Помогите разобраться Руткит Spoofer?

**Rogalex** · 25.01.2010, 21:59

Добрый день!
Ситуация следующая: по ссылке выданную google (см. scan1.jpg) (http://www.check-car.ru/story1?31298...9627c73095cf4b) заскочил на сайт где вылетела системная табличка (см. scan.jpg), что я якобы вирусован и началось сканирование, хотя я сразу все позакрывал и никакие ОК не нажимал. Касперский не выдал ничего. Сделал полную проверку Касперским (КИС 2009 у меня стоит) - ничего не нашел. CureIt! тоже проблем не выявил. Но Касперский начал закидывать мессагами про IrpTableChanged и Подозрительные операции на внесение изменений в ядро, а именно драйвер NTFS.sys, только с одной кнопкой разрешить, без нажатия которой не возможно дальше было работать (см.kasper.jpg). Причем эти мессаги вылетали со скоростью 5 штук в секунду, наверное. Никакие эмуляторы у меня не запущены, типа даемона или Алкохоля, хотя Даемон стоит, но за год ни разу ничего не выдавало подобного. Дважды он вылетало системное сообщение с просьбой установить аутлук почтовой прогой по умолчанию (см. Outlook.jpg). Видимо что-то пыталось его запустить, но его у меня нет. (весь комплект браузер, календарь, почта от мозиллы). После перезагрузки они прошли, но ноут ASUS стал дико тормозить, а судя по окну Yota периодически отправляет небольшие пакеты в сеть сам с собой. Все логи прикрепил. AVZ выдал не опознанные перехватчики и подозрения на Spoofer.ARP.Netxys.

Помогите пожалуйста.
Александр

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**light59** · 26.01.2010, 10:38

В AVZ -> файл-> Выполнить скрипт

Код:

begin
 QuarantineFile('C:\Windows\Installer\41a80.msi','');
end.

Пришлите карантин согласно правил по ссылке Прислать запрошенный карантин.

**Rogalex** · 26.01.2010, 11:19

Все сделал:
Файл сохранён как 100126_111548_virus_4b5ea4b4292ae.zip
Размер файла 2241897
MD5 0c26623044facb97411bb1cb1cb0e4d5

**Rogalex** · 26.01.2010, 12:13

Симптомы увеличиваются. Когда Касперский пытается обновляться - то зависает на отметке в 100% (вся система), перезагрузка не работает приходится выключать кнопкой питания. После каждой перезагрузки все хуже и хуже. Сейчас посыпались однотиповые атаки на порт 135 (см.скрины). IP меняются каждый раз.

Спустя еще одну вынужденную перезагрузку Касперский начал ловить непонятные обращения от разных программ к файлу в карантине. (см. скрин). Торможения возрастают.

**Rogalex** · 27.01.2010, 13:10

День Третий. Система сама собой успокоилась. Тормоза вроде бы исчезли. Касперский обновленный до KIS 2010 стал нормально обновляться. Единственное что раздражает и убивает так это нерекращающиеся атаки Win.DCON.exploit на 135 порт соответственно. Такое чувство, что что-то его "приглашает" сюда.

Подозрительный файл 41a80.msi был отправлен в вирлаб Касперского - получен ответ, что ничего подозрительного не найдено (вирустотал - аналогично)

Ни один антивирус: Касперский, Панда, КурИт Д-р Веба, Тренд майкро и пр. не находят ничего. Но возникает 3 вопроса к уважаемому Хелперу:
1.) почему касперский орал, что идут изменения в ядре, и причина глюков второго дня?
2.) Почему пошли непрекращающиеся атаки на 135 порт, которых раньше никогда не было?
3.) Можно ли считать, что комп незаражен и пользоваться им без ограничений (банк-клиент и пр.)? Готов переустановить систему на (полностью отформатированный диск), но как проверить и быть уверенным на 100%, что ничего нет зловредов в мастер бут секторе?