Помогите разобраться с вирусом

[SergioS]

сидел в контакте, выбило из сети, начал проверять систему - посыпался винт... после замены винта и установки чистой системы проверил её последней версией АВЗ - все чисто(Алкоголь установлен)... вставляю флешку которая была вставлена во время сбоя системы и начинаю проверку тем же АВЗ... и тут же вылазит ROOTKIT и блокировка CALLBACK... читал по этому поводу много веток в которых описываеться что это из-за Алкоголя и новой версии АВЗ(которая блокирует перехватчики)... тогда вопрос: почему на чистой системе и ещё на другом компе(в который не вставлял эту флешку) с установленным Алкоголем эта же версия АВЗ ничего не детектирует??? логи заражённого компа прикрепил...

[V_Bond]

ничего подозрительного ...

[SergioS]

а что вообще-то подозрительного в том, что АВЗ каждый раз при перезагрузке блокирует RootKit и CallBack... которых раньше не было и которых нет на другом компе(при одинаковой установке винды и с одинаковым набором софта)... согласен.. подозрительного здесь ничего...

[V_Bond]

авз ничего не находит ... ну вам наверное виднее ...

[SergioS]

я ни в коем случае не хотел обидеть многоуважаемых хелперов... я считаю что таким людям как ВЫ обычные юзеры и многие сисадмины должны памятники при жизни ставить и потомкам в сказаниях Ваши имена и ники с благодарностью вспоминать... я просто хочу обратить Ваше внимание на данного вида задачу... полазив по веткам я понял что многие пользователи сталкивались с данным видом инфицирования и во всех ответах было сказано, что это либо эмуляторы CD либо в логах ничего подозрительного... может стоит обратить внимание разработчикам АВЗ и много уважаемым хелперам на данный вид инфицирования? может это новый вид вируса удачно маскирующийся под эмуляторы? потому что даже после полного удаления Алкоголя и блокировки его драйверов в SYSTEM32, АВЗ все равно подчеркивет красным, что надо блокировать RootKit... А при проверке пишет только, что есть маскировка процессов... Я может ошибаюсь, поправьте меня если что, но чистая система - это когда АВЗ не пишет красным о блокировке RootKit... Если сочтёте нужным и полезным моё сообщение, буду рад, если нет значит я идиот и не достоин Вашего внимания...

[Bratez]

чистая система - это когда АВЗ не пишет красным о блокировке RootKit

Дело в том, что наличие перехватов и наличие руткита в системе - это не одно и то же. Красный цвет - просто для привлечения внимания, но это не значит, что там непременно зловред.

Хотя, давайте на всякий случай проверим ваш эмулятор, что-то мне его дата рождения не нравится...
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\Drivers\sptd.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=92411).

[SergioS]

Дело в том, что наличие перехватов и наличие руткита в системе - это не одно и то же. Красный цвет - просто для привлечения внимания, но это не значит, что там непременно зловред.

Согласен полностью... А теперь взглянем на задачу чуть шире... Я привыкаю что при проверке у меня красным подписывается о блокировке RootKit и перестаю отмечать галочкой этот пункт... и мне через какое-то время можно подкинуть уже реально работающий RootKit... Может это долго играющий маркетинговый ход или у меня давно не лечившаяся паранойя... Карантин скинул.

[Bratez]

Файл в карантине чистый.

[SergioS]

Файл в карантине чистый.

И что делать???

[snifer67]

Антируткит реагирует так на эмулятор дисков.

[Bratez]

что делать?

Чернышевского почитайте, заодно узнаете кто виноват (шутка).

Ничего не надо делать, у вас все в порядке.

[SergioS]

Чернышевского почитайте, заодно узнаете кто виноват (шутка).

Читал, но не узнал... (шутка).
Благодарю за помощь и за потраченное время на меня время.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения вредоносные программы в карантинах не обнаружены