win 2003: ошибки в SPI/LSP

[phoenix1984]

Протокол антивирусной утилиты AVZ версии 4.29
Сканирование запущено в 12.02.2008 21:37:51
Загружена база: сигнатуры - 149331, нейропрофили - 2, микропрограммы лечения - 55, база от 11.02.2008 19:48
Загружены микропрограммы эвристики: 370
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 68697
Режим эвристического анализатора: Средний уровень эвристики
Режим лечения: выключено
Версия Windows: 5.2.3790, Service Pack 1 ; AVZ работает с правами администратора
Восстановление системы: включено
1. Поиск RootKit и программ, перехватывающих функции API
>>>> Подозрение на маскировку файла процесса: C:\Documents and Settings\Администратор\WINDOWS\system32\smss.exe
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=0AEEE0)
Ядро ntoskrnl.exe обнаружено в памяти по адресу 80800000
SDT = 808AEEE0
KiST = 8083FC4C (296)
Проверено функций: 296, перехвачено: 0, восстановлено: 0
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Анализ для процессора 2
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM
2. Проверка памяти
Количество найденных процессов: 48
Количество загруженных модулей: 403
Проверка памяти завершена
3. Сканирование дисков
Прямое чтение C:\WINDOWS\sysvol\sysvol\Adrem.local\Policies\{6AC 1786C-016F-11D2-945F-00C04FB984F9}\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.tmp
4. Проверка Winsock Layered Service Provider (SPI/LSP)
$AVZ0637: "Tcpip" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\System32\mswsock.dl l
$AVZ0637: "NTDS" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\System32\winrnr.dll
$AVZ0637: "Network Location Awareness (NLA) Namespace" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\System32\mswsock.dl l
$AVZ0640 = "MSAFD Tcpip [TCP/IP]" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD Tcpip [UDP/IP]" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD Tcpip [RAW/IP]" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "RSVP UDP Service Provider" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "RSVP TCP Service Provider" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{C953C87F-D91F-411B-A0C2-FBC64128B8EC}] SEQPACKET 5" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{C953C87F-D91F-411B-A0C2-FBC64128B8EC}] DATAGRAM 5" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{5063571F-2182-41C3-AC06-F1466CBEBC7E}] SEQPACKET 3" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{5063571F-2182-41C3-AC06-F1466CBEBC7E}] DATAGRAM 3" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{2EA245C1-04AA-43A4-927A-3C84840D959F}] SEQPACKET 0" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{2EA245C1-04AA-43A4-927A-3C84840D959F}] DATAGRAM 0" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{4DD7F0D8-1650-492B-AA62-60810C3FD805}] SEQPACKET 1" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{4DD7F0D8-1650-492B-AA62-60810C3FD805}] DATAGRAM 1" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{0E5F57D2-F896-41FF-9D69-3675D043BB69}] SEQPACKET 2" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{0E5F57D2-F896-41FF-9D69-3675D043BB69}] DATAGRAM 2" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{5EA3EF58-79F8-4D70-A654-C56F14C10784}] SEQPACKET 6" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{5EA3EF58-79F8-4D70-A654-C56F14C10784}] DATAGRAM 6" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{4B39C9C2-CE8C-439F-9452-C3CCF905F59E}] SEQPACKET 7" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{4B39C9C2-CE8C-439F-9452-C3CCF905F59E}] DATAGRAM 7" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{85BAB476-F776-4171-93B7-86A55794F5F5}] SEQPACKET 4" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
$AVZ0640 = "MSAFD NetBIOS [\Device\NetBT_Tcpip_{85BAB476-F776-4171-93B7-86A55794F5F5}] DATAGRAM 4" --> $AVZ0623 C:\Documents and Settings\Администратор\WINDOWS\system32\mswsock.dl l
Внимание ! Обнаружены ошибки в SPI/LSP. Количество ошибок - 24
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
Проверка отключена пользователем
7. Эвристичеcкая проверка системы
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба Messenger (Messenger)
>> Службы: разрешена потенциально опасная служба Alerter (Alerter)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК
Проверка завершена
9. Мастер поиска и устранения проблем
Проверка завершена
Просканировано файлов: 73655, извлечено из архивов: 58445, найдено вредоносных программ 0, подозрений - 0
Сканирование завершено в 12.02.2008 21:55:58
Сканирование длилось 00:18:09
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться в конференцию - http://virusinfo.info

лечению упомянутый smss.exe не поддается, после перезагрузки при повторном сканировании отчет о нем появляется снова. реально этой папки не существует.

Машина выполняет функции контроллера домена, из-за чего страшновато запускать восстановление SPI/LSP (вдруг вапще перестанет с сетью работать).

Интересует как это победить и чем это могло быть вызвано (что за зараза такая и как работает/передается)

[PavelA]

smss.exe - это фича AVZ, или файл действительно существует в указанной директории.
Если его там нет, то можно быть спокойным. ИМНО

Насчет ошибок - точно такие же выводы. "Особенности нац. охоты", т.е. работы AVZ

[phoenix1984]

smss.exe - это фича AVZ, или файл действительно существует в указанной директории.
Если его там нет, то можно быть спокойным. ИМНО

Насчет ошибок - точно такие же выводы. "Особенности нац. охоты", т.е. работы AVZ

Но на втором сервере под win 2003 avz отрабатывает вообще без ошибок...
Мне кажется, эти ошибки неспроста.

[Pili]

phoenix1984, не рекомендую запускать AVZ из терминальной сессии.

[pig]

На втором, наверное, терминальный сервер не поднят.

[XiTri]

У меня такое тож возникает, из консоли но сервер терминальный
HiJack так-же ошибается, в путях путает:
C:\Documents and Settings\Администратор\WINDOWS\system32
C:\WINDOWS\system32

это происходит с завидной регулярностью на некоторых терминальных серверах и не важно как запускать программы.

Предположительно проблема в настройках терминалки, но каких?
Если кто даст ответ или хотяб пищу для размышлений буду рад.
В любом случае.

Добавлено через 3 минуты

>>>> Подозрение на маскировку файла процесса: C:\Documents and Settings\Администратор\WINDOWS\system32\smss.exe

Возникает потому-что такого нет скорее всего, а
есть C:\WINDOWS\system32\smss.exe. И он же от сюда и запущен, поэтому подозрение на маскировку

Добавлено через 3 минуты

о точно дочитал: "реально этой папки не существует"

SPI кстати нормальный, LspFix говорит нормуль. лучше не фиксить

[pig]

Проблема в самом терминальном сервере. В том, что для совместимости со старыми программами %WinDir% отображается в профиль пользователя.

[XiTri]

Проблема в самом терминальном сервере. В том, что для совместимости со старыми программами %WinDir% отображается в профиль пользователя.

Можно-ли это обойти заранее на этапе установки настройки.
Ведь не на всех терминалках возникает такое, и не все программы ошибаются на "кривых" серверах.

Это скорей особенность работы MS терминалки вкупе с особенностями самих программ, т.е. по трактовке MS "ваши проблемы".

[Pili]

Это скорей особенность работы MS терминалки вкупе с особенностями самих программ, т.е. по трактовке MS "ваши проблемы".
C radmin возникают те же проблемы, надо бы ещё с pcanywere посмотреть :)

[XiTri]

Врятли с radmin будет проблема, да и radmin'ить на 2003server как-то нелогично,
надо будет с SubSeven проверить :)

[smaxs]

Я на терминале таки запустил исправления ТСП ЛСП теперь в браузерах при подключении к инету не открывается ниодна страничка куда копать как фиксить настройки восстанавливать?

Добавлено через 2 минуты

НЕ удаётся найти страницу поиска говорит.

[Numb]

Я на терминале таки запустил исправления ТСП ЛСП теперь в браузерах при подключении к инету не открывается ниодна страничка куда копать как фиксить настройки восстанавливать?
Вы фиксили LSP на серверной ОС ? Попробуйте так: из командной строки выполните команду:
netsh winsock reset Скорее всего, потребуется перезагрузка системы, после перезагрузки, возможно, нормальная работоспособность браузера будет восстановлена (но полной уверенности нет).

[smaxs]

Да согласен сглупил, просто никаких маршрутизаций и тд там не настроено просто терминальный сервак для бухгалтерии.

Добавлено через 1 минуту

Сейчас все поборол для и из-за чего все затевал а инет не работает, точнее по ип вроде все идёт то есть пинги по ИП и тд, а вто запросы по днс нифига :(

Добавлено через 25 минут

Сделал эффекта около 0 :((

Добавлено через 11 минут

а что такое в авз полная перенастройка СПИ?

Добавлено через 4 минуты

наврал на счёт пингов при попытке пингануть 194.67.57.126 то бишь майл пишет заданная сеть не доступна причм ответ такой с айписервера в диалап подключении.

Добавлено через 7 часов 40 минут

Решилось полной перенастройкой СПИ потом вбил ИП и все заработало.