек вызывается если определенные кнопки на клавиатуре зажать

проблема с загрузкой процессора еще жива

[PavelA]

irenum.sys - драйвер инфракрасного порта.

[Darlord]

irenum.sys - драйвер инфракрасного порта.

я абсолютно не против его отсутсвия, на материнке есть конектор для ирды, но им не пользовался никогда и не собираюсь, я бы его сам удалил, но смущает связанное с ним в логах avz

еще забыл упомянуть - опера постоянно при первом-втором запуске после загрузки компа выдает ошибку 0хс0000142, переустановка оперы не избавила от етой ошибки

[AndreyKa]

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:

begin
SetAVZGuardStatus(True);
 SetServiceStart('IRENUM', 4);
 DeleteService('VMnetAdapter');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\irenum.sys','');
BC_QrFile('C:\WINDOWS\system32\DRIVERS\irenum.sys');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.

[Darlord]

Карантин залил

Вчера замораживал (Suspend) етот поток через processExplorer, сегодня он проц уже не грузит

когда читал вышенаписанный пост (от AndreyKa), процесс опера и csrss.exe грузили проц (75% и 25% соответственно), закрыл оперу, проц освободили оба

[AndreyKa]

Это руткит 100%.
Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 ClearQuarantine;
BC_QrFile('C:\WINDOWS\system32\DRIVERS\irenum.sys');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.

Выполните процедуру, описанную в первом сообщении: http://virusinfo.info/showthread.php?t=3519

[Darlord]

Карантин залил, у меня вопрос резонный - размер архива ~300 байт, внутри тока *.ini файл, а сам карантин содержит помимо *.ini файла еще файл 56Кб, мб его тоже в архив добавить?

[PavelA]

Это, примерно значит что файл чмстый, и AVZ не воспринимает его как вредный.

[AndreyKa]

Сомневаюсь что чистый.
Запакуйте файл из карантина в zip-архив с паролем virus
и загрузите через ссылку Прислать запрошенный карантин.

[Darlord]

архив залил

[PavelA]

Ответ из ЛК: файл чистый.

[AndreyKa]

Нет, ответ: "Этот файл повреждён."
Как минимум, проблемы с файловой системой на диске или с самим диском. Как максимум, руткит не позволяющий скопировать свое тело.
Darlord, обновите базы AVZ.
Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.

[PavelA]

А вот это что?

Здравствуйте,

irenum.sys

Вредоносный код в файле не обнаружен.

Пожалуйста, при ответе включайте переписку целиком.
Ответ актуален для последних баз с источников обновлений.

простой карантин дает размер файла - Size=11264
А ВС - Size=57728

[AndreyKa]

irenum.sys

Вредоносный код в файле не обнаружен.

Это про "огрызок" размером 11264 байт.

Этот файл повреждён

про начало файла размером 57728 байт, которое удалось скопировать через BootCleaner.
На самом деле, файл имеет размер не менее 67968 байт.

[Darlord]

Проблема с файловой системой была года 3 назад (уже минимум 2 винды снесено после етого), суть - попытка через partitionmagic 8 уменьшить размер диска Д и добавить к диску С, операция завершилась с ошибкой, после проверки и восстановлением с помощью стандартного средства винды 99.8% файлов диска С стали размером 0байт, на диске Д потерь не заметил

[Darlord]

Сделал полную проверку дисков, аномалии в логах:
Диск С:
Cleaning up 24 unused index entries from index $SII of file 0x9.
Cleaning up 24 unused index entries from index $SDH of file 0x9.
Cleaning up 24 unused security descriptors.
Диск Д:
Cleaning up minor inconsistencies on the drive.
Cleaning up 219 unused index entries from index $SII of file 0x9.
Cleaning up 219 unused index entries from index $SDH of file 0x9.
Cleaning up 219 unused security descriptors.
CHKDSK is verifying file data (stage 4 of 5)...
File data verification completed.
CHKDSK is verifying free space (stage 5 of 5)...
Free space verification is complete.
CHKDSK discovered free space marked as allocated in the
master file table (MFT) bitmap.
Windows has made corrections to the file system.

Сейчас идет суммарный трафик ~50-100 байт/сек в обе стороны по разным ip, кис8 ничего не видит, фиксирую через bwmeter (могу сделать лог отсылки/приема пакетов). Единственное что активно в системе: процесс csrss.exe, поток winsrv.dll+0x7cdf

Опера перестала стартовать с ошибкой

[AndreyKa]

Совершенно нормальный трафик для работающей службы Сервер.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 7
• В ходе лечения вредоносные программы в карантинах не обнаружены