\FileSystem\ntfs (и так далее) -> перехватчик не определен

Printable View

08.04.2008, 04:52
alex_prog

Вложений: 3

\FileSystem\ntfs (и так далее) -> перехватчик не определен

Доброго времени суток, уважаемые специалисты.
Обращаюсь к Вам за помощью.

1) Вот, одна из строк сообщения которое выдал мне АВЗ, хотелось бы разобраться что и по чем...
[B]\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 8559A1E8 -> перехватчик не определен[/B] - ЭТО ГЛАВНАЯ ПРИЧИНА ПО КОТОРОЙ Я К ВАМ ОБРАТИЛСЯ. Согласитесь, сообщение настораживающее.

2) После сканирования АВЗ сообщил о подозрении на троян в 3-х файлах. Они мне не нужны и я могу удалить их обычным способом, либо
способом который Вы подскажете.

3) Уже довольно продолжительный период KAV 6 выдает сообщение о том, что [B]C:\WINDOWS\PCHEALTH\HELPCTR\BINARIES\HelpSvc.exe [/B]постоянно пытается изменить в реестре какие-то данные [I](увы, не могу найти txt в котором сохранил данные о том куда именно ломится этот файл Но если нужно то при следующей попытке изменить данные, обязательно запишу...)[/I], причем просит это до тех пор пока не разрешишь. То есть, если "ЗАПРЕТИТЬ", то он (KAV) будет доставать сообщением о попытке изменить данные до бесконечности...

Заранее благодарю.
08.04.2008, 10:02
Numb

Пока так: на время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор. Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\amdfix.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\xinstall.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, карантин AVZ загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=21184[/url] , как написано в прил.3 правил.
08.04.2008, 14:21
alex_prog

To Numb

1) Выполнил скрипт
2) Проверил на наличие в карантине файлов amdfix.sys и xinstall.sys
3) Отправил карантин по указанной ссылке

Жду... :)

P.S. Информация на всякий случай...
После создания логов, я вновь включил восстановление системы (Только на C:\).

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 59 минут[/I][/B][/color][/size]

Если у кого из хелперов есть свободное время, может заглянете в пост?

Заранее благодарю, Алексей:)
08.04.2008, 15:07
Numb

Время есть, по карантину: C:\rmconverter.exe - [b]not-a-virus: Downloader.Win32.WinFixer.fs[/b] (по классификации Касперского). По остальному - пока ждем ответа.
09.04.2008, 06:37
alex_prog

To Numb, а что на счет нглавного вопроса?

1.5 Проверка обработчиков IRP
\FileSystem\ntfs[IRP_MJ_CREATE] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 855981E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CREATE] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CLOSE] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_WRITE] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_EA] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_EA] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_PNP] = 867631E8 -> перехватчик не определен
Проверка завершена

[B]Если я правильно понимаю, ждем анализа amdfix.sys и xinstall.sys?[/B]

============================================================================
Девять вечера, снова АнтВирКасп 6 выдает сообщение о попытке [B]C:\WINDOWS\PCHEALTH\HELPCTR\BINARIES\HelpSvc.exe[/B] пробиться в реестр.
На этот раз я сохранил полный текст сообщения:

Перехвачена попытка записи значения в ключе системного реестра, который входит в группу System Startup. Эти ключи контролируют состав модулей, загружаемых при запуске Microsoft Windows.

Рекомендуется разрешить доступ к этим настройкам только в том случае, если вы хотите, чтобы эта программа запускалась автоматически при включении компьютера. В остальных случаях рекомендуется запретить доступ.

Ключ: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\PchSvc

Значение: DataCollection

Старые данные(Строка Unicode, заканчивающаяся нулем):
20080407205713.000000-000

Новые данные(Строка Unicode, заканчивающаяся нулем):
20080408205714.000000-000

[B]Если не сложно, поясните, почему HelpSvc.exe лезет туда...[/B]

[size="1"][color="#666686"][B][I]Добавлено через 6 часов 24 минуты[/I][/B][/color][/size]

Я жив, я здесь, я жду...:>:)

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 7 минут[/I][/B][/color][/size]

Уж и не знаю как еще напомнить о себе...
По-прежнему жду помощи :-)

С уважением, Алексей
10.04.2008, 19:24
alex_prog

И снова напоминаю о себе, так, на всякий случай...:-)

Доброго времени суток.
И снова напоминаю о себе, так, на всякий случай... :)
12.04.2008, 19:32
alex_prog

To Numb

Доброго времени суток.
Провел собственное исследование и обнаружил, что файл xinstall.sys
скорее всего относиться к программе Ulead GIF Animator 5
Почему, по 2-м причинам.
1) В папке этой программы есть файл с похожим названием xinstall.ini
вот его содержимое:

[xinstall]
retries=3
buy=http://www.buyonet.com/s/u?id=4.53.48&page=xlok_big_shopping_cart&shopping_cart=0001-8894|1&design=ulead_design
timeout=10
wait=60
pop=1
web=http://www.ulead.com
naglogo=nag.bmp
logo=activation.bmp
note=Please Note: Following your purchase, the program will register this information the first time you start it. The program will convert into the full version the second time the program is started.
notetitle=Ulead

[serverlist]
s0=gdmsv1.gdm.sas.xtreamlok.com
s1=master.sas.xtreamlok.com

[phone]
USA=+1-800-539-0466
Sweden=+46 (31) 778 7900

Все довольно безобидно...

2) На другом компе где установлена эта прога при проверке АВЗ так же выскакивает сообщение о НЕОПРЕДЕЛЕННОМ ПЕРЕХВАТЧИКЕ...

Может быть совпадение, а может и нет.

Хотел деинсталировать прогу и проверить, что получится, но не вышло.
При деинсталяции с помощью "Установка и удаление программ" прога выдает сообщение о не возможности переустановки по причине уже установленной версии программы. Странно, я же не переустановить пытаюсь, а удалить! А в ручну не получается, потому как отсутствует фай UnInst.exe, UnInst.ini, Unvise или любые подобные...
Жду ответа...

С уважением, Алексей
14.04.2008, 18:47
alex_prog

To all HELPers

Еще ([I]думаю последний[/I]) раз прошу кого нибудь из хелперов, обратить внимание на этот пост и хоть что нибудь ([I]желательно по теме[/I]) ответить.
Я понимаю, что у вас и без меня хватает забот. В таком случае, дайте знать, хотя бы о том, что ответа ждать нет смысла.......
Думаю это будет почеловечески.

По-прежнему, с уважением, Алексей. :)
14.04.2008, 19:14
V_Bond

насчет главного ....
[code]
FileSystem\ntfs[IRP_MJ_CREATE] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 855981E8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 855981E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CREATE] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_CLOSE] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_WRITE] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_EA] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_EA] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 867631E8 -> перехватчик не определен
\FileSystem\FastFat[IRP_MJ_PNP] = 867631E8 -> перехватчик не определен
[/code]
- DAEMON Tools ...
его проделки ...
C:\rmconverter.exe not-a-virus: Downloader.Win32.WinFixer.fs
выполните скрипт
[code]
begin
DeleteFile('C:\rmconverter.exe ');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи ...
16.04.2008, 21:25
alex_prog

Вложений: 3

To V_Bond

Доброго времени суток.
1) Скрипт выполнил
2) Логи отправил

С главной проблемой разобрались, а что на счет второстепенной?

Девять вечера, снова АнтВирКасп 6 выдает сообщение о попытке [B]C:\WINDOWS\PCHEALTH\HELPCTR\BINARIES\HelpSvc.exe[/B] пробиться в реестр.
На этот раз я сохранил полный текст сообщения:

Перехвачена попытка записи значения в ключе системного реестра, который входит в группу System Startup. Эти ключи контролируют состав модулей, загружаемых при запуске Microsoft Windows.

Рекомендуется разрешить доступ к этим настройкам только в том случае, если вы хотите, чтобы эта программа запускалась автоматически при включении компьютера. В остальных случаях рекомендуется запретить доступ.

Ключ: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\Pch Svc

Значение: DataCollection

Старые данные(Строка Unicode, заканчивающаяся нулем):
20080407205713.000000-000

Новые данные(Строка Unicode, заканчивающаяся нулем):
20080408205714.000000-000

[B]Если не сложно, поясните, почему HelpSvc.exe лезет туда...[/B]

С уважением, Алексей
16.04.2008, 21:37
V_Bond

HelpSvc.exe - справка и поддержка .... от майкрософт ... если не нужно просто остановите службу ... проактивка у касперского сильно бдительная ...
16.04.2008, 22:07
alex_prog

To V_Bond

Понял, отключил, спасибо :)
22.02.2009, 04:48
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]