проблемы с Win32.sector.19

Здравствуйте!

Некоторое время назад, по нашим двум компам и ноуту ( на всех Win2K3 server) прошла эпидемия сабжевого вируса, сначала ноут потом первый комп затем третий комп... лечил курилкой и лайв СД от доктора веба....
Но с третим компом все оказалось не просто, спустя несколько дней он опять был заражен (и через некоторое время вылечен) этим вирусом... после чего ситуация спустя некоторое время повторилась... причем последний раз 4 дневная (скачанная 4 дня назад) курилка ничего не находила, но что то выдавало ошибку с отсутвием необходимого сетевого или дискового ресурса. Как только включался инет, происходило повторное заражение.
После чего была произведена повторная проверка с паралельной ОС ХР бесплатным др вебом от корбины с актуальными базами, который нашел три файла зараженных модификацией сабжа. файлы отправлены в др веб.
Сейчас вроде все хорошо.
Что не нравиться так это логи avz утилиты про IRP и маскировку процессов.

- проверять AVPTool и CureIT в безопасном и нормальном режимах поочереди

Если в безопасном не грузится - в AVZ:
Файл - восстановление системы - п.10 - выполнить

Проверял с другой ОС, это не критично?:>
Последняя курилка ничего не нашла, а АВП нашел 9 зараженных файлов Sality.ae, все полечил...
А в AVZ все равно и IRP и скрытые процессы какие то...:(

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
SetAVZGuardStatus(True);
DeleteFile('D:\WINDOWS\system32\drivers\mfikpn.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('abp470n5');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Повторите логи.

Ну востановление системы в Win2k3 server и так отсутствует, а антивирусу отключил Spider Guard и самозащиту.
скрипт выполнил вот логи после перезагрузки.

Ничего зловредного в логах нет.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Выполните эту инструкцию [url]http://virusinfo.info/showthread.php?t=3519[/url] и загрузите полученный карантин через форму [url]http://virusinfo.info/index.php?page=uploadclean[/url] После его загрузки продублируйте имя и MD5 файла, который выдаст форма приема карантинов.

[CODE]Файл сохранён как 090526_195531_virusinfo_files_UNICOMP_4a1c10f319fa6.zip
Размер файла 5016827
MD5 9dcb54555bf727746175a89dad939ae3[/CODE]

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

[QUOTE=Aleksandra;407366]Ничего зловредного в логах нет.

[/QUOTE]

А что означает тогда это:blush::
[CODE]1.4 Поиск маскировки процессов и драйверов
Маскировка процесса с PID=340, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 340)
Маскировка процесса с PID=1752, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 1752)
Маскировка процесса с PID=1860, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 1860)
Маскировка процесса с PID=284, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 284)
Маскировка процесса с PID=364, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 364)
Маскировка процесса с PID=376, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 376)
Маскировка процесса с PID=464, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 464)
Маскировка процесса с PID=664, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 664)
Маскировка процесса с PID=708, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 708)
Маскировка процесса с PID=808, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 808)
Маскировка процесса с PID=668, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 668)
Маскировка процесса с PID=1168, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 1168)
Маскировка процесса с PID=1700, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 1700)
Маскировка процесса с PID=2172, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 2172)
Маскировка процесса с PID=2788, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 2788)
Маскировка процесса с PID=2824, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 2824)
Маскировка процесса с PID=2872, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 2872)
Маскировка процесса с PID=3008, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 3008)
Маскировка процесса с PID=3560, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 3560)
Маскировка процесса с PID=3788, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 3788)
Маскировка процесса с PID=3804, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 3804)
Маскировка процесса с PID=3024, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 3024)
Поиск маскировки процессов и драйверов завершен
Драйвер успешно загружен
1.5 Проверка обработчиков IRP
\FileSystem\ntfs[IRP_MJ_CREATE] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 8A34F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 8A34F1F8 -> перехватчик не определен
Проверка завершена
[/CODE]

[QUOTE]А что означает тогда это[/QUOTE]
Это нормальное явление для серверов и Vista..
Перехватчики от sptd.sys , он же эмулятор дисков.

Ответ [url]http://virusinfo.info/showpost.php?p=407385&postcount=1242[/url]

Точно, сорри за недоверие...:blush: проверил на другой машине, которая правда тоже болела сабжем, но логи были чистые в АВЗ, после установки алкоголя появились теже строки про скрытые процессы и обработчики IRP.
Всем большое спасибо и вам Александра оссобенно! :) :give_rose: