подозрение на руткит

**miha2004** · 10.12.2009, 16:43

Доброго времени суток.
Я подключался к машине по удаленному рабочему столу.
недавно решил проверить машину avz и программа выдала:
c:\documents and..\администратор\windows\system32\smss.exe подозрение на rootkit.
Подскажите пожалуйста как лечить?

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Ingener** · 10.12.2009, 17:16

Выполните правила

**miha2004** · 10.12.2009, 18:06

простите

**thyrex** · 10.12.2009, 23:59

На серверах это в порядке вещей

C:\32788R22FWJFW\n.pif
C:\32788R22FWJFW\pv.com

Это знакомо?

Почему старый AVZ использовали, если есть версия 4.32?

**miha2004** · 11.12.2009, 12:29

Сообщение от thyrex

На серверах это в порядке вещей

Это знакомо?

Почему старый AVZ использовали, если есть версия 4.32?

Не знакомо.
Вот проверил 4.32
Вот лог

**Bratez** · 11.12.2009, 13:03

Логи старые опять прикрепили.

**miha2004** · 11.12.2009, 13:09

я проверил новой версией программы с новыми базами.
ничего не нашел кроме
c:\documents and..\администратор\windows\system32\smss.exe
что за файлы
C:\32788R22FWJFW\n.pif
C:\32788R22FWJFW\pv.com
я не знаю.
подскажите, какие действия мне нужно выполнить.
Спасибо.

**pig** · 11.12.2009, 19:22

Вы свежие логи прикрепите, тогда скажем.

**miha2004** · 11.12.2009, 20:04

самый свежий

**thyrex** · 11.12.2009, 23:01

Выполните скрипт в AVZ

Код:

begin
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\CRHRC.exe','');
QuarantineFile('C:\32788R22FWJFW\n.pif','');
QuarantineFile('C:\32788R22FWJFW\pv.com','');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

**miha2004** · 12.12.2009, 16:54

Карантин пустой, т.к. файлы удалил еще вчера до прочтения сообщения
вот новый лог

**thyrex** · 12.12.2009, 21:23

На терминальных серверах строка

c:\documents and..\администратор\windows\system32\smss.exe

в порядке вещей

Плохого в логах не обнаружил

**miha2004** · 13.12.2009, 09:13

тогда почему подозрение на руткит?

**thyrex** · 13.12.2009, 13:00

Сообщение от miha2004

тогда почему подозрение на руткит?

Особенность работы AVZ на серверных системах

**miha2004** · 15.12.2009, 13:07

после перезагрузки папка WINDOWS в учетке всеравно появляется

**thyrex** · 15.12.2009, 21:47

http://virusinfo.info/showpost.php?p...4&postcount=12

подозрение на руткит (заявка № 63210)

Опции темы

подозрение на руткит

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Похожие темы

Подозрение на руткит

Подозрение на руткит

Подозрение на руткит

Подозрение на руткит

Подозрение на руткит

Ваши права в разделе