Printable View
на пк было два трояна, к сожалению как они назывались я не записал. их файлы размещались в D: и Е: ; трояны блокировали доступ в интернет.
после удаления остались какието блоки которые определяются AVZ.
также иногда пропадает подключение к интернет, но при перезагрузки восстанавливаеться.
Dr.Web CureIt ничего не находит.
Мой антивирус Symantec Norton AntiVirus тоже ничего не находит.
[QUOTE=NikSan;321858]после удаления остались какието блоки которые определяются AVZ.[/QUOTE]Вот это? Эвристика фолсит.[CODE]3. Scanning disks
C:\Program Files\Mathsoft\Mathcad 11 Enterprise Edition\improc.dll.bak - PE file with non-standard extension(dangerousness level is 5%)
File quarantined succesfully (C:\Program Files\Mathsoft\Mathcad 11 Enterprise Edition\improc.dll.bak)
C:\Program Files\Mathsoft\Mathcad 11 Enterprise Edition\mathcad.exe.bak - PE file with non-standard extension(dangerousness level is 5%)
File quarantined succesfully (C:\Program Files\Mathsoft\Mathcad 11 Enterprise Edition\mathcad.exe.bak)
C:\Program Files\Mathsoft\Mathcad 11 Enterprise Edition\signal.dll.bak - PE file with non-standard extension(dangerousness level is 5%)
File quarantined succesfully (C:\Program Files\Mathsoft\Mathcad 11 Enterprise Edition\signal.dll.bak)
C:\Program Files\Mathsoft\Mathcad 11 Enterprise Edition\wavelets.dll.bak - PE file with non-standard extension(dangerousness level is 5%)
File quarantined succesfully (C:\Program Files\Mathsoft\Mathcad 11 Enterprise Edition\wavelets.dll.bak)
C:\Program Files\ProLing\Rt32_pm.dll >>> suspicion for Trojan.Win32.Pakes.lis ( 0063F357 01009318 0019B9F5 0018D246 77824)
File quarantined succesfully (C:\Program Files\ProLing\Rt32_pm.dll)
C:\Program Files\The Cleaner\cleaner.exe.bak - PE file with non-standard extension(dangerousness level is 5%)
File quarantined succesfully (C:\Program Files\The Cleaner\cleaner.exe.bak)
Direct reading C:\WINDOWS\system32\drivers\sptd.sys[/CODE]
[QUOTE=NikSan;321858]также иногда пропадает подключение к интернет, но при перезагрузки восстанавливаеться.[/QUOTE]Провайдеру звонили?
больше интересует что это такое:
[CODE]1.5 Checking of IRP handlers
\FileSystem\ntfs[IRP_MJ_CREATE] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_CLOSE] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_WRITE] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_SET_EA] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 823D91E8 -> hook not defined
\FileSystem\ntfs[IRP_MJ_PNP] = 823D91E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_CREATE] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_CLOSE] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_WRITE] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_QUERY_EA] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_SET_EA] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 821971E8 -> hook not defined
\FileSystem\FastFat[IRP_MJ_PNP] = 821971E8 -> hook not defined
Checking - complete
[/CODE]
да провайдеру звонил, даже потребовал чтобы все проверили, там все в порядке.
[QUOTE=NikSan;321872]больше интересует что это такое[/QUOTE]Это от эмулятора дисков, не страшно. Интернет падает только сегодня? В логах нет ни чего, что указывало бы на причину таких падений.
да падает только сегодня.
дело в том что я сегодня борюсь с трояном какимто, антивирусы его не видят, когда удаляешь его файлы которые лежат в корневом каталоге D: то все вроди ниче, а потом через неопределенное время он появляется.
вот имя екзе файла: yyaas.exe
антивирусы его как вирус не распознают.
также к нему файлик без розрешений: khr
это все блокирует вход на логический диск. туда можно попасть только через проводник.
посмотрите пожалуйста лог файлы в теме "Странный KernelMode"
это файди одного из двух пк связаных в сети.
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
вот толькочто раздобыл название "гаденыша" : Win32.HLLW.Autoruner.3438
[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]
если нужно могу скинуть файлы.
p.s. *.exe файлы появляються разные
В логах этих файлов нет, значит они появились уже после. Что Вы делали после снятия логов? Флэшку вставляли?
ничего не делал... толькочто в очередной раз просканил систему и удалал файлик csrss.exe. а прежние (выше описанные) файлы поместил в карантин, итого на диски попасть можно но интернет по прежнему через некоторое время пропал.
потом я просканировал касперским (Kaspersky Virus Removal Tool) он обнаружил что lsass.exe заражен.
возникает вопрос: можно ли удалять даный системный файлик?
и если удалю то что будет?
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
извините за огромное время ответа, просто инет пропадает постоянно.
Сделайте повторно логи. На время лечения компьютеры не соединяйте.